בקרת כניסה ביומטרית מזהה את העובד לפי מאפיין גופני, כמו טביעת אצבע, תווי פנים או דפוס כלי הדם בכף היד, במקום כרטיס שאפשר להשאיל או לאבד. בישראל, מאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, מזהה ביומטרי הוא מידע בעל רגישות מיוחדת, ולכן ההחלטה להתקין מערכת כזו היא גם החלטה משפטית ולא רק טכנית.
העמוד הזה מתמקד בהיבט אחד של הנושא. את התמונה המלאה תמצאו במדריך בקרת כניסה לעסק.
המדריך מסביר איך עובדת בקרת כניסה ביומטרית, מתי מתאימה בקרת כניסה בטביעת אצבע ומתי עדיפה שיטה אחרת, איך מתמודדים עם ניסיונות זיוף, ומה דורשת הרשות להגנת הפרטיות ממעסיק. מי ששוקל חלופה בלי מידע ביומטרי ימצא את ההשוואה במדריך בקרת כניסה סלולרית.
איך עובדת בקרת כניסה ביומטרית?
בשלב הרישום (Enrollment) החיישן קולט את המאפיין של העובד וממיר אותו לתבנית (Template), ייצוג מספרי של נקודות אופייניות. במערכת מתוכננת היטב נשמרת התבנית ולא התמונה עצמה. בכל כניסה החיישן קולט דגימה חדשה, ממיר אותה לתבנית ומשווה אותה לתבנית השמורה.
יש שתי שיטות השוואה:
- אימות (1:1): העובד מציג קודם כרטיס או קוד, והמערכת משווה את הדגימה רק לתבנית שלו. השיטה מהירה ומקטינה את הסיכוי לזיהוי שגוי.
- זיהוי (1:N): העובד מציג רק את האצבע או את הפנים, והמערכת מחפשת התאמה בין כל התבניות. נוח יותר, אבל ככל שמספר המשתמשים גדל, גדל גם הסיכוי להתאמה שגויה.
כל מערכת ביומטרית עובדת עם סף החלטה. סף מחמיר מקטין את הסיכוי להכניס אדם לא מורשה (FAR, False Acceptance Rate), אבל מגדיל את מספר העובדים שנדחים בטעות (FRR, False Rejection Rate). אין מספר אחד שמתאר את הדיוק של קורא: הוא תלוי באלגוריתם, בחיישן, בסף שנבחר ובאוכלוסיית המשתמשים. נתוני יצרן נמדדים בדרך כלל בתנאי מעבדה.
איך מבצעים רישום ביומטרי שעובד לאורך זמן?
חלק גדול מהדחיות השגויות נובע מרישום חלש ולא מהקורא. רישום טוב נעשה מול אותו סוג קורא שמותקן בדלת, בתאורה ובטמפרטורה דומות, ובנוכחות אדם שמכיר את המערכת.
- בטביעת אצבע רושמים לפחות שתי אצבעות, משתי הידיים, כדי שלעובד תהיה חלופה כשאצבע אחת פצועה או חבושה.
- בזיהוי פנים מצלמים את העובד בזווית ובגובה שבהם הוא ניגש לדלת בפועל, בלי כובע ובלי משקפי שמש.
- בודקים את איכות הדגימה מיד, ומבצעים רישום מחדש אם הקורא מדווח על איכות נמוכה.
- קובעים נוהל לרישום חוזר, למשל אחרי פציעה, שינוי משמעותי במראה או החלפת דגם הקורא.
איפה נשמרות התבניות הביומטריות, ולמה זה חשוב?
יש ארבעה מקומות אפשריים: בקורא עצמו, בבקר, בשרת או בענן של הספק, ועל כרטיס חכם שבידי העובד. ככל שהתבניות מרוכזות במקום אחד, קל יותר לנהל אותן, אבל דליפה אחת חושפת את כל העובדים. סיסמה אפשר להחליף אחרי דליפה, טביעת אצבע אי אפשר.
לכן חשוב לברר עם הספק אם התבניות מוצפנות, אם הן נשמרות בנפרד משאר פרטי העובד, ומי יכול לגשת אליהן. הרשות להגנת הפרטיות ממליצה לשקול שמירה על התקן שבחזקת העובד, כמו כרטיס עובד, כדי לבטל את הסיכון של דליפת המידע של כל העובדים יחד.
בקרת כניסה בטביעת אצבע: מתי היא מתאימה?
בקרת כניסה בטביעת אצבע היא השיטה הביומטרית הנפוצה ביותר: הקורא קטן, מותקן בקלות ליד הדלת, והעובדים מכירים אותו מהטלפון. היא מתאימה למשרדים, לחדרי שרתים ולמחסנים שבהם מספר המשתמשים מוגבל והסביבה נקייה.
