Toegangspas of biometrie: welk systeem kiest u om uw bedrijf te beveiligen?

Uw bedrijfspand beveiligen betekent veel meer dan alleen muren beschermen. Het gaat om het beveiligen van gevoelige gegevens, productieapparatuur en vooral de mensen die er elke dag werken. Door de toename van inbraken en kwaadwillige incidenten is toegangscontrole een onmisbaar onderdeel geworden van de beveiligingsstrategie van bedrijven.

Toegangscontrole omvat alle technische en organisatorische maatregelen waarmee de toegang van personen tot een bepaalde locatie kan worden toegestaan of geweigerd. Daarbij wordt de identiteit of toegangsbevoegdheid gecontroleerd voordat een doorgang fysiek wordt vrijgegeven.

Twee grote categorieën oplossingen domineren momenteel de markt: toegangspassen en biometrie. Beide werken volgens een ander principe en hebben hun eigen voordelen en beperkingen. De keuze tussen beide systemen hangt af van verschillende criteria: het beschikbare budget, het vereiste beveiligingsniveau voor de te beveiligen zones en het wettelijke kader van de AVG en de nationale privacywetgeving. Dit artikel helpt u de gevolgen van elke technologie te begrijpen, zodat u de oplossing kunt kiezen die het beste bij uw bedrijf past.

De toegangspas is nog altijd een van de meest gebruikte oplossingen binnen bedrijven. Het systeem is eenvoudig, snel te implementeren en heeft zijn effectiviteit ruimschoots bewezen.

Een RFID-paslezer werkt met identificatie op afstand. De chip in de pas zendt een signaal uit dat door de lezer wordt opgevangen. Vervolgens controleert het systeem welke toegangsrechten aan die identificatie zijn gekoppeld. Er zijn verschillende technologieën op de markt:

RFID-technologie (Radio Frequency Identification) is nog steeds de meest gebruikte technologie voor toegangscontrole binnen bedrijven. De nieuwere NFC-technologie (Near Field Communication) maakt communicatie over zeer korte afstand mogelijk en kan eenvoudig in smartphones worden geïntegreerd. Daarnaast heeft de MIFARE-standaard zich bewezen dankzij het versleutelingsniveau en de betrouwbaarheid.

Er wordt ook onderscheid gemaakt tussen de fysieke toegangspas, in de vorm van een kaart of sleutelhanger, en de virtuele pas, die digitaal beschikbaar is en rechtstreeks in een mobiele applicatie wordt opgeslagen. Deze tweede vorm wint terrein, vooral omdat er geen fysieke dragers hoeven te worden beheerd en toegangsrechten eenvoudig op afstand kunnen worden ingetrokken.

De toegangspas spreekt vooral aan door zijn eenvoud. Dit zijn de belangrijkste voordelen die het blijvende succes verklaren:

• Snelle implementatie: een toegangspassysteem kan doorgaans binnen enkele dagen worden geïnstalleerd, zonder ingrijpende bouwwerkzaamheden.
• Beheersbare kosten: de prijs van lezers en passen blijft betaalbaar, ook voor mkb-bedrijven met een beperkt budget.
• Gebruiksgemak: medewerkers hebben geen specifieke opleiding nodig.
• Onmiddellijke intrekking: bij verlies van een pas of vertrek van een medewerker kan de toegang met enkele klikken worden geblokkeerd, zonder de sloten te hoeven vervangen.

Een toegangspas is echter niet onfeilbaar. De belangrijkste zwakte zit in de aard ervan: het is een voorwerp dat verloren of gestolen kan worden, of aan iemand anders kan worden uitgeleend.

• Verlies of vergeten: een zoekgeraakte pas vormt direct een beveiligingsrisico, vooral wanneer het verlies niet snel wordt gemeld.
• Uitlenen aan collega’s: deze veelvoorkomende praktijk ondermijnt de individuele traceerbaarheid van toegangsbewegingen.
• Risico op klonen: oudere passen met eenvoudige chips, zoals 125kHz-chips, kunnen binnen enkele minuten worden gekopieerd met apparatuur die gemakkelijk verkrijgbaar is. Nieuwere passen met MIFARE DESFire-versleuteling bieden aanzienlijk meer weerstand tegen dit soort aanvallen.

