门禁系统优化石油天然气的安全管理浅析

作者系HID Global 大中华区营销总监

保障石油天然气的运营和资产的安全管理是一项极其大的挑战。石油行业的产业链长，生产、运输、销售、服务过程中多与易燃易爆品打交道，安全事故风险和环境风险大，任何安全漏洞都会威胁到石油天然气厂区的员工及附近人员的生命及财产安全，损害当地环境和中断生产。

面临的多重安全挑战

除了原材料危险，许多因素都会将石油及天然气公司置于危险的境地。地处偏远，以及本地基础设施欠佳都会使得企业装备容易受到恶意攻击，而任何安全违规会对员工、当地环境甚至国家的能源网络基础设施稳定性造成潜在的安全隐患。不仅如此，这类因素还会随着运营规模扩大而有所增加。石油与天然气田可能延伸数千公里，大型石油天然气企业的员工人数可能高达30，000人，其中包括工人、维修队伍、工程师，以及技术、医护和后勤人员。企业不仅要切实保障这些员工能够安全工作与生活，还要具备必要的基础设施来快速有效确认个人身份，向个人发放所需的凭证卡，根据个人职务及相应凭证卡要求的门禁权限来限制其在场内的活动范围。

在所有的政策、流程和程序中，管理、控制获取信息和资源时需要考虑几个重要方面：

现场门禁系统：门禁系统通过技防和人防相结合，谨慎从事，能确保所在区域的安全。这不仅包括公司员工的安全，还包括承包商、合作伙伴、来访者以及公众的安全。特别是，石油公司需要实时了解所在现场人员信息以及所处位置，并限制对高风险区域的访问，以确保公众不会意外闯入有害区域，例如危险品存放室或机房。通过采用含OPIN接口的开放式系统架构门禁系统，还能支持融合多维安防系统，通过强大的字定义规则引擎支持将系统硬件与常规应用（例如，消防、视频监控和报警）进行联动，提供安防能力。

访客管理系统：电子化的访客预登记系统，对即将到访客进行身份验证，防止危险分子的混入。

计算机安全登录：信息技术访问控制程序，用于限制用户访问计算机及联网的资源与数据。这些程序包括安全认证、数据加密、单一登录和远程虚拟专用网络（VPN）访问。

在石油天然气行业没有“一劳永逸”的万能身份及门禁管理策略，各种风险漏洞、层出不穷的威胁以及周边的实际环境都是需要考虑的因素。例如，上游地区会面对高温、灰尘和爆炸风险等诸多环境挑战，需要使用IP门禁管理解决方案解决布线难问题。在生产区域内，传统的巡更方式无法满足对现场情况的实施监控，因此可以借助门禁控制系统，使用在线式的巡更方案，实现对各种异常情况的快速处置。在办公室环境中，实体攻击或事故的风险几率可能较低，但信息安全的风险却相应增加，因此需要使用物理凭证卡作计算机登录。将物理和逻辑门禁结合在一张智能卡，并部署多项用途，可大幅度节约成本。因此，要提供切实有效的提高安全管理，需要包括以下几个方面：

门禁系统的开放性和智能化设计

采用开放式架构，支持IP 的智能化门禁系统平台，具备全面的安全管理及故障排除机制，并通过安全防范，预警和报警的安全流程，提高石油天然气企业的安全指数。在功能上，智能化设计的门禁解决方案包括实时监控，功能全面的离线操作和基于IP 的远程管理，不仅实现了门的智能化，而且优化了安全管理，授权管理人员能直接在管理中心进行授权区域的分级限时权限设置。

例如：HID Global为中电福溪电厂设计的门禁系统，采用集成福溪电厂网络基础架构和设施管理的整体方法。实现了远程门禁控制、员工分级授权及访客出入管理，确保福溪发电厂广大生产和设施区域的安全，有效地避免因用户计算机故障、通信连接失败，或部分门禁设备故障而影响整个门禁系统正常运行的情况发生。通过中央管理中心进行分级限时管理，拥有权限的管理人员可以通过电子地图对各门点进行直接的开/闭控制，直接了解各个门禁点的开关状态，当发生开门超时或强行开门等报警事件时，门图标将发生变化并出现报警提示框。通过远程的电子地图管理，减少了人员巡逻的投入并提高了管理效率。

另外，OPIN®开放平台是影响门禁系统灵活性和适应性的重要方面。OPIN®为客户提供了更多的个人性安全管理应用，采用OPIN®接口的门禁系统平台，客户能够自由的根据需要选择或自定义开放软件，并能通过OPIN®平台，将能源系统接入智慧城市的整个管理平台中。

单一智能卡集成多种应用

智能卡已成为石油天然气行业解决方案的重要部分。因为智能卡可以保证较高级别的机密性和安全性，而通过采用单一智能卡解决方案除了能做到中央管理外，还能使员工无需随身携带不同类卡完成各类应用，例如门禁、电脑登录，考勤和安全打印管理系统及小额电子支付。在用户更可在智能卡嵌入其他应用，包括生物识别技术，这需要扩展智能卡的数据存储容量以容纳生物识别模板。在理想的情况下，智能卡还应内置视觉防伪技术及其他用于提高整体安全性的元件。

