كل من يفكر في مخاطر أنظمة التحكم بالدخول يقفز مباشرة إلى السيناريو المثير: البطاقة المستنسخة، أو الثغرة في الفيرموير. وفي الوقت نفسه، النظام الذي تركّب قبل أشهر في المبنى المجاور يتعطل لسبب أبسط بكثير: قفل من النوع الخطأ تم تمديده بشكل معكوس، أو قارئ قديم لا يزال يبثّ بيانات الاعتماد بنص صريح، أو نظام لم يُمنح أصلاً وسيلة للتحدث مع كاميرات المراقبة وسجلات الزوار. هذا هو العطل الذي يظهر فعلاً في بلاغات الصيانة، وهو عطل يمكن تفاديه بالكامل لو تمت معالجته من البداية.

لماذا تفشل الأنظمة التي تجتاز اختبار البطاقة خلال أشهر قليلة

أي تركيب لنظام تحكم بالدخول "يعمل" تقريباً في اليوم الأول. تمرر البطاقة، يُفتح القفل، الجميع يوقّع على التسليم. المشكلة أن اختبار التمرير الناجح لا يخبرك شيئاً تقريباً عن قدرة النظام على الصمود في ظروف التشغيل الفعلية: تذبذب الكهرباء، نمو قاعدة البيانات، دوران الموظفين، أو زيارة مفتش حريق يهتم فجأة بتمديدات مخرج الطوارئ.

يفيد مركّبو الأنظمة في القطاع بأن نسبة كبيرة من المؤسسات تواجه أعطالاً في نظام التحكم بالدخول خلال ستة أشهر من التركيب، والسبب الجذري نادراً ما يكون العتاد نفسه. المشكلة غالباً هي تخطيط متسرّع، أو تقليص جودة المكونات لتحقيق رقم ميزانية معيّن، أو التعامل مع لوحة التحكم كصندوق مستقل بدلاً من كونها عقدة واحدة ضمن منظومة أمنية أكبر. لا شيء من هذا يظهر أثناء التسليم النهائي. يظهر بعد ثلاثة أشهر عندما يرفض باب فتح نفسه أثناء إنذار حريق، أو عندما يعجز الجميع عن إنتاج سجل تدقيق لحادثة لأن سجلات الدخول لم تُربط بأي شيء أصلاً.

إذا كنت تخطّط لتركيب جديد، أو تدقّق نظاماً ركّبه غيرك، فالسؤال الأول ليس "هل يفتح الباب؟" بل "ماذا يحدث عندما تنقطع الشبكة، أو تنقطع الكهرباء، أو يُستبدل القارئ؟" إذا لم يستطع أحد الإجابة، فأنت لا تملك نظاماً مكتملاً، بل عرضاً توضيحياً فقط.

Wiegand مقابل OSDP: مشكلة النص الصريح التي ما زالت في معظم القارئات القديمة

عدد ضخم من القارئات العاملة اليوم ما زال يتحدث بروتوكول Wiegand، وهو بروتوكول ينقل بيانات بطاقة الدخول بنص صريح بلا أي تشفير. هذه ليست ملاحظة تقنية هامشية، بل تعني أن جهازاً موضوعاً فيزيائياً قرب القارئ يمكنه اعتراض هذه البيانات واستنساخها دون الحاجة للوصول إلى اللوحة أو الشبكة أصلاً. Wiegand لم يُصمَّم أساساً وهو يضع هذا النوع من التهديد في الحسبان؛ إنه ببساطة بروتوكول قديم.

ولهذا السبب بالتحديد أنشأت جمعية صناعة الأمن (Security Industry Association) بروتوكول Open Supervised Device Protocol المعروف اختصاراً بـ OSDP، خصيصاً ليحلّ محل Wiegand ويمنح منتجات التحكم بالدخول معياراً أكثر أماناً وقابلية للتشغيل البيني. يدعم OSDP الاتصال المشفّر بين القارئ واللوحة، ويضيف خاصية الإشراف (supervision)، أي أن اللوحة تعرف فعلياً إذا تم فصل القارئ أو التلاعب به. الشركات المصنّعة توصي به الآن للتركيبات الجديدة، ولسبب وجيه: فهو يغلق واحداً من أبسط مسارات الهجوم الفيزيائي في كامل منظومة التحكم بالدخول.

