مواصفة أنظمة التحكم في الدخول: القارئات ووحدات التحكم ووسائل التعريف والقياسات الحيوية

بنية النظام هي القرار الأمني الأول لا تفصيلاً تنفيذياً لاحقاً. فعند انقطاع الاتصال بالخادم المركزي، يجب أن يظل شيء ما عند الباب قادراً على اتخاذ القرار، وعلى المواصفة أن تحدد ماهيته.

اذكر متطلب العمل دون اتصال بالأرقام: كم حامل بطاقة يجب أن تحفظه كل وحدة تحكم محلياً، وكم حدثاً يجب أن تخزّنه قبل الكتابة فوقها، وكم يجب أن تعمل على البطارية، وما سلوكها تجاه وسيلة تعريف كانت صالحة لحظة انقطاع الاتصال. ثم اذكر زمن اتخاذ القرار عند الباب في الظروف العادية، أي المدة من تقديم وسيلة التعريف إلى تحرير القفل، لأن هذا الرقم يحدد تجربة الاستخدام والطاقة الاستيعابية لأي مسار يقع عليه القارئ.

وهنا أيضاً يجب فحص المنصات السحابية بموضوعية بدل رفضها أو تبنيها من حيث المبدأ. فالنظام السحابي المزوَّد بوحدة تحكم طرفية قادرة قد يكون خياراً ممتازاً، أما النظام السحابي الذي يحتاج رحلة ذهاب وإياب إلى مركز بيانات بعيد لفتح باب فقضية أخرى. والسؤال في التقييم ليس هل هو سحابي، بل أي القرارات يبقى قائماً عند فقد الاتصال.

بروتوكول Wiegand واجهة أحادية الاتجاه وغير خاضعة للإشراف وبلا تشفير. ويمكن التقاط بيانات وسيلة التعريف المارة عليه وإعادة بثها من الجهة غير المؤمّنة للباب، ولأن الخط غير خاضع للإشراف يمكن نزع القارئ دون أن يلاحظ النظام. ولا ينبغي أن يظهر هذا البروتوكول في أي مواصفة جديدة.

والبديل هو OSDP، أي بروتوكول الأجهزة المفتوح الخاضع للإشراف، المنشور دولياً بوصفه IEC 60839-11-5:2020 وتشرف عليه رابطة الصناعة الأمنية. وهو يعمل باتجاهين عبر RS-485، ويُشرف على القارئ بحيث يُبلَّغ عن نزعه أو عن انقطاع الخط، ويدعم قناة آمنة تستخدم AES-128 للتشفير والتحقق.

وحدده بدقة لأن التطبيقات الجزئية شائعة. اشترط OSDP مع تفعيل القناة الآمنة في التشغيل لا مجرد دعمها؛ واشترط استبدال مفاتيح وضع التركيب أو المفاتيح الافتراضية بمفاتيح خاصة بالموقع قبل التسليم؛ واشترط أن تكون حيازة المفاتيح لدى العميل؛ واشترط الإبلاغ عن العبث بالقارئ وانقطاع الاتصال كإنذارات لها استجابة معرّفة. فقارئ OSDP الذي يعمل بنص واضح هو قارئ Wiegand بنشرة فنية أفضل.

هناك تقنيتان لوسائل التعريف ما زالتا تُعرضان في المنطقة ويجب رفضهما رفضاً صريحاً. فبطاقات التقارب منخفضة التردد عند 125 كيلوهرتز لا تحمل أي تشفير ويمكن قراءتها واستنساخها بأجهزة رخيصة متاحة تجارياً. وبطاقات MIFARE Classic تعتمد على خوارزمية CRYPTO1 المملوكة التي كُسرت أكاديمياً عام 2008 وتُهزم اليوم خلال ثوانٍ بأدوات واسعة الانتشار، فيمكن نسخ معرّفها وقراءة قطاعاتها.

وحدد بدلاً منهما بطاقة ذكية لاتلامسية وفق ISO/IEC 14443 تُجري تحققاً متبادلاً بخوارزمية AES-128، وعائلتا MIFARE DESFire EV2 وEV3 مثالان شائعان، وتحمل EV3 اعتماد المعايير المشتركة عند المستوى EAL5 المعزز. واذكر نوع الشريحة وسعتها بدقة في الجدول، فالمواصفة التي تقول بطاقة ذكية أو ما يعادلها تُستوفى عادة ببطاقة MIFARE Classic، ويُكتشف هذا الاستبدال بعد سنوات أثناء تدقيق.

ثم حدد المفاتيح، وهو الجزء الذي يغفله الجميع تقريباً. اشترط مجموعة مفاتيح متفرعة خاصة بالموقع تُولَّد لهذا العميل؛ واشترط مراسم تسليم مفاتيح موثقة تبقى الحيازة فيها للعميل؛ واشترط كتابةً ألا يحتفظ المنفّذ بأي نسخة من المفتاح الرئيسي وألا تُشارَك مجموعة المفاتيح مع مواقع أخرى. فبدون هذا البند يصبح العميل مرتبطاً بمورّد واحد في كل طلب بطاقات مستقبلي، وهو ارتباط تجاري متنكر في هيئة قيد تقني.

