Modernizacija sistema kontrole pristupa ne mora krenuti od nule

Prelazak na novu generaciju kontrole pristupa ne mora se odvijati kroz grandiozne i disruptivne projekte. Razdvajanje funkcionalnih komponenti starog sistema od realnog uskog grla prvi je korak na putu prelaska na cloud i hibridnu arhitekturu. I tu nema potrebe za žurbom: svaka pojedinačna vrata i lokacija danas mogu pratiti tempo operativnih i finansijskih mogućnosti svojih korisnika

Piše: Mirza Bahić; E-mail: mirza.bahic@asadria.com

U kontroli pristupa, jedna istina je nadživjela sve nove tehnologije: vrata se često koriste godinama, pa i decenijama. Isto važi za njihove kablove, mehanizme za zaključavanje i komponente čitača. Istovremeno, tehnička arhitektura kontrole pristupa za konkretna vrata zastarijeva mnogo brže. Ovaj proces je ubrzan fragmentiranim bazama podataka, ručnim ažuriranjem i akreditivima koji su projektovani za neka drugačija sigurnosna okruženja.

Taj, naizgled, nesklad mijenja način na koji kompanije pristupaju modernizaciji kontrole pristupa. Tradicionalni pristup zamjene postojećeg sistema potpuno novom platformom za kontrolu pristupa sve je teže opravdati ako ključni segmenti postojeće instalacije i dalje uredno obavljaju svoju funkciju. Ovo je pokazala i analiza udruženja Security Industry Association (SIA) koja je opisala ovaj trend u oblasti komercijalne sigurnosti. Obrazac je stari, ali sada pušu neki novi vjetrovi jer platforme kojima se upravlja iz oblaka sve češće omogućavaju zadržavanje postojećeg hardvera i postepenu migraciju umjesto potpune zamjene od nule.

Zato pitanje više nije koliko starog sistema možemo ukloniti, nego koji njegovi dijelovi i dalje imaju vrijednost, a koji ga sputavaju. Da bi se na njega argumentirano odgovorilo, kontrolu pristupa za početak treba posmatrati kao skup različitih slojeva, a ne kao jedan nedjeljiv proizvod.

Zadržati vrata, zatvoriti usko grlo

Najbolji kandidati za zadržavanje obično su oni najmanje atraktivni. Na postojeće trase kablova, okove i mehanizme na vratima otpada značajan dio troškova i poremećaja koje nosi svaki projekat kontrole pristupa, naročito u velikoj zgradi ili mreži s više lokacija. Tokom tranzicije se mogu sačuvati i neki postojeći čitači i akreditivi.

Brže zastarijevaju upravljački i kontrolni slojevi kao što su serveri koji zahtijevaju lokalno održavanje, softver vezan za pojedinačne lokacije, fragmentirane baze korisnika i radni tokovi. Zbog njih svaka izmjena pravila pristupa postaje zasebno administrativno opterećenje.

Ovo razdvajanje je posebno važno kako se sistem širi. On na jednoj lokaciji sa svega nekoliko vrata može podnijeti određeni nivo ručnog upravljanja koji postaje teško održiv kada kompanija počne upravljati desetinama podružnica, različitim grupama akreditiva i promjenjivim pravima pristupa za više lokacija. Rješenje dolazi u vidu oblaka koji nudi centralizirano upravljanje koje može otkloniti potrebu za lokalnim upravljačkim serverima i smanjiti zavisnost od VPN-a. Kao bonus, administratorima se omogućava da korisnicima, vratima i događajima upravljaju preko zajedničkog preglednika ili mobilnog interfejsa.

I kompanija Suprema ima svoj pristup modernizaciji koji opisuje na sličan način: vrijedi zadržati ono što još radi, a obavezno ukloniti arhitektonska uska grla oko toga. Premještanje upravljanja u oblak raspetljava čvorište u kojem se manifestira složenost sistema, uz izbjegavanje nepotrebnih zahvata na samim vratima. No, šta je pokazala dosadašnja praksa?

Migracija na principu “vrata po vrata”

Najjači argument u korist hibridnog pristupa jeste to što migracija ne mora svuda početi i završiti u isto vrijeme. Na jednoj lokaciji mogu se zadržati postojeća vrata, trase kablova i dio infrastrukture čitača. Istovremeno je moguće mijenjati kontrolni i upravljački sloj oko njih, bez ometanja procesa i operacija. Osim toga, nove lokacije se u budućnosti mogu širiti na drugi način u odnosu na stare, bez kreiranja dva potpuno odvojena sigurnosna okruženja.