המגבלות מופיעות בעיקר בעבודה פיזית. אצבעות מלוכלכות, רטובות או שחוקות, עבודה עם כפפות ושימוש בחומרי ניקוי פוגעים בקריאה. חיישנים מסוגים שונים, אופטי, קיבולי או רב-ספקטרלי, מתמודדים אחרת עם אצבע רטובה או שחוקה, ולכן כדאי לבצע ניסיון עם העובדים עצמם, בתנאי השטח, לפני רכישה של כמה קוראים.
זיהוי פנים, כף יד או טביעת אצבע: מה ההבדל?
| שיטה | יתרון עיקרי | מגבלה עיקרית |
|---|---|---|
| טביעת אצבע | קורא קטן ומוכר, רישום פשוט | מגע בחיישן; רגישות ללכלוך, ללחות ולשחיקה |
| זיהוי פנים | ללא מגע, מתאים למעבר עמוס | רגיש לתאורה חזקה מאחור, לקסדות ולמסכות; המצלמה קולטת גם את הסביבה |
| כלי דם בכף היד | המאפיין נמצא מתחת לעור, ורוב הקוראים פועלים בלי מגע | פחות נפוץ, ומבחר הקוראים והבקרים התומכים מצומצם יותר |
זיהוי פנים דורש תכנון מיוחד של מיקום המסוף, התאורה וזיהוי החיות. ההסבר המלא נמצא במדריך בקרת כניסה זיהוי פנים.
איך מונעים זיוף של קורא ביומטרי?
מתקפת הצגה (Presentation Attack) היא ניסיון להטעות את החיישן באמצעות תמונה, מסכה או אצבע מסיליקון. משפחת התקנים ISO/IEC 30107 מגדירה את המונחים ואת שיטות הבדיקה לגילוי מתקפות כאלה (PAD, Presentation Attack Detection), והערכת המכון האמריקאי לתקנים וטכנולוגיה (NIST) לאלגוריתמים לזיהוי מתקפות הצגה מתארת מטרה מפורשת של מתקפה כזו: קבלת גישה למתקן בזהות של אדם אחר.
לפני רכישה כדאי לבקש מהספק דוח בדיקה של מעבדה בלתי תלויה לפי ISO/IEC 30107-3, ולא להסתפק בהצהרה כללית על "זיהוי חיות". בדלתות רגישות במיוחד עדיף לשלב את המאפיין הביומטרי עם אמצעי נוסף, כרטיס או קוד, ולהתקין את הבקר בצד המאובטח של הדלת, כך שפגיעה בקורא שבחוץ לא תאפשר לפתוח אותה.
מה אומר החוק על בקרת כניסה ביומטרית לעובדים?
המדריך לתיקון 13 של הרשות להגנת הפרטיות מונה מזהה ביומטרי המשמש לזיהוי אדם או לאימות זהותו באופן ממוחשב ברשימת המידע בעל הרגישות המיוחדת, ומסביר שהתיקון הקנה לרשות סמכות להטיל עיצומים כספיים.
הכללים המעשיים מופיעים במסמך המדיניות של הרשות בנושא מידע ביומטרי במקום העבודה מפברואר 2024. עיקריו:
- השימוש צריך להיות סביר ומידתי, והמעסיק צריך להצדיק אותו ולבחון חלופות פוגעניות פחות, כמו כרטיסי עובד שאינם כוללים מידע ביומטרי.
- חלופה שהרשות מציינת לטובה: שמירת התבנית על כרטיס חכם שבידי העובד בלבד, בלי מאגר מרכזי. לגישת הרשות, חלופה זו אינה יוצרת סיכונים עודפים לפרטיות.
- בהיעדר הסמכה בחוק אסור לחייב עובד למסור מידע ביומטרי בלי הסכמתו, והרשות ממליצה לאפשר לעובדים לבחור בין מערכת ביומטרית לחלופה שאינה ביומטרית.
- הסכמת העובד הכרחית אך לא מספיקה: גם עם הסכמה, השימוש צריך לעמוד בתנאי המידתיות.
- המידע ישמש רק למטרה שלשמה נאסף, יאובטח לפחות ברמת האבטחה הבינונית, וימחק בסיום ההעסקה בכל מערכות הארגון, כולל בגיבויים.
- הרשות ממליצה לערוך תסקיר השפעה על הפרטיות לפני תחילת האיסוף.
המסמך מוסיף חובת יידוע רחבה: לפני האיסוף יש להסביר לעובדים בשפה ברורה מהן מטרות האיסוף, מי אחראי למאגר ומי מורשה לגשת אליו, איך המידע מאובטח, מהם הסיכונים, ומהן זכויות העיון והתיקון שלהם. בפועל כדאי להכין מסמך הסבר קצר, להחתים עליו את העובדים שבחרו בשיטה הביומטרית, ולשמור תיעוד של בחינת החלופות שנעשתה לפני ההחלטה.
המסמך עוסק בעובדים ובבקרת נוכחות, ומציין במפורש שאינו עוסק בזיהוי ביומטרי של כלל הנכנסים לעסק. זיהוי ביומטרי של לקוחות, מבקרים או דיירים מחייב בדיקה משפטית נפרדת. מי שמתכנן להשתמש באותו קורא גם לדיווח שעות ימצא את השיקולים במדריך מערכת בקרת כניסה ונוכחות.
