Что выбрать: карты, PIN, биометрию или распознавание лица?

Проект СКУД чаще всего разваливается не на выборе считывателя, а на неописанном пользовательском сценарии. Сценарий — это кто идёт, в какую зону, в какое время суток, что у него в руках и что произойдёт при отказе оборудования. Пока эти четыре ответа не записаны, любой выбор между картой, PIN, отпечатком и лицом остаётся угадыванием.

Как это выглядит на объектах: на складе ставят сканер отпечатка, а грузчики работают в перчатках и с коробками в обеих руках — считыватель начинает «не узнавать» людей, и через неделю дверь подпирают ящиком. На уличной проходной зимой палец холодный и сухой, доля отказов растёт именно в мороз. Подрядчику на два дня не заводят биометрический шаблон, потому что согласие оформлять некогда, — и его проводит сопровождающий по своей карте, обнуляя весь учёт.

Ни один из этих провалов не связан с качеством железа. Все три — следствие того, что сценарий прохода не описали до закупки. По той же причине потом появляются отклонения монтажа от проекта: точки доступа переносят по факту, а не по замыслу.

Четыре метода отвечают на три разных вопроса. Карта подтверждает владение предметом, PIN — знание секрета, отпечаток и лицо — свойство человека. Отсюда и разные слабые места: предмет передают, секрет подглядывают, свойство нельзя одолжить, но его труднее считать в реальных условиях цеха, улицы и часа пик.

Практический вывод простой: карта и PIN проигрывают там, где важна персональная ответственность за вход, а биометрия проигрывает там, где важна скорость и неприхотливость. Смешивать методы на одном объекте — норма, а не компромисс.

Пропускную способность считают до выбора считывателя, а не после. Формула одной линии прохода: проходов в час = 3600 / t, где t — среднее время одного прохода в секундах. Значение t берут замером на действующем объекте или по аналогу; это рабочее допущение проекта, а не норматив. При t = 3 секунды одна линия даёт 3600 / 3 = 1200 проходов в час.

Теперь проверим сценарий утренней смены. Допустим, 400 человек должны зайти за 15 минут, то есть за 900 секунд. Требуемый темп — 900 / 400 = 2,25 секунды на человека. Одна линия при t = 3 секунды пропустит за это окно 900 / 3 = 300 человек, дефицит — 100 человек. Две линии дают 600 проходов за то же окно, то есть закрывают поток с запасом.

Вывод, который меняет закупку: если требуемый темп получается быстрее вашего замеренного t, проблему решает количество линий, а не смена карты на биометрию. По нашему опыту на объектах в Казахстане именно здесь чаще всего пытаются купить более «умный» терминал вместо второго турникета — и получают ту же очередь, только дороже. Это тот самый случай, когда стоит заранее посмотреть, где вы переплатите за решение с запасом.

Проход хвостом — когда следом за одним сотрудником в открытую дверь входит второй — не лечится сменой считывателя. Идентификатор отвечает на вопрос «кто предъявил признак», а не «сколько человек физически прошло». Заменив карту на распознавание лица, вы получите точную запись о первом человеке и полное отсутствие данных о втором.

Работают здесь другие вещи, и они относятся к исполнительной части, а не к методу доступа:

• Исполнительное устройство, физически пропускающее по одному: турникет-трипод, роторный турникет, шлюзовая кабина вместо электромагнитного замка на двери.
• Антипассбэк (запрет повторного входа): карта, которая вошла и не вышла, второй раз внутрь не пускается — это дисциплинирует и делает передачу карты заметной.
• Видеоверификация события прохода: привязка кадра к транзакции СКУД, чтобы спорный случай разбирался фактом, а не показаниями.
• Организационный контур: пропускной режим и ответственность за сопровождение посетителей, зафиксированные документом, а не устной договорённостью.

Биометрию нельзя внедрить одним приказом по предприятию. Закон РК от 21 мая 2013 года № 94-V «О персональных данных и их защите» (adilet.zan.kz, Z1300000094) относит биометрические данные к персональным: это данные, характеризующие физиологические и биологические особенности субъекта. Сбор и обработка ведутся с согласия субъекта (ст. 8); случаи сбора без согласия перечислены отдельно (ст. 9).

Отсюда следует инженерное требование, которое обычно забывают заложить в проект: у каждого биометрического пункта доступа должен быть работающий альтернативный метод. Сотрудник вправе не дать согласие или отозвать его, и в этот момент он не должен оказаться заперт снаружи собственного рабочего места. Практически это означает, что карта на таком проходе остаётся не «запасным вариантом на случай поломки», а штатным вторым сценарием.