Deze kwetsbaarheden doen niets af aan het nut van toegangspassen voor algemene toegangscontrole, maar tonen wel de beperkingen ervan aan wanneer een hoger beveiligingsniveau nodig is.

Waar een toegangspas op een voorwerp berust, is biometrie gebaseerd op de persoon zelf. Dat verschil is doorslaggevend, vooral bij de beveiliging van bijzonder gevoelige zones.

Er bestaan verschillende biometrische toegangstechnologieën, met uiteenlopende niveaus van betrouwbaarheid en kosten.

Vingerafdrukherkenning blijft de meest gangbare en volwassen technologie en wordt al jarenlang in tal van sectoren gebruikt. Gezichts- en irisherkenning ontwikkelen zich snel, vooral omdat ze gebruiksvriendelijk zijn en geen fysiek contact vereisen. Aderpatroonherkenning biedt ten slotte een van de hoogste beveiligingsniveaus op de markt, omdat dit patroon vrijwel onmogelijk te vervalsen of na te bootsen is.

Het belangrijkste voordeel van biometrie is duidelijk: de identificatie is aan uzelf gekoppeld. U kunt uw biometrische kenmerk niet verliezen, uitlenen of laten stelen zoals een pas.

Dit beveiligingsniveau maakt biometrie technisch interessant voor bijzonder gevoelige zones, zoals serverruimten, onderzoekslaboratoria en directieruimten. Ook het gebruiksgemak is een belangrijk voordeel: u hoeft niet langer naar een pas in uw tas of zak te zoeken. Toegang verloopt vanzelfsprekend en soms zelfs contactloos. De inzet ervan blijft in Nederland echter afhankelijk van de wettelijke uitzonderingen die voor de betreffende situatie gelden.

Biometrie heeft betrekking op bijzonder gevoelige gegevens: het menselijk lichaam. Daarom is het gebruik ervan strikt gereguleerd door de Algemene verordening gegevensbescherming (AVG) en de Nederlandse Uitvoeringswet AVG (UAVG).

Het centrale beginsel is dat van noodzakelijkheid en evenredigheid. Een bedrijf kan biometrische technologie niet zomaar inzetten: het moet aantonen dat het beoogde beveiligingsniveau, gezien de gevoeligheid van de te beschermen zone of gegevens, dit daadwerkelijk vereist. Voor toegangscontrole met biometrie geldt in Nederland in beginsel een verbod, tenzij een wettelijke uitzondering van toepassing is.

De Autoriteit Persoonsgegevens (AP) geeft aan dat biometrie voor toegangscontrole vrijwel altijd verboden is. Een organisatie kan dit alleen toepassen als een wettelijke uitzondering geldt, bijvoorbeeld wanneer de betrokkenen uitdrukkelijk en vrij toestemming hebben gegeven, of wanneer de verwerking noodzakelijk is voor authenticatie of beveiliging vanwege een zwaarwegend algemeen belang. De AP benadrukt dat deze noodzaak niet snel wordt aangenomen en noemt onder meer de beveiliging van een kerncentrale of staatsgeheime informatie als voorbeelden. In de arbeidsrelatie biedt toestemming doorgaans geen oplossing, omdat werknemers zich vaak niet vrij voelen om te weigeren. Voorafgaand aan de inzet van biometrische gegevens voor toegangscontrole moet bovendien een gegevensbeschermingseffectbeoordeling (DPIA) worden uitgevoerd.

Tot slot liggen de installatiekosten doorgaans hoger dan bij een toegangspassysteem. Dat komt door de kosten van de sensoren en de bijbehorende verwerkingssoftware.

De keuze kan niet los van de context worden gemaakt. Ze hangt af van de omvang van uw bedrijf en vooral van de aard van de zones die u wilt beveiligen. De toegang tot een industriële productielocatie stelt andere eisen dan die tot een serverruimte of een onderzoeks- en ontwikkelingslaboratorium.

