Elegir una tarjeta de acceso para asegurar locales profesionales no se limita a comprar lectores y distribuir tarjetas. El protocolo de comunicación entre la tarjeta y el lector, las obligaciones legales relacionadas con el RGPD y la capacidad del sistema para evolucionar determinan la solidez real del dispositivo. Comparar estos parámetros técnicos antes de cualquier compra evita costos de migración elevados a medio plazo.
Protocolo OSDP y cifrado AES: la base técnica de una tarjeta de acceso fiable
La mayoría de los sistemas instalados en los últimos años aún se basan en el protocolo Wiegand, una conexión no cifrada entre el lector de tarjetas y el controlador. Los datos circulan en claro, lo que hace que el sistema sea vulnerable a la interceptación o clonación de tarjetas.
Las nuevas instalaciones se orientan hacia el protocolo OSDP (Open Supervised Device Protocol), cifrado y supervisado. Este protocolo se considera ahora la principal ganancia de seguridad en un proyecto de modernización. Concretamente, un pliego de condiciones sólido especifica tres elementos: tarjeta de 13,56 MHz, cifrado AES con claves diversificadas y comunicación OSDP entre el lector y el controlador.
La diferencia entre estas dos aproximaciones se mide en criterios precisos. La tabla a continuación sintetiza las diferencias.
| Criterio | Wiegand (antiguo estándar) | OSDP (estándar recomendado) |
|---|---|---|
| Cifrado de datos | Ninguno (transmisión en claro) | AES 128 bits, claves diversificadas |
| Supervisión del lector | No (detección de fallos imposible) | Sí (alerta en caso de desgarro o sabotaje) |
| Sentido de comunicación | Unidireccional (lector hacia controlador) | Bidireccional (actualización del lector a distancia) |
| Riesgo de clonación de tarjeta | Alto (frecuencia de 125 kHz no protegida) | Bajo (autenticación mutua tarjeta/lector) |
| Evolutividad | Reemplazo completo del cableado necesario | Compatible con los cableados RS-485 existentes |
Para cualquier empresa que desee implementar una tarjeta de acceso segura, exigir el protocolo OSDP en el pliego de condiciones constituye la primera decisión estructurante. Pasar por alto este punto equivale a instalar un sistema que ya está obsoleto en el momento de su puesta en servicio.
Obligaciones RGPD y consulta del CSE antes del despliegue del control de acceso
Un sistema de tarjetas registra cada paso: identidad del portador, hora, punto de acceso. Estos registros constituyen datos personales a efectos del RGPD. Tres obligaciones se imponen antes de la puesta en servicio, y su incumplimiento expone a sanciones de la CNIL.
- Consulta previa del CSE: cualquier dispositivo que pueda controlar indirectamente la actividad de los empleados debe ser sometido al comité social y económico. El acta de esta consulta sirve como prueba de conformidad en caso de control.
- Información individual y colectiva de los empleados: cada trabajador recibe un aviso que especifica los fines del tratamiento, las categorías de datos recopilados, la duración de conservación de los registros de pasos y los derechos que posee (acceso, rectificación, oposición).
- Limitación de la duración de conservación de los registros: los logs de pasos no pueden ser almacenados indefinidamente. La CNIL recomienda limitar esta conservación a unos pocos meses, salvo obligación sectorial específica.
El error frecuente consiste en tratar estas formalidades como una simple casilla para marcar después de la instalación. En realidad, la consulta del CSE debe realizarse antes del pedido del material, ya que un dictamen desfavorable puede modificar el alcance del proyecto (zonas cubiertas, datos recopilados, horarios de trazabilidad).
Registro de tratamientos y base legal
El control de acceso por tarjeta se inscribe en el registro de tratamientos de la empresa. La base legal más frecuentemente utilizada es el interés legítimo del empleador para proteger sus locales y bienes. Sin embargo, la CNIL aclara que esta base legal no permite utilizar los datos de acceso para supervisar los horarios individuales de trabajo, a menos que una base legal distinta lo justifique.
Segmentación de zonas y gestión de derechos de acceso por perfil
Distribuir el mismo nivel de acceso a todos los empleados anula el interés del sistema. La segmentación se basa en un principio simple: cada tarjeta solo abre las puertas estrictamente necesarias para la función de su portador.
Un sitio terciario clásico se divide en tres niveles. Las zonas comunes (hall, cafetería, sanitarios) permanecen accesibles para todas las tarjetas activas. Las zonas de trabajo (plataformas, salas de reuniones) están restringidas a los equipos correspondientes. Las zonas sensibles (servidores, archivos, dirección) solo son accesibles para un número limitado de personas identificadas nominalmente.
Esta cartografía se construye antes de la instalación física de los lectores. Colocar un lector en una puerta sin haber definido el perfil de los usuarios autorizados genera solicitudes de modificación en cascada, con un costo de recableado no despreciable.
Gestión del ciclo de vida de una tarjeta en la empresa
Una tarjeta no es un objeto estático. Su ciclo de vida incluye varios eventos que requieren una reacción inmediata del sistema:
- Llegada de un empleado o proveedor: creación de la tarjeta con los derechos correspondientes al perfil validado por el responsable de zona.
- Cambio de puesto interno: actualización de los derechos en el software de gestión, eliminación de accesos a la antigua zona, adición de los nuevos.
- Pérdida o robo de la tarjeta: desactivación inmediata a través del software central, incluso antes de la emisión de una tarjeta de reemplazo.
- Salida definitiva: eliminación de la tarjeta y purga de los derechos asociados en un corto plazo, idealmente el mismo día.
La rapidez de desactivación de una tarjeta perdida o de un empleado que se ha ido constituye la verdadera prueba de la madurez del dispositivo. Un retraso de varios días entre el aviso y la desactivación crea una ventana de exposición que el cifrado solo no puede cubrir.
Tarjeta móvil NFC y credenciales desmaterializadas: lo que cambia para las empresas
La alternativa a la tarjeta física avanza. Las credenciales móviles, almacenadas en el smartphone a través de NFC, permiten al empleado registrar su entrada con su teléfono. Este enfoque elimina el costo de fabricación de las tarjetas y reduce los incidentes relacionados con la pérdida de tarjetas.
Sin embargo, la tarjeta móvil introduce una dependencia del teléfono personal del empleado. En caso de batería vacía o teléfono olvidado, el acceso al sitio se bloquea sin solución alternativa si no se prevé ninguna tarjeta física de emergencia. La coexistencia de los dos formatos (tarjeta física y credencial móvil) sigue siendo la configuración más realista para los sitios donde la continuidad de acceso es innegociable.
La elección del protocolo, el cumplimiento de las obligaciones sociales y del RGPD, la granularidad de los derechos por zona y la gestión rigurosa del ciclo de vida de las tarjetas forman un conjunto indisoluble. Un sistema de control de acceso solo vale por el eslabón más débil de esta cadena, ya sea técnico, organizativo o legal.