وتخضع وسائل التعريف عبر الهاتف للمنطق نفسه: اسأل من يصدر المفاتيح ويحتفظ بها، وماذا يحدث للتصاريح الصادرة عند انتهاء العقد، وهل يعمل التصريح على الهاتف دون اتصال، وما مدى القراءة. فالتصريح البعيد المدى عبر البلوتوث مريح عند بوابة مركبات ومصدر خطر عند مسار بوابة سريعة، إذ قد يفتح الحاجز الخطأ.

ادعاءات أداء القياسات الحيوية في النشرات الفنية شبه بلا معنى ما لم يُذكر الاختبار الذي أنتجها. اشترط ذكر معدل القبول الخاطئ ومعدل الرفض الخاطئ، أو معدلات خطأ المطابقة المكافئة، مقترنة بمجموعة البيانات وبروتوكول الاختبار وعتبة التشغيل المستخدمة، وفضّل التقييم المستقل على الأرقام المعلنة ذاتياً. فالمورّد الذي يرفض تسمية الاختبار لم يُجرِ اختباراً أصلاً.

والانتحال مسألة منفصلة عن الدقة وله معياره الخاص. فالمعيار ISO/IEC 30107-3 يغطي اختبار كشف هجمات العرض والإبلاغ عنها بمؤشرات مثل APCER وBPCER. لذا اشترط تقييم كشف هجمات العرض وفق ISO/IEC 30107-3، مع تسمية مختبر الاختبار وأدوات الهجوم التي جرى اعتبارها. فقارئ الوجه ذو معدلات المطابقة الممتازة والخالي من كشف هجمات العرض يمكن فتحه بصورة فوتوغرافية.

ثم عالج البيانات نفسها. فبموجب نظام حماية البيانات الشخصية السعودي الصادر بالمرسوم الملكي م/19 لعام 2021، ولائحته التنفيذية الصادرة في سبتمبر 2023 مع بدء التطبيق الكامل في 14 سبتمبر 2024، تُعد البيانات الحيوية المستخدمة لتحديد هوية الشخص بيانات حساسة، والهيئة السعودية للبيانات والذكاء الاصطناعي هي الجهة المنظّمة. ومعالجة البيانات الشخصية الحساسة تتطلب موافقة صريحة، والموافقة المأخوذة من موظف في علاقة غير متكافئة تستدعي عناية خاصة.

ويُترجم ذلك إلى بنود في المواصفة: بيان الأساس النظامي والجهة المسؤولة عنه؛ وتفضيل تخزين القالب على وسيلة التعريف أو على الجهاز بدل قاعدة بيانات حيوية مركزية حيثما سمحت حالة الاستخدام؛ واشتراط تخزين قوالب لا صور، مع كون التحويل غير قابل للعكس؛ وبيان مدد الاحتفاظ والحذف وإجراء الحذف عند انتهاء الخدمة؛ وبيان مكان استضافة البيانات وهل يغادر أي منها المملكة؛ وتوفير بديل غير حيوي لمن يرفض، لأن النظام الذي لا بديل فيه يُفرغ الموافقة من معناها.

الباب لا يُعد متحكماً به إلا إذا كان مراقَباً أيضاً. لذا اشترط مفتاح وضعية باب على كل باب متحكم به، مع إنذارات الفتح عنوة والبقاء مفتوحاً واستجابة معرّفة لكل منهما، وتأكد أن جهاز طلب الخروج يحرّر القفل دون أن يعطّل المراقبة، فهذا ضبط شائع ينتج نظاماً بلا أي دليل على شيء.

واختيار الفشل الآمن أو الفشل المؤمّن قرار يتبع استراتيجية الحريق لا التفضيل الشخصي. حدده لكل باب بما يتوافق مع متطلبات وسائل الخروج في كود البناء السعودي وبالاتفاق مع الجهة ذات الاختصاص في الدفاع المدني، وحدد السلوك عند إنذار الحريق وانقطاع التيار ونفاد البطارية. وأدرج مسار التجاوز الميكانيكي ومن يحوز مفاتيحه، فهو ما سيُستخدم في الثالثة فجراً.

وبالنسبة للمسارات والبوابات الواقعة ضمن طريق الهروب، نسّق هذا البند مع مواصفة التحكم في المداخل حتى لا يصف المستندان سلوكين مختلفين للحدث نفسه.

يعرّف المعيار EN/IEC 60839-11-1 درجات أمنية من 1 إلى 4 لأنظمة ومكونات التحكم الإلكتروني في الدخول، وتُطبق لكل نقطة دخول. واستخدامه يتيح لك التعبير عن النية دون تسمية منتج: درجة لأبواب المكاتب العامة، ودرجة أعلى للمناطق المقيدة، ويثبت المورّد المطابقة.

ويجب تدوين متطلبات التشغيل البيني وأنت ما زلت تملك القدرة التفاوضية. اشترط واجهة برمجية موثقة للتكامل مع أنظمة الفيديو والإنذار ضد التسلل وإدارة الزوار والموارد البشرية؛ واشترط إمكانية تصدير قاعدة بيانات حاملي البطاقات وإسناد وسائل التعريف وسجل الأحداث بصيغة موثقة غير مملوكة عند الطلب؛ واشترط ملكية العميل للبيانات ولمفاتيح التشفير.

