בקרת כניסה זיהוי פנים היא שימוש בפנים של העובד כאמצעי זיהוי בדלת, בעמדת כניסה או בקרוסלה: מסוף ליד הדלת מצלם את הפנים, מוודא שמדובר באדם חי, משווה את התבנית הביומטרית לתבנית שנרשמה מראש, ומעביר לבקר אישור לפתוח. זה פתרון אימות של אנשים מוכרים, לא מעקב אחר כל מי שעובר במסדרון. בישראל, תבנית פנים היא מזהה ביומטרי ולכן מידע בעל רגישות מיוחדת לפי תיקון 13 לחוק הגנת הפרטיות, כך שתכנון נכון מתחיל בשאלה המשפטית ולא רק בבחירת המסוף.
המדריך מתמקד בפנים כאמצעי זיהוי בנקודת הכניסה: איך פועל המסוף, מה קורה בשלב הרישום, היכן נשמרת התבנית, למה זיהוי חיות הוא דרישת סף, מה דורש החוק, ואילו חלופות קיימות.
איך עובדת בקרת כניסה עם זיהוי פנים בדלת?
מסוף זיהוי פנים לבקרת כניסה הוא קורא לכל דבר, שמחליף או משלים את קורא הכרטיסים. הוא מותקן ליד הדלת או על עמוד הקרוסלה, בגובה שמאפשר צילום חזיתי, ולרוב כולל מצלמה רגילה, מצלמת אינפרא-אדום ולעיתים חיישן עומק.
התהליך בכל כניסה כולל חמישה שלבים. המסוף מאתר פנים בתמונה. הוא מפעיל בדיקת חיות כדי לוודא שמולו אדם ולא תמונה או מסך. הוא מחשב מהפנים תבנית (Template), וקטור מספרי שמייצג את מאפייני הפנים. הוא משווה את התבנית לתבנית הרשומה ומחליט לפי סף התאמה. לבסוף הוא מעביר לבקר הדלת מזהה משתמש, והבקר, ולא המסוף, מחליט אם להפעיל את המנעול לפי טבלת ההרשאות ולוח הזמנים.
יש שני מצבי עבודה עיקריים. באימות (Verification, השוואה 1:1) העובד מציג קודם כרטיס או טלפון, והמסוף משווה את הפנים רק לתבנית של אותו אדם. בזיהוי (Identification, חיפוש 1:N) העובד רק נעמד מול המסוף, והמערכת מחפשת אותו בין כל הרשומים. המצב השני נוח יותר, אבל שיעור הטעויות גדל עם מספר הרשומים, וגם הפגיעה בפרטיות גדולה יותר כי נדרש מאגר מרכזי. בדלתות רגישות, שילוב של כרטיס ופנים נותן שני גורמי זיהוי.
מה קורה בשלב הרישום של עובד למערכת?
הרישום (Enrollment) הוא השלב שבו נוצרת התבנית, והוא קובע את איכות הזיהוי לאורך כל חיי המערכת. רישום נכון נעשה מול המסוף עצמו או מול עמדת רישום ייעודית, בתאורה מבוקרת ובמבט ישיר, ולא מתמונה שנשלפה מתיק העובד או מרשת חברתית.
לפני הרישום העובד צריך לקבל הסבר בכתב: איזה מידע נאסף, לאיזו מטרה, היכן הוא נשמר, מי ניגש אליו, מתי יימחק, והאם קיימת חלופה שאינה ביומטרית. תיקון 13 הרחיב את חובת היידוע, וכיום פנייה לאדם לקבלת מידע אישי צריכה לפרט גם אם המסירה תלויה בהסכמתו ומה תוצאת אי-ההסכמה, וכן את זכותו לעיין במידע ולבקש לתקן אותו.
מבחינה טכנית, כדאי לוודא שהמערכת שומרת תבנית בלבד ולא את תמונת הרישום המקורית, שאפשר לבטל ולרשום מחדש תבנית של עובד, ושקיים תהליך מסודר למחיקה בסיום ההעסקה.
היכן נשמרת התבנית הביומטרית?
מיקום התבנית הוא ההחלטה הארכיטקטונית החשובה ביותר בבקרת כניסה זיהוי פנים, כי הוא קובע מה ייחשף אם המערכת תיפרץ.
| מיקום התבנית | יתרון | נקודה לבדיקה |
|---|---|---|
| כרטיס חכם בידי העובד | אין מאגר מרכזי. הרשות להגנת הפרטיות מציינת זאת כחלופה מועדפת | מחייב אימות 1:1, והעובד צריך להציג כרטיס |
| זיכרון המסוף בדלת | אין צורך בשרת לכל כניסה, והכניסה מהירה | הצפנת הזיכרון, הגנה פיזית על המסוף וסנכרון בין מסופים |
| שרת מקומי או ענן | ניהול מרכזי לכמה דלתות ואתרים | מאגר ביומטרי מרכזי, רמת אבטחה מחייבת והיכן נשמרים הנתונים |
בכל אחת מהאפשרויות כדאי לשאול את הספק אם התבניות מוגנות. תקן ISO/IEC 24745 מגדיר עקרונות להגנה על תבניות ביומטריות: אי-הפיכות, כלומר שלא ניתן לשחזר מהתבנית את הפנים, אי-קישוריות בין תבניות של אותו אדם במערכות שונות, ויכולת לבטל תבנית ולהנפיק חדשה אם דלפה. ספק שאינו יודע לענות על השאלות האלה לא תכנן את המערכת סביב פרטיות.
