Targeta d’accés vs. biometria: quin sistema has de triar per protegir la teva empresa?

Protegir les teves instal·lacions significa molt més que protegir unes parets. Significa salvaguardar les dades sensibles, els equips de producció i, sobretot, les persones que hi treballen cada dia. Davant l’augment de les intrusions i dels actes malintencionats, el control d’accessos s’ha convertit en un pilar imprescindible de l’estratègia de seguretat de les empreses.

El control d’accessos engloba el conjunt de dispositius tècnics i organitzatius que permeten autoritzar o denegar l’entrada d’una persona a un lloc determinat. Es basa en la verificació d’una identitat o d’un dret d’accés abans d’obrir físicament un punt de pas.

Avui dia, dues grans famílies de solucions dominen el mercat: les targetes d’accés i la biometria. Cadascuna respon a una lògica diferent i presenta els seus propis avantatges i limitacions. L’elecció entre tots dos sistemes depèn de diversos criteris: el pressupost disponible, el nivell de seguretat necessari segons les zones que es vulguin protegir i el marc legal establert pel RGPD i les autoritats de protecció de dades competents de cada país. Aquest article t’ajuda a entendre les implicacions de cada tecnologia per triar la solució més adequada per a la teva empresa.

La targeta d’accés continua sent, avui dia, una de les solucions més esteses a les empreses. És senzilla, ràpida d’implementar i n’ha demostrat l’eficàcia.

Un lector de targetes RFID funciona mitjançant la identificació a distància. El xip integrat a la targeta emet un senyal que capta el lector, que després comprova els permisos d’accés associats a aquell identificador. Al mercat conviuen diverses tecnologies:

La tecnologia RFID (Radio Frequency Identification) continua sent la més utilitzada per al control d’accessos a les empreses. La tecnologia NFC (Near Field Communication), més recent, permet la comunicació a molt curta distància i s’integra fàcilment als telèfons intel·ligents. Finalment, l’estàndard MIFARE s’ha consolidat com una referència pel seu nivell de xifratge i fiabilitat.

També es distingeix entre la targeta física, en forma de targeta o clauer, i la targeta virtual, desmaterialitzada i emmagatzemada directament en una aplicació mòbil. Aquest segon format està guanyant terreny, especialment perquè evita la gestió de suports físics i simplifica la revocació de permisos a distància.

La targeta destaca, sobretot, per la seva senzillesa. Aquests són els principals avantatges que expliquen el seu èxit continuat:

• Implementació ràpida: la instal·lació d’un sistema de targetes sol dur-se a terme en pocs dies i sense obres importants.
• Cost controlat: el preu dels lectors i de les targetes continua sent assequible, fins i tot per a les pimes amb un pressupost limitat.
• Facilitat d’ús: els empleats no necessiten cap formació específica.
• Revocació immediata: en cas de pèrdua o de sortida d’un empleat, l’accés es pot desactivar amb només uns clics, sense haver de canviar els panys.

Tanmateix, la targeta no és infal·lible. El seu principal punt feble rau en la seva pròpia naturalesa: és un objecte que es pot perdre, robar o deixar a una altra persona.

• Pèrdua o oblit: una targeta extraviada suposa una bretxa immediata, sobretot si no es comunica ràpidament.
• Préstec entre companys: aquesta pràctica, força habitual, trenca la lògica de traçabilitat individual dels accessos.
• Risc de clonació: les targetes antigues que utilitzen xips bàsics, com els de 125 kHz, es poden copiar en pocs minuts amb equips fàcilment accessibles. Les targetes més recents, xifrades amb MIFARE DESFire, ofereixen molta més resistència davant d’aquest tipus d’atac.

Aquestes vulnerabilitats no qüestionen la utilitat de la targeta per a l’accés general, però en mostren els límits quan es requereix un nivell de seguretat més elevat.

Mentre que la targeta es basa en un objecte, la biometria es basa en la mateixa persona. Aquesta diferència ho canvia tot, especialment quan es tracta de protegir les zones més sensibles.

Hi ha diverses tecnologies d’accés biomètric, amb diferents nivells de fiabilitat i cost.

L’empremta dactilar continua sent la tecnologia més habitual i consolidada, utilitzada des de fa anys en nombrosos sectors. El reconeixement facial i el reconeixement de l’iris avancen ràpidament, sobretot per la seva comoditat: no requereixen contacte físic. Finalment, el reconeixement del patró venós ofereix un dels nivells de seguretat més elevats del mercat, ja que aquest patró és pràcticament impossible de falsificar o reproduir.

El principal avantatge de la biometria és evident: l’identificador ets tu. No es pot perdre, deixar a una altra persona ni robar.

Aquest nivell de seguretat la converteix en una solució que es pot considerar per a zones d’alta sensibilitat: sales de servidors, laboratoris de recerca i àrees de direcció. La comoditat per a l’usuari també és un avantatge important: ja no cal buscar la targeta al fons de la bossa o de la butxaca; l’accés es fa de manera natural i, de vegades, fins i tot sense contacte.

La biometria afecta una dada especialment sensible: el cos humà. Per això, el seu ús està estrictament regulat pel RGPD i per les autoritats de protecció de dades de cada país: l’Agencia Española de Protección de Datos (AEPD) a Espanya i la Comissão Nacional de Proteção de Dados (CNPD) a Portugal.