To je, naprimjer, logika dizajna arhitekture Hybrid Edge, koju koristi BioStar Air 2.12 sistem kompanije Suprema. Ova platforma može kombinirati pametne čitače povezane s oblakom i konfiguracije s kontrolerima na način da topologija prati potrebe konkretnog segmenta sistema. Kod nove instalacije, inteligencijska komponenta može biti pohranjena direktno u čitaču. Ako to zahtijevaju veći projekti, arhitektura zasnovana na kontrolerima može iskoristiti postojeće kablove i podržati složenije rasporede. Suprema navodi da kod Hybrid Edge arhitekture jedan CS-20 kontroler može povezati do 68 čitača lančanim povezivanjem i do 16 DI-24 interfejsa za vrata.

Istovremeno, stari i novi modeli implementacije mogu koegzistirati unutar istog upravljačkog sloja. Projekat modernizacije se na taj način može odvijati fazno, od vrata do vrata i pojedinačnih lokacija, umjesto da se čekaju finalni budžet i idealni termin za obnovu cijele mreže objekata. Zato Suprema ovu arhitekturu navodi kao prikladnu za nadogradnju postojećih lokacija i iskorištavanje kablova, uz kombiniranje konfiguracija u oblaku i sa kontrolerima.

Time se, u konačnici, mijenja i značenje industrijske fraze “kontrola pristupa u oblaku”. Upravljanje u oblaku ne znači nužno da svaka odluka o pristupu mora ići do udaljenog servera i nazad prije nego što se vrata otvore. BioStar Air sinhronizuje osnovne podatke o pristupnim akreditivima s podržanim rubnim uređajima, tako da RFID kartice, biometrijski predlošci, mobilni akreditivi i PIN-ovi mogu raditi i kada mreža nije dostupna. Akreditivi koji zavise od oblaka, poput Dynamic QR-a i LinkPassa, i dalje zahtijevaju konekciju, ali standardni pristup ostaje dostupan lokalno. U svijetu tehničke zaštite ta je razlika važna jer se otpornost sistema ne testira na dijagramu arhitekture nego na samim vratima.

Kompatibilnost je most, a ne odredište

Ipak, stvari nisu uvijek predvidive na terenu. Sistemska migracija je složenija ako ugrađena infrastruktura uključuje starije formate akreditiva i interfejse čitača. Ponovno izdavanje hiljada kartica ili zamjena svakog čitača može pretvoriti upravljivu nadogradnju u veliki operativni projekat. Zato je i kompatibilnost realna vrijednost tokom procesa tranzicije.

BioStar Air dio tog problema rješava podesivim Wiegand formatima kartica. Kodovi objekta, ID segmenti, bitovi pariteta i drugi parametri mogu se podesiti na način da kompanije tokom migracije mogu koristiti ranije izdate akreditive umjesto da ih mijenjaju samo zbog promjene upravljačke platforme. Suprema je upravljanje prilagođenim Wiegand formatima uvela s verzijom BioStar Air 2.10, pri čemu se migracija s postojećih instalacija za kontrolu pristupa navodi kao jedna od namjena.

Ipak, retroaktivna kompatibilnost ne bi trebala postati razlog za neograničeno zadržavanje svake zastarjele tehnologije. Tu je važno razlikovati održavanje kompatibilnosti tokom migracije od odluke da starija arhitektura ostane dugoročni sigurnosni standard.

SIA klasifikuje Wiegand kao stari interfejs između čitača i kontrolera. Za razliku od novijih alternativa, on koristi jednosmjernu signalizaciju i ne šifrira podatke o akreditivima. SIA-in OSDP protokol razvijen je kao naprednija alternativa, koja dodaje dvosmjernu komunikaciju, nadzor veze i šifrirani sigurni kanal.

Zanimljivo je da čak ni prelazak s Wieganda na OSDP ne mora značiti kretanje od nule. SIA-ine smjernice za implementaciju iz 2026. preporučuju procjenu onoga što se može ponovo iskoristiti, uz napomenu da montažni hardver, infrastruktura napajanja, pa čak i postojeći kablovi često mogu ostati u upotrebi. Smjernice također preporučuju planiranje faznih migracija kako bi se izbjegli nepotrebni zastoji u poslovanju.