الخلاصة العملية: إذا كنت تحدّد مواصفات عتاد جديد، لا تقبل قارئات Wiegand في قائمة المواد إلا إذا كان هناك سبب توافق قديم موثّق. وإذا كنت تدقّق نظاماً قائماً، افحص طرازات القارئات مقابل وثائق الشركة المصنّعة؛ معظم اللوحات الحديثة تدعم OSDP إلى جانب Wiegand، ما يجعل الترحيل باباً باباً كلما استُبدل قارئ أمراً واقعياً. لا تحتاج لتفكيك النظام بالكامل لحل هذه المشكلة، بل تحتاج لخطة ترحيل والانضباط بعدم إضافة المزيد من أجهزة Wiegand إليه.

Fail-safe مقابل Fail-secure — وأخطاء التمديد التي تلاحقك لاحقاً

هذا خطأ له تبعات سلامة حقيقية، وليست أمنية فقط. القفل من نوع fail-safe يُفتح عند انقطاع الكهرباء، وهو مطلوب على الأبواب الواقعة على مسار مخرج الحريق لأن الناس يحتاجون للخروج أثناء انقطاع الكهرباء. أما القفل من نوع fail-secure فيبقى مغلقاً عند انقطاع الكهرباء، وهو مناسب للأبواب التي تريد فيها الحفاظ على الأمان حتى أثناء انقطاع التيار، مثل غرفة الخوادم أو خزينة الكاش. اربط باباً من نوع fail-safe بتمديد fail-secure وتكون قد صنعت باباً يحبس الناس أثناء الحريق. واربط باباً من نوع fail-secure بتمديد fail-safe وتكون قد صنعت باباً يفتح نفسه في كل مرة تتذبذب فيها الكهرباء.

هذا ليس خطأً نادراً. الأخطاء الموثّقة ميدانياً في التركيبات تشمل هذا العكس بالضبط، إلى جانب خطأين متكررين آخرين: غياب صمام الفلاي باك (flyback diode) على القفل الكهرومغناطيسي، وهو ما يسمح لارتفاع الجهد الناتج عن ملف القفل عند إزالة الطاقة بإتلاف اللوحة، وعكس القطبية على خط RS-485، وهو ما قد يعطّل الاتصال بكل القارئات المتصلة أسفل الخط، أو الأسوأ، يتلف دوائر التشغيل (bus drivers) في الأجهزة المتصلة. الأخطاء الثلاثة رخيصة الوقاية ومكلفة التشخيص لاحقاً، لأنه بحلول الوقت الذي يلاحظ فيه أحد المشكلة، تبدو الأعراض (قارئ "عشوائي" التوقف، لوحة تعيد التشغيل باستمرار) بعيدة كل البعد عن السبب الحقيقي.

إذا كنت تسلّم نظاماً، تحقّق فيزيائياً — لا تكتفِ بالثقة بمخطط التمديد — من أن حالة الفشل (fail state) لكل باب تطابق تصنيفه في خطة السلامة من الحريق، وتأكد من وجود صمامات الفلاي باك على كل قفل مغناطيسي، وافحص قطبية RS-485 بجهاز قياس قبل تشغيل الخط. الأمر يتطلب عشرين دقيقة إضافية لكل باب. تجاهل ذلك يكلّفك بلاغ صيانة، وفي حالة fail-safe/fail-secure، قد يكلّفك مخالفة سلامة لن يتغاضى عنها مفتش الحريق.

التحكم بالدخول ليس نظاماً منعزلاً — إنه مُدخل واحد ضمن صورتك الأمنية الكاملة

تمرير بطاقة لا يرتبط بأي شيء آخر هو مجرد سطر في قاعدة بيانات. قيمة نظام التحكم بالدخول تتضاعف لحظة ربطه بأنظمتك الأخرى: لقطات CCTV مرتبطة بحدث دخول محدد ببطاقة معيّنة، سجلات نظام إدارة الزوار التي تُنهي صلاحية بطاقة الزائر المؤقتة تلقائياً في نهاية الزيارة، ولوحات الإنذار التي يمكنها إغلاق أو فتح مناطق بناءً على مُحفّز من نظام التحكم بالدخول. تعامل مع هذه الأنظمة كأنظمة منفصلة تم شراؤها من موردين مختلفين بلا خطة تكامل، وستنتهي بثلاثة مصادر للحقيقة لا تتفق مع بعضها، وهو تحديداً الوضع الذي لا يريد المحقق أن يجد نفسه فيه بعد وقوع حادثة.