למה זיהוי חיות הוא דרישת סף בבקרת כניסה עם זיהוי פנים?
במסוף שפותח דלת, הניסיון הנפוץ לעקוף את המערכת הוא התחזות: הצגת תמונה, סרטון על מסך או מסכה של עובד מורשה. זיהוי חיות, המכונה בתקן זיהוי מתקפת הצגה (PAD, Presentation Attack Detection), נועד לחסום זאת. לפי הערכת המכון האמריקאי לתקנים וטכנולוגיה (NIST) לאלגוריתמים לזיהוי מתקפות הצגה, אחת המטרות המרכזיות של מתקפה כזו היא בדיוק קבלת גישה למתקן בזהות של אדם אחר.
התקן הבינלאומי לבדיקה ולדיווח של יכולת זו הוא ISO/IEC 30107-3, שמהדורתו השנייה פורסמה ב-2023. התקן מגדיר שיטות למדידת ביצועי זיהוי החיות ולדיווח על תוצאות הבדיקה, אך אינו מחייב טכנולוגיה מסוימת. במסמך הרכש כדאי לבקש מהספק לפרט אם זיהוי החיות מבוסס על תוכנה בלבד או על חומרה נוספת, כמו אינפרא-אדום או חיישן עומק, ולהציג דוח בדיקה של מעבדה עצמאית לפי התקן.
עד כמה מדויקת בקרת כניסה זיהוי פנים?
באימות 1:1 נמדדים שני סוגי טעויות. שיעור הדחייה השגויה (FNMR) הוא החלק מהניסיונות שבהם עובד מורשה לא זוהה. שיעור הקבלה השגויה (FMR) הוא החלק מההשוואות שבהן אדם אחר התקבל כאילו הוא העובד. שני השיעורים תלויים בסף שמגדירים במערכת: סף מחמיר מקטין קבלה שגויה ומגדיל את מספר העובדים שנתקעים בדלת.
NIST מפרסם הערכה שוטפת של אלגוריתמים לאימות פנים מאז 2017, ומודד את שיעור הדחייה השגויה ברמת קבלה שגויה מוגדרת, על כמה סוגי תמונות. ההערכה כוללת גם בדיקה ייעודית של השוואות בין תאומים, מקרה שבו כל מערכת זיהוי פנים מתקשה. המסקנה המעשית: לבקש מהספק את שם האלגוריתם ואת תוצאותיו בהערכה עצמאית, לבדוק את המסוף בתנאי התאורה האמיתיים של הכניסה, ולהגדיר מראש מה עושה עובד שלא זוהה, למשל כרטיס או קוד כגיבוי.
מה דורש החוק ממי שמפעיל בקרת כניסה זיהוי פנים?
לפי המדריך לתיקון 13 של הרשות להגנת הפרטיות, התיקון נכנס לתוקף ב-14 באוגוסט 2025 ומגדיר מזהה ביומטרי, המשמש לזיהוי אדם או לאימות זהותו באופן ממוחשב, כמידע בעל רגישות מיוחדת. התיקון העניק לרשות סמכות להטיל עיצומים כספיים, וקבע חובת מינוי ממונה על הגנת הפרטיות לארגון שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
לגבי עובדים, מסמך המדיניות של הרשות בנושא מידע ביומטרי במקום העבודה חל במפורש גם על זיהוי פנים. עיקריו:
- השימוש צריך להיות סביר ומידתי, והמעסיק צריך להצדיק אותו ולבחון חלופות פוגעניות פחות, כמו כרטיס עובד שאינו ביומטרי.
- בהיעדר הסמכה בחוק, אסור לחייב עובד למסור מידע ביומטרי בלי הסכמתו. ההסכמה הכרחית אך אינה מספיקה: היא לא מכשירה שימוש שאינו מידתי.
- הרשות ממליצה לאפשר לעובדים לבחור בין מערכת ביומטרית למערכת שאינה ביומטרית.
- המידע ישמש רק למטרה שלשמה נאסף, ובסיום ההעסקה יש למחוק אותו, כולל במערכות הגיבוי.
- מאגר שבו נשמר מידע ביומטרי כפוף לפחות לרמת האבטחה הבינונית לפי תקנות אבטחת המידע.
המסמך עוסק בעובדים בלבד, ואינו עוסק בזיהוי כלל הנכנסים לעסק. מי ששוקל בקרת כניסה זיהוי פנים גם למבקרים, לדיירים או ללקוחות צריך לקבל ייעוץ משפטי לפני ההתקנה.
אילו חלופות קיימות לזיהוי פנים בבקרת כניסה?