I tu je, zapravo, dio šire pouke koju vrijedi usvojiti u 2026. Strategija modernizacije može dovoljno dugo zadržati stare akreditive da se izbjegne ometanje poslovanja, ali i istovremeno trasirati put prema sigurnijim interfejsima i jačoj autentifikaciji na vratima višeg rizika. Zato korisnu ali zastarjelu infrastrukturu i naslijeđene sigurnosne slabosti ne treba tretirati kao istu stvar.

Kako ustanoviti da je sistem odslužio svoje?

Ovdje je stvar relativno prosta: nastavak korištenja infrastrukture ima smisla samo dok zadržane komponente i dalje ispunjavaju tehničke i sigurnosne zahtjeve novog sistema.

Kabliranje mora biti tehnički prikladno za komunikacijsku metodu koja će se primjenjivati preko njega. Postojeći čitači moraju podržavati akreditive i sigurnosne zahtjeve nadograđenog sistema. Okovi i mehanizmi vrata i dalje moraju nuditi nadzor, pouzdanost i zaštitu koju zahtijeva postojeći profil rizika. Ipak, čitač koji i danas besprijekorno radi s formatima kartica starim nekoliko decenija postaje pogrešna komponenta za vrata koja zahtijevaju jaču autentifikaciju, šifriranu komunikaciju ili biometriju.

To je jedan od razloga zbog kojih postepena modernizacija mora početi s inventurom, a ne sa šoping-listom novih proizvoda. Korisnik mora razumjeti da li postojeći akreditivi predstavljaju rizik, koja su sredstva mehanički ispravna, a koji interfejsi tehnološki zastarjeli i gdje će zamjena donijeti realnu sigurnosnu ili operativnu korist.

Pri tome se, vrijedi zapamtiti, rezultat može razlikovati od vrata do vrata. Jedan interni prolaz niskog rizika može opravdati zadržavanje većeg dijela postojeće infrastrukture, dok podatkovna soba, laboratorij ili menadžerski prostor trebaju nove čitače i akreditive kao prioritet. Modernizacija u tom slučaju postaje zbir odluka zasnovanih na riziku, a ne jednoobrazna zamjena cijelog sistema.

Identitet kao dio kontrole pristupa

Fizička vrata su tek jedna od granica u savremenom sistemu kontrole pristupa. Druga granica je životni ciklus upravljanja identitetima s odgovorima na pitanja: ko kreira korisnika i mijenja njegovu ulogu, koliko brzo se pristup onemogućava nakon prestanka zaposlenja i je li baza podataka o sigurnosti sinhronizovana s glavnim izvorom podataka na nivou kompanije.

Zastarjela okruženja ove procese često pretvaraju u paralelnu administraciju. Ljudski resursi ili informatički odjel često promijene podatke o zaposleniku, dok sigurnosni tim mora zasebno ažurirati lokalnu bazu kontrole pristupa. U jednoj zgradi to može biti podnošljivo. Međutim, u distribuiranoj organizaciji svaki duplicirani radni tok otvara prostor za korištenje zastarjelih prava pristupa, nedosljedne evidencije i ručne greške.

Zato cloud platforme sve češće tretiraju integraciju poslovnog identiteta kao dio kontrole pristupa, a ne kao samostalnu IT funkciju. Platforma BioStar Air, naprimjer, podržava Microsoft Entra i Okta kroz jedinstvenu prijavu i automatizirano kreiranje i upravljanje korisnicima. To omogućava sinhronizaciju korisnika, grupa i administratora s poslovnim sistemima za upravljanje identitetima. Suprema također nudi API-je, webhooks okidače i razvojne komplete (SDK) za povezivanje sa sistemima za ljudske resurse, upravljanje posjetiocima i analitiku.

Ova promjena je naizgled suptilna, ali može igrati važnu ulogu u sigurnosnom mozaiku. Savremeni projekti kontrole pristupa sve češće se protežu izvan centrala i panela i obuhvataju životni ciklus identiteta. To znači i smanjenje broja lokacija na kojima se isti identitet mora nezavisno kontrolisati. Kada se status osobe promijeni, cilj je da okruženje kontrole pristupa tu promjenu odrazi dosljedno, umjesto da se nedopustivo dugo čeka da se više odvojenih baza podataka naknadno uskladi.

Video dodaje ključni kontekst sigurnosnom događaju

Sistemi kontrole pristupa detaljno bilježe je li neki akreditiv prihvaćen ili odbijen. No, oni ne mogu objasniti šta se, zapravo, desilo na samim vratima kao sigurnosni događaj. To mogu biti različite situacije: važeći akreditiv je iskoristila pogrešna osoba, vrata su ostala otvorena za drugu osobu ili alarm traži vizuelnu potvrdu za bolje razumijevanje situacije.