ثم اقرأ النموذج التجاري بالعناية نفسها التي تقرأ بها النموذج الفني. اسأل عمّا يخضع للترخيص وعلى أي أساس — لكل باب أم لكل قارئ أم لكل حامل بطاقة أم سنوياً — وماذا يحدث إذا انتهى الترخيص، وما مسار تحديث البرامج الثابتة، وكم ستستمر فترة الدعم، وما السياسة المعلنة لإصدار التصحيحات الأمنية. واسأل كيف يُشفَّر الاتصال بين وحدات التحكم والخادم، وكيف تُدار الشهادات الرقمية، وكيف تُعالَج كلمات المرور الافتراضية عند التشغيل التجريبي. فهذه أسئلة لا تكلف شيئاً في مرحلة المناقصة ويستحيل الإجابة عنها في السنة الثالثة.

قائمة قصيرة بما لا ينبغي أن يجتاز المراجعة الفنية: واجهات قارئات Wiegand في أي تركيب جديد؛ وبطاقات التقارب منخفضة التردد عند 125 كيلوهرتز؛ وبطاقات MIFARE Classic ولو كبديل مقبول؛ وتحديد OSDP دون تفعيل القناة الآمنة في التشغيل؛ وترحيل المفاتيح الافتراضية أو المفاتيح التي يحوزها المنفّذ إلى مرحلة الخدمة.

وكذلك: تركيب وحدات التحكم على الجهة غير المؤمّنة من الباب؛ واعتماد بنية سحابية بحتة بلا قدرة قرار محلية على باب ذي أهمية؛ وتسجيل قياسات حيوية بلا أساس نظامي معلن ولا مدة احتفاظ ولا مسار بديل؛ وأي بند لوسائل التعريف يستخدم عبارة أو ما يعادلها دون تسمية الشريحة.

وأخيراً، احذر أي نظام لا يمكن تصدير بيانات حاملي البطاقات منه. فأنظمة التحكم في الدخول تعمّر أطول من الشركات التي تركّبها، وقاعدة البيانات غير القابلة للتصدير هي ما يحوّل أصلاً عمره خمس عشرة سنة إلى استبدال قسري.

تصبح مواصفة التحكم في الدخول قابلة للدفاع عنها حين تنص على كل ما يلي:

• سلوك العمل دون اتصال بالأرقام: عدد حاملي البطاقات محلياً، وعدد الأحداث المخزنة، وزمن العمل على البطارية، وزمن اتخاذ القرار عند الباب في التشغيل العادي.
• اتصال القارئات عبر OSDP وفق IEC 60839-11-5، مع تفعيل القناة الآمنة في التشغيل واستبدال المفاتيح الافتراضية قبل التسليم.
• الإبلاغ عن العبث بالقارئ وانقطاع الاتصال كإنذارات لها استجابة معرّفة.
• وسائل تعريف وفق ISO/IEC 14443 بتحقق متبادل بخوارزمية AES-128، مع تسمية نوع الشريحة وسعتها، واستبعاد MIFARE Classic وبطاقات 125 كيلوهرتز صراحة.
• مجموعة مفاتيح متفرعة خاصة بالموقع، ومراسم تسليم مفاتيح موثقة، وحيازة العميل للمفاتيح، وإقرار كتابي بعدم احتفاظ المنفّذ بنسخة من المفتاح الرئيسي.
• لوسائل التعريف عبر الهاتف: ملكية المفاتيح، والعمل دون اتصال، ومدى القراءة، والتعامل عند انتهاء العقد.
• ذكر معدلات خطأ القياسات الحيوية مقترنة بمجموعة البيانات والبروتوكول وعتبة التشغيل، من تقييم مستقل حيثما توفر.
• تقييم كشف هجمات العرض وفق ISO/IEC 30107-3، مع تسمية المختبر وأدوات الهجوم.
• بيان الموقف من نظام حماية البيانات الشخصية: الأساس النظامي والموافقة الصريحة، وتخزين القوالب لا الصور، وموقع الاستضافة، ومدد الاحتفاظ والحذف، وبديل غير حيوي لمن يرفض.
• مراقبة وضعية الباب على كل باب متحكم به، مع إنذارات الفتح عنوة والبقاء مفتوحاً واستجابة معرّفة.
• تحديد الفشل الآمن أو المؤمّن لكل باب بما يتوافق مع متطلبات وسائل الخروج في كود البناء السعودي وبالاتفاق مع الدفاع المدني، مع مسار التجاوز الميكانيكي.
• إسناد درجة EN/IEC 60839-11-1 لكل نقطة دخول.
• واجهة برمجية موثقة، وحق تصدير بيانات حاملي البطاقات وإسناد وسائل التعريف وسجلات الأحداث بصيغة غير مملوكة.
• نموذج الترخيص وفترة الدعم ومسار تحديث البرامج الثابتة وسياسة التصحيحات الأمنية، منصوصاً عليها في المناقصة.