Eesti Ekspressi ajakirjanikul õnnestus ilma läbipääsukaardita liikuda mitmes riiklikult olulises hoones. Mitte turvasüsteeme lahti muukides, vaid töötajate abivalmidust ära kasutades. Juhtum tõstatab küsimuse, kas läbipääsukaardid ja lukustatud uksed tagavad tegelikult selle turvalisuse, mida hooneomanikud neilt ootavad.
Eesti Ekspressi ajakirjanik Anna Teele Orav näitas oma eksperimendis, kuidas kõrvaline inimene võib pääseda ka hoonetesse, kus liikumine peaks olema piiratud. Superministeeriumis õnnestus tal töötajate järel läbida mitu kaardiga avatavat ust ja jõuda ministeeriumide tööruumidesse. Sarnast võtet kasutas ta ka Riigi Infosüsteemi Ameti hoones.
Eksperiment ei tähenda, et hoonete tehnilised turvasüsteemid oleksid olnud rikkis. Samuti ei saa selle põhjal anda lõplikku hinnangut konkreetsete hoonete turvakorraldusele. Küll aga juhib juhtum tähelepanu sellele, kui oluline on tehniliste lahenduste, läbipääsureeglite ja inimeste igapäevase käitumise koosmõju.
Hoone turvalisus algab põhitõdedest, mitte uutest turvaseadmetest
Foruse turvalahenduste ekspert Guido Ulejev leiab, et enne järjest nutikamate tehnoloogiate kasutuselevõttu tasub kriitilise pilguga üle vaadata hoone senine turvakorraldus. „Kui me räägime ettevõtete füüsilisest turvalisusest, siis tuleks üle vaadata, kas ja kuidas on rakendatud turvalisuse põhitõed, näiteks turvakihtide olemasolu, ülesehitus, avastamine ja reageerimine,“ selgitab Ulejev.
Üks oluline põhimõte on hoone jagamine erineva turvatasemega aladeks. Näiteks võib fuajee olla kõigile külastajatele avatud, kuid töötajate tööruumidesse või tundlikku teavet sisaldavatele aladele pääsemine eeldab eraldi luba. Oluline on kontrollida, kas selline korraldus ka tegelikkuses toimib.
Ulejevi sõnul on üks suuremaid kitsaskohti see, et hoonete turvakorraldust ei hinnata piisavalt terviklikult. Turvariskide analüüs aitab kontrollida, kas kavandatud turvameetmed ka tegelikkuses toimivad.
Samuti juhib ta tähelepanu ettevõtete turvalisuskultuurile. Tema hinnangul pööratakse küberturvalisusele sageli rohkem tähelepanu kui füüsilisele turvalisusele. Oleme harjunud kahtlasi e-kirju ära tundma, paroole kaitsma ja tundmatuid linke vältima. Samal ajal võime täiesti mõtlematult hoida ust lahti inimesele, kellel ei pruugi olla õigust meie tööruumidesse siseneda.
Ulejev võrdleb töökoha turvalisust koduse turvalisusega. Kui oma koju ei laseks me iga juhuslikku võõrast inimest, siis miks peaksime töökohas suhtuma tundmatu inimese sisenemisse teisiti?
Tema sõnul on ka sellises olukorras võimalik viisakaks jääda. Kui tundmatu inimene soovib siseneda piiratud ligipääsuga alale, võib paluda tal oodata ning võtta ühendust töötajaga, kelle juurde ta tuli. „Kui reegel on, et külalisi sellest uksest edasi ei lasta, siis nii on,“ rõhutab Ulejev.
Läbipääsuõiguste haldamine on hoonete turvalisuse nõrk koht
Foruse nõrkvoolu paigalduse osakonnajuht Berthe Miller selgitab, et tavapärane läbipääsusüsteem kontrollib, kas konkreetsel kaardil on õigus teatud ust avada ning kas see õigus kehtib just sellel kellaajal.
„Süsteem registreerib, millise kaardiga, millisest uksest ja mis ajal läbi mindi. Süsteem ei tea aga, kas kaarti kasutas selle õige omanik ja mitu inimest pärast ukse avamist tegelikult sisse läks,“ selgitab Miller.
Tema sõnul tuleb praktikas üsna sageli ette olukordi, kus läbipääsusüsteem töötab tehniliselt korrektselt, kuid selle haldamine jätab turvalisusesse lünki.
Üks suuremaid probleeme on läbipääsuõiguste haldamine. Näiteks võivad õigusi väljastada mitu osapoolt, kuid puudub terviklik ülevaade sellest, kellel milline ligipääs on. Samuti ei pruugi töötaja lahkumise või ametikoha vahetumise info jõuda õigel ajal inimeseni, kes läbipääsukaarte haldab.