Les dades biomètriques utilitzades per identificar de manera unívoca una persona constitueixen una categoria especial de dades personals segons el RGPD. El seu tractament està prohibit en principi, llevat que s’apliqui alguna de les excepcions previstes a l’article 9 del Reglament. L’empresa també ha de poder justificar la necessitat i la proporcionalitat del sistema en relació amb l’objectiu perseguit.

A Espanya, l’AEPD considera que l’ús de tecnologies biomètriques per al registre de la jornada i el control de presència en l’àmbit laboral implica un tractament d’alt risc. A la seva guia de novembre de 2023 assenyala que, quan es pretén emparar el tractament en l’article 9.2.b) del RGPD, cal una norma amb rang de llei que concreti aquesta possibilitat, i que aquesta habilitació no es troba en la normativa espanyola vigent. L’AEPD també indica que el consentiment dels treballadors no permet, per si sol, aixecar la prohibició ni legitimar aquest tractament en el context laboral.

A Portugal, el marc és diferent. L’article 28.6 de la Lei n.º 58/2019 considera legítim el tractament de dades biomètriques dels treballadors per al control de l’assistència i el control d’accés a les instal·lacions de l’ocupador. No obstant això, exigeix que només s’utilitzin representacions de les dades biomètriques (plantilles o templates) i que el procés de recollida no permeti recuperar les dades originals. La CNPD recorda, a més, que s’han de complir els requisits de l’article 18 del Código do Trabalho i la resta d’exigències aplicables.

Per tant, no es pot aplicar una mateixa regla als dos mercats: a Espanya, l’ús de biometria per al control de presència laboral està subjecte a restriccions importants segons la interpretació de l’AEPD; a Portugal, la llei preveu expressament aquestes finalitats, sempre que es respectin les garanties establertes.

Finalment, cal tenir en compte que la instal·lació d’un sistema biomètric sol ser més costosa que la d’un sistema de targetes, a causa de la tecnologia dels sensors i del programari de tractament associat.

L’elecció no es pot fer de manera abstracta. Depèn de la mida de la teva empresa i, sobretot, de la naturalesa de les zones que vulguis protegir. L’accés a una planta industrial no planteja les mateixes exigències de seguretat que una sala de servidors o un laboratori d’R+D.

Per a una pime amb un flux habitual d’empleats, la targeta sol continuar sent l’opció més adequada: senzilla, econòmica i suficient per a un ús general. Per a una gran empresa amb zones d’alt valor estratègic, convé adoptar un enfocament diferenciat, amb biometria en determinats punts crítics, sempre que el seu ús estigui justificat i sigui conforme amb la normativa aplicable al país.

La taula següent resumeix els principals criteris que cal tenir en compte per orientar la decisió.

«L’elecció entre targeta i biometria no es redueix a una qüestió tecnològica, sinó que requereix una anàlisi global del risc. En un context marcat per les recomanacions de l’ANSSI i les exigències creixents del Cyber Resilience Act, la protecció de les identitats físiques i digitals es converteix en un repte central. L’enginyeria de sistemes permet definir el nivell d’autenticació més adequat per a cada accés i, alhora, garantir la resiliència de la infraestructura davant les amenaces físiques i cibernètiques.»

Targeta o biometria: no hi ha una resposta universal, sinó una solució adaptada a cada context. La targeta continua sent una opció fiable i econòmica per a l’accés general a les instal·lacions. La biometria, per la seva banda, s’hauria de reservar per a les zones en què qualsevol bretxa podria tenir conseqüències importants, sempre que el seu ús estigui justificat i compleixi el marc normatiu aplicable.

L’estratègia adequada sol consistir a combinar tots dos enfocaments segons les zones, amb el suport d’experts capaços d’avaluar amb precisió les necessitats reals. Aquest és precisament l’objectiu d’una auditoria de seguretat realitzada per professionals que coneixen tant les tecnologies disponibles com els requisits normatius que les regulen.

Vols avaluar quin sistema de control d’accessos s’adapta millor a la teva empresa? Els experts de Scutum t’acompanyen des de l’auditoria de les teves instal·lacions fins a la instal·lació de la solució més adequada per a la teva activitat.

Depèn del país. A Espanya, l’AEPD considera que l’ús de biometria per al registre de la jornada i el control de presència laboral està subjecte a fortes restriccions i que la normativa vigent no ofereix l’habilitació legal específica necessària per emparar-lo en l’article 9.2.b) del RGPD. A Portugal, l’article 28.6 de la Lei n.º 58/2019 preveu expressament el tractament biomètric per al control de l’assistència i de l’accés a les instal·lacions de l’ocupador, sempre que s’utilitzin plantilles no reversibles i es compleixin les altres garanties legals.

No necessàriament. Un sistema pot emmagatzemar una representació o plantilla biomètrica en lloc de la imatge original de l’empremta. A Portugal, la Lei n.º 58/2019 exigeix que s’utilitzin representacions de les dades biomètriques i que el procés no permeti recuperar les dades originals. En qualsevol cas, la configuració del sistema ha de respectar el RGPD i la normativa aplicable a cada país.

Sí, especialment les tecnologies antigues, com ara els xips de 125 kHz, que es poden clonar fàcilment. En canvi, les targetes modernes que utilitzen protocols xifrats, com MIFARE DESFire, són molt més difícils de copiar.