Zgubiłeś kartę do biura. Najgorsze, co możesz zrobić, to czekać

Sięgasz do kieszeni przed wejściem do biura i karty nie ma. Może została w domu, w taksówce albo przy kasie w sklepie. Łatwo pomyśleć: „jeszcze poszukam, nie będę robić zamieszania”. Problem w tym, że dopóki karta działa, każda kolejna minuta przedłuża niepewność.

Zgłoszenie nie jest przyznaniem się do poważnego zaniedbania. To zwykła część kontroli dostępu — podobnie jak zastrzeżenie zgubionej karty płatniczej. Szybkie unieważnienie chroni pracownika, firmę i osoby przebywające w budynku.

Zgłoś brak od razu, nie po całym dniu szukania

Skontaktuj się z ochroną, recepcją, administracją budynku lub przełożonym zgodnie z procedurą. Podaj:

• swoje imię i numer identyfikatora, jeśli go znasz;
• kiedy i gdzie ostatnio widziałeś kartę;
• przybliżony czas zauważenia braku;
• czy z kartą zginęły klucze, dokument, laptop albo kartka z adresem;
• gdzie można się z Tobą skontaktować.

Poproś o unieważnienie karty, a nie tylko zapisanie zgłoszenia. Jeżeli później ją znajdziesz, nie zakładaj, że znów działa — przekaż ją do osoby zarządzającej dostępem. Ponowne włączenie starego identyfikatora powinno być świadomą decyzją, nie próbą przy czytniku.

Zgubienie nie dowodzi, że ktoś wszedł do budynku

Nie każda utracona karta zostaje użyta. Organizacja powinna jednak móc sprawdzić zdarzenia od ostatniego pewnego użycia: nietypowe wejścia, próby dostępu do innych stref i godziny niepasujące do obecności pracownika. Zakres sprawdzenia zależy od uprawnień karty oraz tego, z czym została zgubiona.

Karta bez nadrukowanej nazwy firmy niesie mniejsze ryzyko wskazania drzwi. Karta w firmowej smyczy, razem z kluczami i dokumentem z adresem, tworzy znacznie czytelniejszą instrukcję. Te elementy należy zgłosić razem, bo zmieniają ocenę sytuacji.

Nie pożyczaj identyfikatora „na chwilę”

Gdy karta zostaje w domu, kuszące jest wejście za kolegą albo pożyczenie jego identyfikatora. W ten sposób zapis wejść przestaje odpowiadać rzeczywistości, a pracownik, który pomaga, bierze na siebie cudze działania.

Lepszym rozwiązaniem jest przepustka tymczasowa wydana po potwierdzeniu tożsamości. Powinna mieć ograniczony czas i zakres, a po zakończeniu dnia wrócić do recepcji. Procedura dla zapomnianej karty musi być na tyle prosta, aby obchodzenie jej nie wydawało się szybsze.

Nie wpuszczaj też nieznanej osoby tylko dlatego, że mówi o zgubionym identyfikatorze i zna nazwisko pracownika. Zaprowadź ją do recepcji lub wezwij osobę, która może potwierdzić jej tożsamość.

Co zrobić, gdy znajdziesz cudzą kartę

Nie testuj jej na drzwiach i nie publikuj pełnego zdjęcia w firmowym czacie. Przekaż kartę do ochrony lub recepcji, podając miejsce i czas znalezienia. Numer, fotografia i widoczne oznaczenia mogą ułatwiać podszywanie się pod właściciela, dlatego nie powinny krążyć bez potrzeby.

Jeśli znajdziesz kartę poza budynkiem, skorzystaj z oficjalnego numeru firmy albo informacji zwrotnej nadrukowanej na identyfikatorze. Nie próbuj samodzielnie odszukiwać pracownika przez prywatne profile i nie wysyłaj zdjęcia dokumentu przypadkowym osobom.

Dobra kultura zgłoszeń jest zabezpieczeniem

Kary za pierwszą zgubioną kartę mogą zachęcić ludzi do wielogodzinnego szukania po cichu. Bezpieczniejszy proces nagradza szybkie zgłoszenie, umożliwia natychmiastową blokadę i dopiero później wyjaśnia okoliczności.

Firma powinna regularnie sprawdzać aktywne identyfikatory, odbierać je osobom odchodzącym i dokumentować wydanie kart tymczasowych. Karta jest fizyczna, ale reprezentuje tożsamość i uprawnienia — jej cykl życia powinien być zarządzany tak samo uważnie jak dostęp do konta.

Źródło i wnioski Breachroad

Przewodnik CISA dotyczący środków ochrony obiektów komercyjnych zaleca procedury zgłaszania i wymiany zagubionych lub skradzionych poświadczeń, wyłączanie powiązanego identyfikatora oraz okresowe przeglądy aktywnych kart. Źródło potwierdza potrzebę szybkiej dezaktywacji i zarządzania całym cyklem życia przepustki.

Porównanie ryzyka kilku zgubionych przedmiotów, prosty proces bez obwiniania i zakres przepustki tymczasowej są rekomendacjami Breachroad. Więcej o zasadzie sprawdzania każdej próby dostępu piszemy w artykule o Zero Trust. Zachowania pracowników i recepcji można przećwiczyć podczas szkoleń z cyberbezpieczeństwa Breachroad.