Zato se kontrola pristupa i video sve češće susreću na operativnom tehnološkom sloju. Kao primjer može poslužiti BioStar Air, koji koristi kamere kompatibilne s ONVIF-om kako bi prijenos uživo i snimljeni video postali dio radnog toka kontrole pristupa. Na taj način se podržava povezivanje snimka s pojedinačnim događajima u sferi kontrole pristupa. U postojećoj implementaciji, Profile S podržava prijenos uživo, dok Profile G omogućava reprodukciju snimljenog videa. Za korisnike, ova vrijednost je operativnog karaktera. Evidencija kontrole pristupa može pokazati da je neki akreditiv prihvaćen, ali će tek odgovarajući snimak pokazati šta se zaista desilo na vratima.

Za projekte modernizacije, ovakva otvorenost je pitanje same arhitekture sistema, a ne samo stavka za označiti na tehničkoj specifikaciji. Drugim riječima, savremene platforme za pristup će morati razmjenjivati informacije sa sistemima koji često nisu bili dio prvobitnog projekta za kontrolu pristupa.

Cyber sigurnost je nova ključna stavka

Još jedan sigurnosni model se trajno mijenja premještanjem upravljanja u oblak. Tradicionalna infrastruktura se može ukloniti, ali u paketu dolazi i odgovornost za kibernetičku sigurnost.

Korisnici više neće morati održavati aplikacijski server za kontrolu pristupa ili VPN na svakoj lokaciji. No, one sada postaju zavisnije od zaštićenih administratorskih identiteta, šifrirane komunikacije, održavanja softvera i mogućnosti brzog ukidanja dozvola. Zato sigurnosna arhitektura platforme BioStar Air uključuje AES-256 šifriranje za zaštićene podatke, TLS 1.2 za API komunikaciju i certifikat ISO/IEC 27001. Cloud model smanjuje i tradicionalno opterećenje zakrpama softvera, dok se firmverom uređaja može centralno upravljati u distribuiranim instalacijama.

To traži i promjenu pristupa najboljim praksama. Sistem kontrole pristupa može biti pušten u rad kao sigurna platforma, a da ipak s godinama postane ranjiv ako se firmver ne ažurira, administratorski računi se gomilaju, a prava pristupa ostaju aktivna i nakon odlaska korisnika. Centralizirano upravljanje tako postaje osmatračnica koja te probleme čini vidljivijim kroz objedinjavanje pravila, ažuriranja, statusa uređaja i revizijskih podataka u jedinstvenom operativnom okruženju.

I daljinska administracija slijedi istu logiku. Administratori mogu dodjeljivati ili ukidati pristup, upravljati vratima i pratiti događaje bez odlaska na svaku lokaciju. U velikoj distribuiranoj mreži to može značajno smanjiti radno opterećenje. Ipak, ne smije se zaboraviti i da mogućnost daljinskog upravljanja mora pratiti kvalitetno upravljanje sistemom. Zato kvalitetna autentifikacija administratora, jasno definisane privilegije, revizijski tragovi i disciplinovano upravljanje identitetima postaju sfera tehničke zaštite, a ne izolirani informatički problemi.

 Ekonomija zadržavanja funkcionalne opreme

Sve navedeno košta. Pri tome se finansijski argument za postepenu modernizaciju često svodi na izbjegavanje troška uvođenja novog hardvera. Time se, zapravo, iz vida ispušta važan dio ukupne računice troškova.

Zamjena jednog čitača je zadatak za sebe. Skidanje kablova, koordinacija obustave korištenja vrata, obnova korisničkih baza, obuka operatera i puštanje u rad cijele mreže potpuno su drugi red veličine kada je u pitanju realizacija projekata. Čak i kada pojedinačne komponente nisu skupe, poremećaj poslovanja može potpunu zamjenu učiniti teškom za planiranje i pravdanje uloženog.

Kao rješenje se nameće hibridna migracija, koja raspoređuje te troškove kroz vrijeme i omogućava da ulaganja prate rizik. Prioritetna vrata se, naprimjer, mogu nadograditi prva. Nova podružnica može odmah usvojiti arhitekturu koja je izvorno zasnovana na oblaku, dok staro sjedište firme nastavlja koristiti infrastrukturu s kontrolerima do sljedećeg ciklusa renoviranja. Funkcionalni kablovi i oprema na vratima ne postaju kandidati za otpad samo zato što se promijenila upravljačka arhitektura.

