Control de acceso terciario: tarjetas, biometría, GTC integrada

En una planta de 5000 m² que alberga entre 250 y 350 colaboradores, su sistema orquesta tres funciones indisociables: autenticación (quién entra), autorización (dónde y cuándo), trazabilidad (historial con marca temporal explotable en caso de incidente). Esto representa generalmente entre 15 y 25 puertas controladas en este tipo de planta, repartidas según las zonas de uso.

El artículo R.4227-5 del Código de Trabajo condiciona el posicionamiento: una escalera de emergencia única de 1,40 a 1,50 m autoriza un máximo de 100 personas por planta, lo que estructura los flujos y los enclavamientos SSI. Establecemos la cartografía de las zonas (pública, semipública, restringida, sensible) antes de cualquier elección técnica, y activamos el análisis de impacto RGPD previo conforme al reglamento tipo CNIL (deliberación 2019-001).

Cuándo su proyecto no se ajusta a este enfoque: por debajo de 6 a 8 puertas en una única planta con menos de 40 colaboradores, basta con un simple cilindro electrónico autónomo y la inversión en un sistema centralizado no suele justificarse. A la inversa, la biometría centralizada solo resulta pertinente a partir de 50 puertas efectivamente sensibles: por debajo de ese umbral, ni la complejidad del AIPD ni el coste de licencia se amortizan.

Nuestra central integra entre 50 y 5000 puertas según el tamaño del parque, en arquitectura IP TCP/IP sobre LAN o bus RS485 por debajo de 20 puertas. Activamos la redundancia activo-activo por encima de 500 puertas, configuración recomendada en los parques multisitio para garantizar la continuidad del servicio. La integración con la GTC se realiza mediante OPC UA o BACnet según los referenciales del edificio, la integración con el directorio mediante LDAP o SCIM, y condiciona la calidad del aprovisionamiento de RRHH: creación y revocación automáticas en los movimientos de personal.

En cuanto a los soportes, la tarjeta RFID Mifare DESFire EV2 sigue siendo nuestra referencia con cifrado AES de 128 bits, por entre 8 y 12 euros sin IVA por tarjeta. La tarjeta móvil NFC en el smartphone elimina la logística física. Los lectores murales representan entre 150 y 600 euros sin IVA por unidad, alimentados a 12V o 24V desde armarios compartidos.

Nuestra lectura, en desacuerdo con la doxa de los integradores: la biometría morfológica (huella, red venosa) no se justifica en zonas terciarias habituales. La CNIL solo admite la biometría sin consentimiento individual para locales cuya naturaleza de las actividades o de la información almacenada imponga una seguridad reforzada (deliberación 2019-001). En espacios abiertos o salas de reuniones, la tarjeta DESFire EV2 combinada con un código PIN cubre la gran mayoría de las necesidades reales de control de acceso terciario. Ir más allá expone a su DSI a un riesgo de AIPD no amortizable.

Su explotación genera tres beneficios medibles que estructuran un retorno de la inversión que suele constatarse entre 24 y 36 meses, integrando los ahorros de energía, la reducción de siniestros y el tiempo de administrador liberado.

• Productividad administrativa y SLA RRHH-DSI: reduce el tiempo dedicado a la gestión de las tarjetas (creación, revocación, préstamos) gracias al flujo de trabajo digital conectado al directorio de RRHH mediante SCIM, con un ciclo de revocación objetivo inferior a 4 horas en la baja de un colaborador (objetivo RSSI habitual).
• Conformidad RGPD y auditabilidad: trazabilidad mediante registros con marca temporal conservados 3 meses de forma estándar o 12 meses para zonas sensibles justificadas, explotables en caso de incidente o litigio laboral, conforme al reglamento tipo CNIL (deliberación 2019-001).
• Optimización inmobiliaria y decreto terciario: datos de recuento por zona explotables para el reporting y el ajuste de las consignas de climatización en franjas de baja ocupación, palanca directa sobre su trayectoria de Eco Energía Terciaria.

1. Auditoría de flujos y AIPD
   Cartografiamos sus zonas (pública, semipública, restringida, sensible), inventariamos los perfiles de usuario (indefinidos, temporales, proveedores, visitantes) y realizamos el análisis de impacto RGPD previo conforme al reglamento tipo CNIL (deliberación 2019-001). Duración: 2 semanas. Entregable: cartografía zonal, AIPD, escenarios de flujo validados por su RSSI.
2. Decisión tecnológica
   Comparamos de 3 a 4 fabricantes en cuanto a apertura protocolaria (OPC UA, BACnet, REST), perennidad del editor y coste total de propiedad a 7 años. Duración: 1 semana. Entregable: matriz de decisión cuantificada, recomendación argumentada de tarjeta DESFire EV2 o biometría según el umbral de 50 puertas sensibles.
3. Precableado integrado en el lote CFA
   Integramos el precableado en el lote de corrientes débiles: una alimentación por grupo de 4 a 6 puertas, vías VDI dimensionadas con un +30% de reserva. Duración: 3 semanas. Entregable: planos de ejecución coordinados con los lotes de electricidad, climatización y tabiquería.
4. Instalación, configuración e integración con el SI
   Instalamos los lectores, integramos Active Directory mediante LDAP/SCIM, configuramos los enclavamientos SSI en puertas cortafuegos y ejecutamos las pruebas de conmutación. Duración: 4 semanas. Entregable: sistema operativo, aprovisionamiento de RRHH automatizado, enclavamientos SSI validados.
5. Recepción y formación de administradores
   Llevamos a cabo la recepción sobre 50 escenarios tipo y formamos a sus administradores en dos sesiones de 3 horas. Duración: 2 semanas. Entregable: DOE completo, procedimientos de explotación, equipo DSI autónomo en la gestión diaria.