Voor een mkb-bedrijf met een gebruikelijke personeelsstroom blijft de toegangspas vaak de meest geschikte keuze: eenvoudig, betaalbaar en voldoende voor algemeen gebruik. Voor een groot bedrijf met zones van strategisch belang kan een gedifferentieerde aanpak passend zijn. Biometrie kan technisch voor bepaalde kritieke toegangspunten worden overwogen, maar alleen wanneer een wettelijke uitzondering aantoonbaar van toepassing is.

De onderstaande tabel geeft een overzicht van de belangrijkste criteria die u bij uw keuze kunt meewegen

Tussen een volledig op passen gebaseerd systeem en een volledig biometrisch systeem bestaat een derde mogelijkheid: beide oplossingen combineren. Dit principe wordt multifactor-authenticatie (MFA) genoemd en wordt hier toegepast op de fysieke omgeving, niet alleen op digitale toegang.

Het idee is eenvoudig: om toegang te krijgen tot een kritieke zone zijn zowel de pas als de biometrische herkenning nodig. Deze dubbele controle verkleint het risico op onbevoegde toegang aanzienlijk, zelfs wanneer de pas is gestolen. In Nederland kan een dergelijke toepassing alleen worden overwogen als aan een wettelijke uitzondering op het verbod op biometrische verwerking is voldaan.

Technisch gezien is een mogelijke oplossing om de biometrische template op een individueel medium op te slaan, bijvoorbeeld op de chip van een persoonlijke toegangspas, in plaats van deze te bewaren in een centrale database die bij een cyberaanval kwetsbaar kan zijn. Deze gedecentraliseerde aanpak kan de hoeveelheid gegevens die het bedrijf bewaart beperken en de risico’s van opslag verkleinen. Dit is een technische mogelijkheid, geen officiële aanbeveling van de Nederlandse toezichthouder en op zichzelf geen garantie voor AVG-conformiteit. De verwerking moet nog steeds gerechtvaardigd zijn en voldoen aan alle toepasselijke wettelijke eisen.

Toegangspas of biometrie: er bestaat geen universeel antwoord, alleen een oplossing die bij uw situatie past. De toegangspas blijft een betrouwbare en betaalbare keuze voor algemene toegang tot uw bedrijfsruimten. Biometrie biedt technisch een hoog beveiligingsniveau, maar mag in Nederland alleen worden ingezet wanneer een wettelijke uitzondering op het verwerkingsverbod van toepassing is en aan alle voorwaarden is voldaan.

De juiste strategie bestaat vaak uit een combinatie van beide benaderingen, afgestemd op de verschillende zones en ondersteund door deskundigen die de werkelijke behoeften nauwkeurig kunnen beoordelen. Dat is precies het doel van een veiligheidsscan door professionals die zowel de beschikbare technologieën als de wettelijke eisen kennen.

Wilt u bekijken welk toegangscontrolesysteem het beste bij uw bedrijf past? De experts van Scutum begeleiden u vanaf de beveiligingsaudit van uw bedrijfspand tot en met de installatie van de oplossing die het beste aansluit op uw activiteiten.

Niet automatisch. Biometrische gegevens vallen onder de bijzondere categorieën persoonsgegevens van de AVG. De AP geeft aan dat biometrie voor toegangscontrole vrijwel altijd verboden is, tenzij een wettelijke uitzondering van toepassing is. In de arbeidsrelatie is uitdrukkelijke toestemming doorgaans geen geldige oplossing, omdat werknemers mogelijk niet vrij kunnen weigeren. Een werkgever moet de noodzaak en de toepasselijke wettelijke uitzondering kunnen aantonen. Vooraf is bovendien een DPIA vereist.

Niet noodzakelijk. Een systeem kan een biometrische template opslaan in plaats van de oorspronkelijke afbeelding van de vingerafdruk. De opslagmethode moet zorgvuldig worden beoordeeld, maar opslag op een persoonlijke pas is op zichzelf geen garantie voor naleving van de AVG. De volledige verwerking moet aan de wettelijke voorwaarden voldoen.

Ja, vooral oudere technologieën zoals 125kHz-chips kunnen gemakkelijk worden gekloond. Moderne passen met versleutelde protocollen, zoals MIFARE DESFire, zijn daarentegen veel moeilijker te kopiëren.