Scegliere un badge di accesso per garantire la sicurezza di locali professionali non si limita all’acquisto di lettori e alla distribuzione di carte. Il protocollo di comunicazione tra il badge e il lettore, le obbligazioni legali legate al GDPR e la capacità del sistema di evolversi determinano la reale solidità del dispositivo. Confrontare questi parametri tecnici prima di ogni acquisto evita costi di migrazione elevati a medio termine.
Protocollo OSDP e crittografia AES: la base tecnica di un badge d’accesso affidabile
La maggior parte dei sistemi installati negli ultimi anni si basa ancora sul protocollo Wiegand, un collegamento non crittografato tra il lettore di badge e il controller. I dati circolano in chiaro, il che rende il sistema vulnerabile all’intercettazione o al clonaggio del badge.
Le nuove installazioni si orientano verso il protocollo OSDP (Open Supervised Device Protocol), crittografato e supervisionato. Questo protocollo è ora considerato il principale guadagno di sicurezza in un progetto di modernizzazione. In concreto, un capitolato solido specifica tre elementi: badge 13,56 MHz, crittografia AES con chiavi diversificate e comunicazione OSDP tra lettore e controller.
La differenza tra questi due approcci si misura su criteri precisi. La tabella qui sotto sintetizza le differenze.
| Criterio | Wiegand (vecchio standard) | OSDP (standard raccomandato) |
|---|---|---|
| Crittografia dei dati | Nessuna (trasmissione in chiaro) | AES 128 bit, chiavi diversificate |
| Supervisione del lettore | No (rilevamento guasti impossibile) | Sì (allerta in caso di strappo o sabotaggio) |
| Direzione di comunicazione | Unidirezionale (lettore verso controller) | Bidirezionale (aggiornamento del lettore da remoto) |
| Rischio di clonaggio del badge | Alto (frequenza 125 kHz non protetta) | Basso (autenticazione reciproca badge/lettore) |
| Evolvibilità | Sostituzione completa del cablaggio necessaria | Compatibile con i cablaggi RS-485 esistenti |
Per ogni azienda che desidera implementare un badge d’accesso sicuro, richiedere il protocollo OSDP nel capitolato rappresenta la prima decisione strutturante. Ignorare questo punto equivale a installare un sistema già obsoleto al momento della sua messa in servizio.
Obblighi GDPR e consultazione del CSE prima del dispiegamento del controllo accessi
Un sistema di badge registra ogni passaggio: identità del portatore, ora, punto di accesso. Questi registri costituiscono dati personali ai sensi del GDPR. Tre obblighi si impongono prima della messa in servizio, e il loro mancato rispetto espone a sanzioni da parte della CNIL.
- Consultazione preventiva del CSE: qualsiasi dispositivo che possa indirettamente controllare l’attività dei dipendenti deve essere sottoposto al comitato sociale ed economico. Il verbale di questa consultazione serve come prova di conformità in caso di controllo.
- Informazione individuale e collettiva dei dipendenti: ogni dipendente riceve un’informativa che specifica le finalità del trattamento, le categorie di dati raccolti, la durata di conservazione dei registri di passaggio e i diritti di cui dispone (accesso, rettifica, opposizione).
- Limitazione della durata di conservazione dei registri: i log di passaggio non possono essere conservati indefinitamente. La CNIL raccomanda di limitare questa conservazione a pochi mesi, salvo obbligo settoriale specifico.
L’errore frequente consiste nel trattare queste formalità come una semplice casella da spuntare dopo l’installazione. In realtà, la consultazione del CSE deve avvenire prima dell’ordine del materiale, poiché un parere sfavorevole può modificare il perimetro del progetto (aree coperte, dati raccolti, orari di tracciabilità).
Registro dei trattamenti e base legale
Il controllo accessi tramite badge rientra nel registro dei trattamenti dell’azienda. La base legale più frequentemente adottata è l’interesse legittimo del datore di lavoro a proteggere i propri locali e beni. La CNIL precisa tuttavia che questa base legale non consente di utilizzare i dati di badge per monitorare gli orari di lavoro individuali, a meno che una base legale distinta non lo giustifichi.
Segmentazione delle aree e gestione dei diritti di accesso per profilo
Distribuire lo stesso livello di accesso a tutti i dipendenti annulla l’interesse del sistema. La segmentazione si basa su un principio semplice: ogni badge apre solo le porte strettamente necessarie alla funzione del suo portatore.
Un sito terziario classico si suddivide in tre livelli. Le aree comuni (hall, caffetteria, servizi) rimangono accessibili a tutti i badge attivi. Le aree di lavoro (uffici, sale riunioni) sono riservate ai team interessati. Le aree sensibili (server, archivi, direzione) sono accessibili solo a un numero limitato di persone identificate nominativamente.
Questa mappatura si costruisce prima dell’installazione fisica dei lettori. Posizionare un lettore su una porta senza aver definito il profilo degli utenti autorizzati genera richieste di modifica a catena, con un costo di cablaggio non trascurabile.
Gestione del ciclo di vita di un badge in azienda
Un badge non è un oggetto statico. Il suo ciclo di vita comprende diversi eventi che richiedono una reazione immediata del sistema:
- Arrivo di un dipendente o di un fornitore: creazione del badge con i diritti corrispondenti al profilo validato dal responsabile dell’area.
- Cambio di mansione interno: aggiornamento dei diritti nel software di gestione, rimozione degli accessi alla vecchia area, aggiunta dei nuovi.
- Perdita o furto del badge: disattivazione immediata tramite il software centrale, anche prima dell’emissione di un badge di sostituzione.
- Partenza definitiva: cancellazione del badge e purga dei diritti associati in un breve lasso di tempo, idealmente lo stesso giorno.
La rapidità di disattivazione di un badge perso o di un dipendente partito costituisce il vero test della maturità del dispositivo. Un ritardo di diversi giorni tra la segnalazione e la disattivazione crea una finestra di esposizione che la crittografia da sola non colma.
Badge mobile NFC e credenziali dematerializzate: cosa cambia per le aziende
L’alternativa al badge fisico sta progredendo. Le credenziali mobili, memorizzate su smartphone tramite NFC, consentono al dipendente di timbrare con il proprio telefono. Questo approccio elimina il costo di produzione delle carte e riduce gli incidenti legati alla perdita dei badge.
Tuttavia, il badge mobile introduce una dipendenza dal telefono personale del dipendente. In caso di batteria scarica o telefono dimenticato, l’accesso al sito è bloccato senza una soluzione alternativa se non è previsto alcun badge fisico di emergenza. La coesistenza dei due formati (badge fisico e credenziale mobile) rimane la configurazione più realistica per i siti in cui la continuità dell’accesso è non negoziabile.
La scelta del protocollo, il rispetto degli obblighi sociali e del GDPR, la granularità dei diritti per area e la gestione rigorosa del ciclo di vita dei badge formano un insieme indissolubile. Un sistema di controllo accessi vale solo per il collegamento più debole di questa catena, che sia tecnico, organizzativo o giuridico.