לפני שבוחרים בזיהוי פנים, כדאי לבדוק אם אמצעי פחות רגיש משיג את המטרה. כרטיס חכם מוצפן מספיק לרוב הדלתות במשרד. באישור כניסה בטלפון הנייד אפשר בחלק מהמערכות לדרוש שהטלפון יהיה פתוח בזמן ההצמדה לקורא, כך שאם העובד משתמש בזיהוי ביומטרי, הוא נשאר בטלפון שלו והמעסיק אינו מחזיק מידע ביומטרי. קוד אישי בשילוב כרטיס נותן שני גורמים בלי ביומטריה. השוואה בין האמצעים מופיעה במדריך מערכת בקרת כניסה לעסקים.
זיהוי פנים מוצדק בעיקר כשצריך ודאות שהאדם עצמו נמצא בדלת ולא רק הכרטיס שלו, למשל בחדר שרתים, במעבדה או באזור מסווג. גם אז, תבנית על כרטיס חכם עם אימות 1:1 מצמצמת את הסיכון. השוואה בין השיטה הביומטרית לשיטה הסלולרית בפתיחת דלתות מופיעה גם במדריך בקרת כניסה ופתיחת דלת בשיטה הביומטרית.
איך משלבים מסוף זיהוי פנים במערכת בקרת הכניסה הקיימת?
ברוב המקרים המסוף מתחבר לבקר הדלת הקיים כמו קורא נוסף. החיבור המומלץ הוא פרוטוקול התקשורת הפתוח לקוראים (OSDP) עם ערוץ מאובטח, שמגדיר במפורש גם תמיכה בקוראים ביומטריים. חיבור בפרוטוקול הישן והלא מוצפן מעביר את מזהה המשתמש בקו גלוי, ומבטל חלק מהיתרון של אמצעי זיהוי חזק.
מבחינת תשתית, המסוף מקבל בדרך כלל חשמל ונתונים בכבל רשת אחד (PoE), וצריך לשבת ברשת נפרדת (VLAN) יחד עם שאר רכיבי בקרת הכניסה, עם סנכרון זמן מרכזי ועדכוני קושחה סדירים. בקרוסלות ובכניסות עמוסות חשוב לבדוק את זמן ההחלטה של המסוף בשעת השיא ואת התנהגותו בתאורת שמש ישירה. הקשר בין הרכיבים בתמונה הכוללת מוסבר במדריך בקרת כניסה ממוחשבת.
לייעוץ בתכנון בקרת כניסה זיהוי פנים ובתשתית הרשת שלה: 077-8123111.
שאלות נפוצות
מה ההבדל בין בקרת כניסה בזיהוי פנים למערכת מעקב בזיהוי פנים?
בקרת כניסה זיהוי פנים פועלת בנקודה אחת, מול אדם שנעמד מול המסוף כדי להיכנס, ומשווה אותו לתבנית של עובד רשום. מערכת מעקב בזיהוי פנים סורקת את כל מי שעובר בשטח ומחפשת אותו ברשימה. הראשונה היא אמצעי זיהוי לדלת, השנייה היא כלי מעקב, והרגישות המשפטית שלה גבוהה יותר.
האם מעסיק יכול לחייב עובדים להשתמש בזיהוי פנים בכניסה?
לפי מסמך המדיניות של הרשות להגנת הפרטיות, בהיעדר הסמכה בחוק אסור לחייב עובד למסור מידע ביומטרי בלי הסכמתו. הרשות ממליצה להציע לעובדים חלופה שאינה ביומטרית, כמו כרטיס עובד, ומדגישה שגם הסכמה אינה מכשירה שימוש שאינו מידתי.
האם אפשר לפתוח דלת עם תמונה של עובד?
במסוף ללא זיהוי חיות, ייתכן. לכן זיהוי מתקפות הצגה הוא דרישת סף בכל מסוף שפותח דלת. יש לבקש מהספק לפרט את שיטת זיהוי החיות ולהציג דוח בדיקה עצמאי לפי ISO/IEC 30107-3.
האם המערכת שומרת את התמונה של העובד?
מערכת שתוכננה נכון שומרת תבנית מספרית בלבד ולא את תמונת הרישום. כדאי לוודא זאת בכתב מול הספק, לברר היכן התבנית נשמרת ובאיזו הצפנה, ולוודא שקיים תהליך למחיקתה בסיום ההעסקה, כולל בגיבויים.
מה עושה עובד שהמערכת לא מזהה?
כל מערכת זיהוי פנים דוחה מדי פעם עובד מורשה, בגלל תאורה, זווית או שינוי במראה. לכן מגדירים מראש אמצעי גיבוי, כמו כרטיס, קוד או אישור מהקבלה דרך האינטרקום, ובודקים את המסוף בתנאי התאורה האמיתיים של הכניסה לפני ההתקנה הסופית.
האם זיהוי פנים מתאים לקרוסלות בכניסה לבניין?
כן, בתנאי שהמסוף עומד בקצב המעבר בשעת השיא ושהוגדר אמצעי גיבוי למי שלא זוהה. בבניין עם דיירים ומבקרים רבים צריך לבחון בנפרד את הבסיס המשפטי לזיהוי מי שאינם עובדים, ובדרך כלל להציע להם כרטיס או קוד זמני.