Отдельно закон ограничивает использование в общественных местах технологических средств сбора биометрических данных и идентификации субъекта (ст. 7): такое использование допускается в строго очерченных целях, кроме случая, когда получено согласие субъекта. Для объекта это означает, что зона размещения лицевого терминала и зона видеонаблюдения — разные по правовому режиму вещи, и путать их не стоит. Смежные требования мы разбирали в материале про замечания по персональным данным и видеозаписи лиц.

Ещё два пункта, которые стоит зафиксировать в техническом задании: хранить биометрический шаблон, а не исходное изображение, и заранее описать процедуру удаления данных при увольнении.

Цифра «точность 99,9 %» в коммерческом описании биометрического терминала сама по себе не значит ничего. Стандарт ISO/IEC 19795-1:2021 разделяет ошибки сравнения (FMR — ложное совпадение, FNMR — ложное несовпадение) и ошибки решения системы (FAR — ложный допуск, FRR — ложный отказ), причём вторые включают ещё и неудачи захвата признака сенсором. Без указания порога и условий съёмки одно число несопоставимо с другим.

Второе распространённое заблуждение — что биометрию «нельзя подделать». FAR и FRR измеряются на добросовестных попытках, а стойкость к предъявлению подделки — это отдельная дисциплина: обнаружение атак предъявления, PAD, по ISO/IEC 30107-3:2023 (испытания и отчётность). Если поставщик не показывает результат по PAD, вопрос устойчивости к муляжу просто не проверялся.

Третье — качество съёмки и состав людей влияют на результат сильнее маркетинговых характеристик. NIST в отчёте NISTIR 8280 (FRVT Part 3: Demographic Effects) зафиксировал, что доли ложных срабатываний различаются по демографическим группам, и что разрыв усиливается при низком качестве изображений. Для объекта это переводится в простое проектное правило: освещение и ракурс на лицевом терминале — часть системы, а не «условия эксплуатации».

Два фактора оправданы там, где цена одного ошибочного входа выше, чем неудобство лишней секунды на проходе. Классические комбинации — карта плюс PIN и карта плюс биометрия. Первая закрывает риск потерянной или переданной карты, вторая дополнительно привязывает событие к конкретному человеку.

Ставить два фактора на всю территорию бессмысленно: на проходной это удвоит время прохода и сломает расчёт часа пик из раздела выше. Разумная граница — помещения третьего уровня доступа: серверная, касса, склад товарно-материальных ценностей, архив с персональными данными, помещение с наличными или ключами.

Сценарий доступа считается описанным, когда на восемь пунктов ниже есть письменные ответы, а не устные договорённости. Пройдите их до того, как начнёте сравнивать модели считывателей и терминалов: каждый незакрытый пункт с высокой вероятностью превращается в переделку уже после монтажа, когда точки доступа стоят, кабель проложен, а люди ходят иначе, чем предполагалось.

1. Перечислены ли все категории проходящих: штатный персонал, сменный персонал, посетители, подрядчики, водители, проверяющие.
2. Разбит ли объект на зоны с разным уровнем доступа и совпадает ли эта разбивка с реальной планировкой.
3. Замерен ли пиковый поток: сколько человек, за какое окно, через сколько линий.
4. Что у людей в руках и на руках в момент прохода — перчатки, коробки, инструмент, спецодежда.
5. Улица или помещение: температура, осадки, прямое солнце и встречный свет на лицевом терминале.
6. Как выдаётся и изымается временный доступ подрядчику, и кто это делает физически.
7. Что происходит при отказе считывателя и при пропадании питания — есть ли описанный ручной сценарий.
8. Для биометрии: где оформляется согласие, где хранится шаблон, что удаляется при увольнении, какой метод работает без согласия.

Правильный результат проектирования — не «мы выбрали биометрию», а таблица «зона → риск → метод». Требования к антитеррористической защите объектов, уязвимых в террористическом отношении (ПП РК от 06.05.2021 № 305, adilet.zan.kz, P2100000305), прямо предполагают оснащение СКУД по зонам с различным уровнем доступа персонала и посетителей. То есть зонирование — это не наша методическая надстройка, а логика самого требования.

Такая таблица заодно снимает спор о бюджете: дорогие терминалы остаются там, где они действительно меняют уровень риска, а на массовом потоке работает быстрый и дешёвый идентификатор. Логика та же, что при определении зон, которые должны быть закрыты видеонаблюдением — покрывают не «всё», а то, что относится к конкретному сценарию угрозы.