RFIDキーカードは、入場方法を通じてユーザーを追跡しますか？
職場では、RFIDタグを使用して建物と各フロアに入ります。タグは写真付きの身分証明書を兼ねているので、スタッフの動きを追跡するために使用する（または使用できる）かどうかは常に疑問に思いました。
私はいつも、発行されたときにスタッフIDに関連付けられていたと思いました。しかし、別のスタッフメンバーは、それらを一般的なアクセスであると考えています。つまり、すべてのカードは（各アクセスレベルの）コピーであり、写真を前面に貼り付けています。
私の質問は次のとおりです。標準的な業界慣行とは何ですか？私のシナリオは技術的に実現可能であると確信していますが、それが広く使用されているかどうかは別の問題です。
PCI DSS監査の一環としてスマートカードとRFIDカードのエントリーシステムを指定して確認したことで、サイト内のロックされた場所を通過する人をシステムが追跡できること、そして多くの場合そうすることを確認できます。これは通常、（通常は役割に基づいて）どのユーザーが建物のどの領域にアクセスできるかをきめ細かく制御できるようにするためです。たとえば、数人しかサーバールームにアクセスできません（多くの場合2faを使用します）。 CCTVの監視など。多くのセキュリティポリシーでは、監査の目的で入口/出口データを保持する必要があるため、追跡はシステムに固有です。
それは、職場の運営方法に依存します。
たとえば、私は文字通り、会社のIT技術者として働いており、出入りの際にタグを付けています。これを設定するときに、会社の全員に名前と役割を割り当てるように求められました。彼らはそれが人々がはるかに簡単に遅れるときの監視を可能にし、賃金の愚かな控除を自動化したかったのです。理由は質問しないでください。それは、実行するように要求され、実行する必要があっただけです。
標準的な業界では、建物の周囲で何が起こっているのかを確認するために、タグによるセキュリティを最低限必要とします。少なくとも、経験からそれは私が知っていることです。
私は2つの一般的なシステムを管理しており、どちらにもこの追跡機能があります。それについて考える場合、人々を特定の領域に制限するために、少なくともエンドテーブルにユーザーテーブルと権限テーブルを備えた中央データベースが必要です（保護されたサーバールームのドアを通過できるのは、ITスタッフだけでした。例）、および私が追跡したイベントの履歴を使用したすべてのシステム。少なくとも1つのシステムがバックエンドでMSSQLを使用していました。システムが入力しようとしているWHOを認識していない場合、ロールアクセスに基づいてシステムを区別することはできません。
その結果、これで気の利いたセキュリティ制御を行うことができます。特定のユーザーを特定のフロアまたは建物に、また特定の時間に制限することができます。時間外アクセスを許可して、異常の毎朝のレポートを生成することができます。人が最後に入力した場所を追跡できますが、カードを使用して終了する必要がない限り、これは現在のユーザーの場所ではない可能性があります。時間の経過に伴う位置追跡は簡単です。私は現在、これらのイベントも集計するSIEM製品を使用しているため、ベンダーが提供する制御と相関のための管理ソフトウェアに限定されないこともあります。
あなたのカードはおそらくnotこれはあまり意味がないので一般的です-2つ以上の同一のタグを持つことは、少なくとも否認防止の観点ではセキュリティの問題です。
私が使用したオンラインのシステム側制御メカニズムと接触するようになったすべてのシステム、つまり、カードは、リーダーによって渡されたID情報（カード番号、従業員ID、またはその他の一意の識別子など）を含む単なるタグでしたある種の制御データベースに。
ほとんどすべてのカード操作はデータベースによってサポートされているため、システムのUIに直接実装されていない場合、単純なSQLクエリによってユーザーのアクティビティを追跡できます。
偏執的なシナリオでは、施設全体に隠れた「チェックポイント」が存在する可能性があり、これにより、RFIDチップをより長い距離（数メートルまで）でアクティブにして、カードの動きを非常に正確に追跡できる場合があります。ただし、これはTLA *グレードのセキュリティの前提条件です。ほとんどのビジネスシナリオでは、意図的なユーザーのアクション（つまり、カードをリーダーに物理的に近づける）を必要とするロック、ドア、ゲートのみが表示され、これらがカードを確実に追跡できる唯一のポイントになります。
*スリーレターエージェンシー