وهنا أيضاً تنهار عقلية "هذا مجرد أمن فيزيائي، وليس تقنية معلومات". لوحات التحكم بالدخول الحديثة هي أجهزة متصلة بالشبكة، والأجهزة المتصلة بالشبكة تصبح هدفاً. كتالوج CISA للثغرات المستغلة فعلياً (Known Exploited Vulnerabilities) يتضمن ثغرات حقيقية في برمجيات التحكم بالدخول مُستغَلة ميدانياً، من بينها ثغرة تحكم دخول غير سليم في نظام Ubiquiti UniFi OS يمكن أن تتيح لمهاجم موجود أصلاً على الشبكة إجراء تغييرات غير مصرّح بها في النظام. هذا ليس خطراً نظرياً في ورقة بحثية، بل نوع الاكتشاف الذي يدخل كتالوج ثغرات حكومي لأنه مُستغَل فعلياً. بنية التحكم بالدخول تحتاج نفس انضباط التصحيح (patching)، وفصل الشبكة، وعزل VLAN الذي تطبّقه على أي خادم أو جهاز آخر في شبكتك، وليس تركيباً من نوع "شغّله وانساه".

الاستناد إلى إطار عمل حقيقي بدل التخمين

إذا أردت خط أساس قابلاً للدفاع عنه وللتدقيق بدلاً من مجموعة تفضيلات عشوائية، فإن الضابط PE-3 من معيار NIST SP 800-53 هو نقطة الارتكاز الصحيحة. يفرض هذا الضابط على المؤسسات التحقق من تصاريح الدخول الفردية قبل منح دخول المرفق، والتحكم في نقاط الدخول والخروج المحددة، وهو أمر يبدو بديهياً حتى تتحقق فعلياً هل نظامك يفرض تحققاً فردياً حقيقياً أم يكتفي بفحص "هل هذه بطاقة صالحة" دون ربطها بشخص محدد مصرّح له وبجدول زمني معيّن. كما تحتفظ NIST بملحق مخصص لأنظمة التحكم الإلكتروني بالدخول الفيزيائي (ePACS)، نُشر عام 2021، كإرشاد على مستوى الحكومة لدمج التحكم الفيزيائي بالدخول مع التحكم القائم على الهوية. لست بحاجة لأن تكون منشأة فيدرالية لتستفيد منه؛ إنه قائمة فحص متينة لأي مؤسسة تريد أن تكون سياسة التحكم بالدخول لديها أكثر من مجرد إعداد افتراضي من المورّد.

قائمة تدقيق قبل التركيب وبعده

• البروتوكول: هل هناك قارئات جديدة محددة كـ Wiegand بلا سبب توافق قديم موثّق؟ ضع علامة عليها واستبدلها بعتاد يدعم OSDP.
• حالة الفشل: هل نوع القفل (fail-safe/fail-secure) لكل باب يطابق تصنيفه في خطة مخرج الحريق؟
• التمديدات: هل صمامات الفلاي باك موجودة على كل الأقفال المغناطيسية؟ هل تم التحقق من قطبية RS-485 بجهاز قياس فعلي وليس اعتماداً على المخطط؟
• نظافة الشبكة: هل لوحات التحكم بالدخول معزولة في VLAN خاص بها، ومُصحَّحة (patched) وفق جدول زمني، وليست على نفس الشبكة المسطّحة مع Wi-Fi الضيوف؟
• التكامل: هل ترتبط أحداث الدخول بطوابع CCTV الزمنية؟ هل ينهي نظام إدارة الزوار صلاحية البطاقات المؤقتة تلقائياً؟
• نموذج التصريح: هل يتحقق النظام من الهوية الفردية والجدول الزمني (PE-3) أم يكتفي بـ "بطاقة صالحة، في أي وقت"؟
• التوثيق: هل يوجد مخطط تمديد كما تم تنفيذه فعلياً (as-built)، وليس نيّة التصميم الأصلية؟

اختر الآن باباً واحداً في منشأتك — ويُفضّل أن يكون الباب الذي لم يلمسه أحد منذ التركيب — وطبّق هذه القائمة عليه. إذا فشل في أكثر من بندين، فهذا ليس مشروعاً مستقبلياً. هذا مشروع هذا الأسبوع.

المصادر

• NIST SP 800-53 Rev.5 PE-3: Physical Access Control
• NIST ePACS Overlay (Government-Wide)
• CISA Known Exploited Vulnerabilities Catalog
• Axis Communications White Paper: Why choose OSDP over Wiegand
• 7 Common Mistakes in Access Control Installations, FPC Security
• Access Control Installation Mistakes and How to Avoid Them, Action1st

مصدر صورة الغلاف: csrc.nist.gov