Ulejevi sõnul on turvasüsteemidesse alles jäänud lahkunud töötajate nimed ja ligipääsuõigused üsna tavapärane probleem. Üks võimalus seda ennetada on siduda läbipääsusüsteem ettevõtte personalisüsteemiga, nii et töötaja andmete muutumisel uuenevad automaatselt ka tema läbipääsuõigused.
Miller lisab, et teine levinud puudus on läbipääsusüsteemi logide tähelepanuta jätmine. Kuigi süsteem salvestab andmeid kaartide kasutamise kohta, ei pruugita neid regulaarselt üle vaadata. Nii võivad võimalikud kõrvalekalded jääda märkamata.
Kuidas muuta olemasolev läbipääsusüsteem turvalisemaks?
Kõrvaliste inimeste loata sisenemise takistamiseks on olemas mitmesuguseid lahendusi. Milleri sõnul saab kasutada näiteks turva- ja kiirväravaid, mis võimaldavad korraga läbi ühe inimese. Kõrgema turvatasemega aladel kasutatakse ka spetsiaalseid lüüse.
Sobiva videoanalüütika abil saab läbipääsukontrolli ja videovalve ühendada nii, et süsteem annab märku, kui ühe kaardikasutusega siseneb uksest mitu inimest.
Miller rõhutab siiski, et parem turvalisus ei tähenda alati uute ja kallite seadmete soetamist. Esmalt tasub üle vaadata olemasoleva süsteemi seadistused, väljastatud kaardid ja nende õigused ning töötajate ja külaliste liikumise kord.
„Kõige lihtsam ja soodsam viis on tõsta hoone kasutajate teadlikkust. Iga inimene peaks teadma, kuidas hoones liikuda, kuidas külalisi vastu võtta, kuhu külalised tohivad minna ja mida teha, kui ta näeb piiratud alal võõrast,“ selgitab ta.
Praktiline samm on ka kõigi aktiivsete läbipääsukaartide ülevaatamine. Kontrollida tuleks, kas need kuuluvad praegustele töötajatele ja kas ligipääsuõigused vastavad nende tööülesannetele. Külalistele võiks väljastada selgelt eristatavad külalisekaardid ning tagada vajadusel saatja olemasolu.
Kui olemasolev süsteem vajab tehnilist täiendamist, aitab võimalused välja selgitada turvasüsteemide hoolduspartner. Mõnel juhul piisab seadistuste muutmisest või täiendavast tarkvarast, teinekord võib olla vajalik süsteemi osaline uuendamine.
Nutikas videovalve aitab märgata võimalikke turvarikkumisi
Tänapäevased videovalvelahendused ei piirdu ainult kaamerapildi salvestamisega. Videoanalüütika ja inimloendurid on Eestis kasutusel olnud juba aastaid ning võimaldavad muu hulgas jälgida inimeste liikumist ja tuvastada etteantud sündmusi.
Milleri sõnul on võimalik näiteks siduda läbipääsusüsteem videovalvega nii, et ühe kaardi kasutamise korral mitme inimese sisenemine tekitab automaatse teavituse.
Uuemad analüütilise videovalve lahendused võimaldavad kasutada ka tehisintellektil põhinevat analüütikat, mis aitab tuvastada ebatavalisi olukordi või otsida salvestistest vajalikku teavet senisest kiiremini.
Samas sõltub selliste lahenduste töökindlus kaamerate paigutusest, pildikvaliteedist ja süsteemi seadistusest. Miller soovitab enne suurema lahenduse kasutuselevõttu katsetada seda ühe või kahe läbipääsu juures, et hinnata tuvastamise täpsust ja võimalikke valehäireid.
Oluline on arvestada ka isikuandmete kaitsega ning määrata, kes teavitusi saab ja kuidas neile reageeritakse. Analüütika saab inimese tähelepanu juhtida võimalikule ohule, kuid ei asenda vajadust olukorda hinnata.
Turvariskide analüüs aitab välja selgitada hoone turvalisuse kitsaskohad
Ulejevi ja Milleri sõnul ei pea hoone turvalisuse parandamine algama uute seadmete ostmisest. Esmalt tasub hinnata, kas olemasolevad süsteemid, läbipääsuõigused ja turvareeglid täidavad oma eesmärki.
Selleks annab hea lähtekoha turvariskide analüüs, mis aitab tuvastada võimalikud kitsaskohad ja otsustada, millised muudatused on tegelikult vajalikud. „Aeg-ajalt on võib-olla mõistlik teha paar sammu tagasi, et siis uue teadmise ja hooga edasi liikuda,“ võtab Ulejev teema kokku.
Lugu ilmus algselt Äripäeva Kinnisvarauudistes.