מה לבדוק לפני שמתקינים קורא ביומטרי?
- האם יש הצדקה ממשית לאמצעי ביומטרי בדלת הזו, או שכרטיס מוצפן או טלפון מספיקים.
- היכן נשמרות התבניות: בקורא, בבקר, בשרת, בענן או על כרטיס העובד.
- איזו חלופה תינתן לעובד שאינו מסכים, ולעובד שהקורא אינו מזהה באופן עקבי.
- האם הקורא עבר בדיקת זיהוי מתקפות הצגה, ומה כתוב בדוח.
- איך מוחקים תבנית של עובד שעזב, כולל מהגיבויים.
- האם התקשורת בין הקורא לבקר מוצפנת.
השיקולים הכלליים של בחירת מערכת, כמו ענן מול שרת מקומי ושאלות לספק, מופיעים במדריך בקרת כניסה לעסק.
לייעוץ בבחירת בקרת כניסה ביומטרית או חלופה לא ביומטרית, ובשילובה ברשת ובמרכזיה: 077-8123111.
שאלות נפוצות
לפי מסמך המדיניות של הרשות להגנת הפרטיות, בהיעדר הסמכה בחוק אין לחייב עובד למסור מידע ביומטרי בלי הסכמתו, והרשות ממליצה לאפשר בחירה בחלופה שאינה ביומטרית. בפועל, העובד מקבל כרטיס אישי מוצפן, קוד אישי או הרשאה בטלפון, שעובדים באותה דלת ובאותו בקר. כדאי לתכנן את החלופה כבר בשלב הרכישה, לוודא שהקורא תומך בה, ולתעד את בחירת העובד, כדי שהסירוב לא יהפוך לעיכוב בכניסה.
כן, וזו אחת החלופות שמקטינות את הנטל המשפטי. כשהעובד פותח את הדלת בתעודה דיגיטלית בטלפון, והטלפון מחייב אימות בטביעת אצבע או בזיהוי פנים לפני השימוש, המאפיין הביומטרי נבדק ונשמר במכשיר של העובד בלבד, והמעסיק אינו מחזיק מאגר. מנגד, המערכת מוכיחה שהמכשיר המורשה הגיע לדלת, ולא בהכרח מי מחזיק בו. ההשוואה המלאה בין השיטות מופיעה במדריך בקרת כניסה סלולרית.
סדר הבדיקה המומלץ: ניקוי החיישן, בדיקה אם אצבע העובד פצועה, יבשה מדי או רטובה, ולאחר מכן רישום מחדש בתנאי השטח. אם העובד רשום באצבע אחת בלבד, כדאי להוסיף אצבע מהיד השנייה. בזיהוי פנים, שינוי במראה, משקפיים חדשים או תאורה חזקה מאחור משפיעים על הזיהוי. אם הבעיה חוזרת אצל עובדים רבים, ייתכן שסף ההחלטה מחמיר מדי או שהחיישן אינו מתאים לסביבה. עד לפתרון, העובד צריך אמצעי חלופי.
קורא טביעת אצבע בכניסה צובר שומן, אבק ושאריות של חומרי ניקוי, ואלה מגדילים את מספר הדחיות השגויות. מנקים אותו במטלית רכה ובחומר שהיצרן מאשר, בלי חומרים שוחקים, בתדירות שתלויה בתנועה בדלת ובסביבה. בקורא שחשוף לשמש או לגשם יש לבדוק שהמיגון שלם. בנוסף, יש לעדכן את קושחת הקורא כשמתפרסם עדכון, ולעקוב ביומן האירועים אחר עלייה בדחיות, שמסמנת לרוב צורך בניקוי או ברישום מחדש.
תלוי היכן מתבצעת ההשוואה. כשהתבניות שמורות בקורא, בבקר או על כרטיס העובד, הדלת ממשיכה לפעול גם בניתוק מהשרת, והאירועים נשמרים ועולים כשהקשר חוזר. כשההשוואה מתבצעת בשרת או בענן, ניתוק עלול לחסום כניסה ביומטרית, ואז נדרש אמצעי גיבוי כמו כרטיס או קוד. כדאי לבקש מהספק תשובה כתובה לשאלה הזו, ולבדוק את התרחיש בפועל בבדיקת הקבלה של המערכת.
כרטיס או צ'יפ מזהים את האמצעי ולא את האדם, ולכן אפשר להשאיל אותם או לאבד אותם. בקרת כניסה ביומטרית מזהה את העובד עצמו לפי טביעת אצבע, תווי פנים או דפוס כלי הדם בכף היד. מנגד, מאז תיקון 13 לחוק הגנת הפרטיות מזהה ביומטרי הוא מידע בעל רגישות מיוחדת, וטביעת אצבע שדלפה אי אפשר להחליף כמו כרטיס. בדלתות רגישות מקובל לשלב בין השניים: כרטיס או קוד יחד עם אימות ביומטרי.