Upravljanje iz oblaka može utjecati i na tekuće operativne troškove. Uklanjanje zavisnosti od lokalnih servera i VPN-ova smanjuje infrastrukturu koju treba održavati na svakoj lokaciji. Istovremeno, daljinsko upravljanje i dijagnostika prorjeđuju situacije zbog kojih tehničari moraju izlaziti na teren. SIA-ina analiza modernizacije upravljane iz oblaka navodi daljinsku administraciju kao način smanjenja opterećenja timova za podršku i nepotrebnih izlazaka tehničara na teren, uz jednako dosljedno uvođenje promjena konfiguracije.

Ovo, jasno, ne znači da je svaka fazna migracija automatski jeftinija. Integracije, pretplate, mreže, testiranje i podrška nose svoje troškove, ali zadržavanje neprikladne komponente se brzo može pretvoriti u lažnu uštedu. Zato svaka pametna računica mora usporediti vrijednost svakog postojećeg sloja s troškom i rizikom njegovog zadržavanja.

Modernizacija bez trauma

Najkorisniji princip kod modernizacije kontrole pristupa je onaj koji je najmanje dramatičan. Prema njemu, komponente se ne mijenjaju samo zato što su stare, ali i ne zadržavaju samo zato što još rade. Ovdje sve počinje od procjene uloge konkretne komponente, rizika koji nosi i potencijala da postane usko grlo za arhitekturu čiji je dio.

Za kompanije, prvi korak ka modernizaciji često je zamjena upravljačkog sloja, uz zadržavanje vrata, kablova i akreditiva. U drugoj fazi, to može biti eliminacija ranjivih interfejsa čitača, uvođenje biometrijskih ili mobilnih akreditiva, integracija poslovnog upravljanja identitetima ili povezivanje pristupa s videom. Hibridne arhitekture omogućavaju da se ove odluke donose redoslijedom koji korisnicima zaista odgovara. Konačni cilj je utvrditi način na koji korisna infrastruktura može nastaviti opravdavati svoje postojanje dok se, paralelno, uklanjaju tehnološka ograničenja u vezi s njom.

Zato je danas najbolji projekat modernizacije onaj koji je korisnicima najmanje vidljiv. Vrata se i dalje otvaraju, akreditivi nastavljaju raditi, a poslovanje se nesmetano odvija iako se jezgra arhitekture preslaže u pozadini i samo onda kada je to stvarno potrebno i moguće.

Dvije generacije pod jednim krovom

Jedan praktičan scenarij migracije koji navodi kompanija Suprema opisuje kako se komadići sigurnosnog mozaika mogu skladno uklopiti kroz sekvencu koraka. Zamislimo korisnika sa sistemom pristupa zasnovanim na Wiegandu, postojećim kablovima i mehanički ispravnim vratima. Njen problem nije to što ljudi ne mogu ući u zgradu, nego što je upravljanje pristupom i dalje vezano za zastarjelu lokalnu arhitekturu i neefikasno za upravljanje i skaliranje.

Prvi korak ne mora uključivati nikakvo čupanje opreme. Postojeći akreditivi mogu nastaviti raditi kroz podesive Wiegand formate tamo gdje je to prikladno. Dijelovi sistema zasnovani na kontrolerima mogu prelaziti na Hybrid Edge arhitekturu, uz zadržavanje upotrebljivih trasa kablova. Upravljanje prelazi u oblak bez potrebe da se svaka fizička komponenta promijeni istog dana.

Novim vratima se tada može pristupati drugačije. Čitači direktno povezani s oblakom mogu se uvoditi bez obnove stare arhitekture, dok se lokacije koje zahtijevaju napredniju autentifikaciju oslanjaju na uređaje kao što je BioStation 3. Verzija BioStar Air 2.10 uvela je i izvornu podršku za AI autentifikaciju lica, mobilne akreditive, RFID, QR skeniranje i funkcije SIP interfona za daljinsko otključavanje vrata.

Konačni rezultat nije nagli prelazak sa zastarjelog na moderno. Riječ je o izgradnji mreže objekata u kojoj dvije generacije implementacije mogu koegzistirati unutar zajedničke upravljačke platforme, dok se stariji elementi naknadno povlače iz upotrebe u skladu s rizikom, budžetom i investicijskim ciklusom. Tako se postiže da kontrola pristupa koegzistira s investicijskim ciklusima, ljudskim resursima i sistemima upravljanja objektim