更重要的是，智能卡能在各种应用中采用多层安全保护，包括门禁、云端和设备上的数据保护。其中，最佳的身份验证方式应超越简易的密码验证，从而确保了个人信息的真实性。大部分企业通常集中保护网络周边的的安全，依靠静态密码来验证防火墙内的用户身份。然而，这种认证方式不足以应付对于如今五花八门的高级持续性威胁(Advanced Persistent Threats)、黑客攻击及采用自带设备 (Bring Your Own Device, BYOD) 模式的相关风险。静态密码势必进行扩展，并且应该纳入其他多因子身份验证方式。这种手段一直被视为免受攻击的主要安全战略，加上用户仍然不愿意接受随身携带一个单独专用的动态密码装置。如今，非接触式一次性密码登录解决方案解决了这个问题，它通过为用户提供一张智能卡而得以实现的，用户可以使用这些卡，轻松地拍卡执行电脑登录和注销操作，同时设置了一道较强身份验证的安全防线。

其他多层安全保护策略包括设备身份验证（包括在企业网络上或在云端上应用的个人设备）、浏览器保护、交易身份验证/基于模式的智能及应用层安全性。这要求集成式多层身份验证机制和实时的威胁检测平台的使用。欺诈检测技术早已应用在网上银行和电子商务中。目前，该技术有望应用于企业，为远程访问（如VPN或虚拟桌面）提供额外的安全保护。与此同时，对于双因子身份验证策略，它通常仅局限于动态密码 (OTP Token)、显示卡和其他设备，但市场上也推出了用于手机、平板电脑和浏览器令牌等用户设备的“软件令牌”(Soft token)。通过手机应用程序产生一次性密码，或者通过短信将一次性密码发送至手机。

智能卡进行云端的身份识别管理。随着机构越来越多地利用软件即服务 (Software as a Service,SaaS) 模式和移动身份识别解决方案。将数据迁移至云端不仅可以使用SaaS应用系统，也可以通过存储在别处的内部应用系统来完成，但最有效的方法可能是联合身份识别管理，这可以让用户通过中央身份验证后登录多个应用程序。联合 ID 管理支持多种身份验证方式，通过中央管理审计记录来满足法规要求，而无需变更终端用户设备。此外，联合身份识别管理还用来保护系统免受高级持续性威胁、点对点黑客(ad hoc hacking)、员工恶意行为及内部威胁（如员工欺诈）的攻击，确保在卡片和智能手机上进行身份识别管理。

访客管理改进安全和效率

访客管理系统在石油行业的应用可极大地改善安全性和运营效率，同时提高以前使用纸质解决方案企业的专业水平。访客管理技术将越来越多地整合到门禁系统中，以提供完整的安全解决方案，保护员工和临时来访人员的安全，防止擅自闯入的人员造成损害。访客管理系统与门禁系统的整合使前台服务人员能简便、安全地通过访客管理系统、而不是门禁系统为来宾提供临时感应卡。在办理进入手续时输入到访客管理系统中的信息被传送到门禁系统中，以便激活发给访客的感应卡。当访客通过前厅访客系统办理离开手续时，该卡片被自动撤销，过期日期和时间都自动传送到门禁系统中，从而确保丢失或被盗的卡片不会再被使用。整合访客管理系统和门禁系统还消除了一些问题，例如在前台存放有效卡片以防员工忘记携带身份卡这种问题。访客系统还记录了所有接受过门禁卡的访客信息，因此留下了完整的审计线索，包括卡片处于有效状态的日期和时间。

此外，可视化安全管理对石油天然气内外部人员的安全发行及的卡片安全的的应用。石油天然气企业的员工人数可能高达 30,000 人，其中包括工人、维修队伍、工程师，以及技术、医护和后勤人员。采用更高安全性与性能的发卡系统，能快速制作高清晰的安全证卡，防止卡片伪造。

HID Global FARGO®HDP5000打印机/编码器的特殊性能使其能够满足大型赛事中，政府发卡的安防要求。HDP5000采用热转印打印技术热转印技术，并不直接将信息打印到证卡上，而是将打印图像打印到覆膜上，然后将覆膜贴到证卡表面，使卡片更为耐用持久。此类卡片还具有防篡改功能，如有伪造者试图撕开保护层，图像基本上就会自行损坏。此外，HDP5000可增添压膜模块，提高卡片的视觉安全，例如全息覆膜；同时，该打印机支持磁条卡、感应卡和接触式及非接触式智能卡的编码功能，可将员工的资料直接写入卡片，方便核实身份。

结束语

石油天然气公司安全的考虑因素包括：门禁系统的安全性，灵活性；智能卡的多功能应用，以及其他安全（如防伪造）功能等。对于石油天然气行业的用户而言，考虑到存储数据的价值和敏感区域所需的物理门禁安全保护，安全的重要性将会越来越高。但是，方便与效率对管理数千员工的公司而言也同样非常重要，因此集成了智能卡策略的门禁管理、电脑安全管理可以有效地解决这一难题。