Bezpieczeństwo Centrów Monitorowania Alarmów | OCHRONA24.info

Bezpieczeństwo Centrów Monitorowania Alarmów

Bezpieczeństwo Centrów Monitorowania Alarmów

Przez ostatnie 20 lat przemierzyłem nasz kraj wszerz i wzdłuż. Widziałem ponad 100 różnych centrów monitorowania. Projektowałem, konsultowałem i nadzorowałem budowę kilku większych, z czego jedno, naprawdę potężne, naprawdę profesjonalne, za grube miliony i w oparciu o wytyczne z normy PN-EN 50518. Kiedy miałem już poczucie, że nic mnie nie zaskoczy – trafiałem w miejsce, które mnie jednak zaskakiwało…

Od dłuższego już czasu nosiłem się z zamiarem przygotowania materiału o bezpieczeństwie centrów monitorowania. Materiału, który dawałby w miarę obiektywny punkt odniesienia w określaniu, co to znaczy bezpieczne i profesjonalne centrum monitoringu. Oczywiście, odezwą się głosy, że przecież jest norma i każdy może ją przeczytać i zastosować. Tak, ale kto czyta normy, jeżeli nie musi? Poza tym, po przeczytaniu normy 50518 prawdopodobnie większość osób uznałaby ją za irracjonalną w naszych polskich warunkach.

Zależy mi na tym, żeby z tego materiału nie wyciągnąć pochopnego wniosku, mianowicie takiego, iż uważam, że wszystkie centra monitorowania w Polsce powinny być dostosowane do wymagań powoływanej tu normy w 100%. Nie o to mi chodzi. Moim zdaniem w Polsce jest „miejsce” na 2, może na 3 takie centra – wówczas skala ich działalności uzasadniałaby zastosowanie takich wymogów i byłaby też szansa na zdobycie odpowiednich środków finansowych. W związku z tym rodzi się pytanie: co z resztą około 400 centrów monitorowania? Mam nadzieję, że ten materiał pozwoli na dokonanie oceny, gdzie takie centra znajdują się na „osi bezpieczeństwa”.

Jak wiadomo działanie Centrum Monitorowania Alarmów (CMA) polega na odbiorze i przetwarzaniu sygnałów oraz wyzwalaniu działań interwencyjnych przez człowieka. W dzisiejszych czasach działalność CMA nie jest ograniczona do obsługi sygnałów generowanych przez systemy alarmowe sygnalizacji włamania i napadu. Systemy nadzoru wideo, systemy alarmowe osobiste, monitoring gps pojazdów, systemy kontroli dostępu oraz systemy wejściowe domofonowe audio i wideo również mogą przesyłać ważne informacje o alarmach i dostarczać szereg dodatkowych informacji o sytuacji na obiekcie, tak jak np. obraz wideo czy pozycja geograficzna.

W CMA koncentruje się ryzyko bezpieczeństwa wszystkich monitorowanych obiektów

Jak to należy rozumieć? W dość prosty sposób: Jeżeli posiadam obiekt i ja sam go monitoruję, to ryzyko ciąży na mnie. Jeżeli mam w kiosku towar za 1000 PLN i coś pójdzie nie tak (monitoring lub interwencja nie zadziała) i obiekt zostanie okradziony, to tracę 1000 PLN. Natomiast jeżeli monitoruję 1000 takich kiosków to maksymalne ryzyko jakie ponoszę wynosi 1000×1000 PLN, czyli 1 000 000 PLN. Teoretycznie oczywiście, bo nie należy zakładać, że wszystkie kioski zostaną okradzione w tej samej chwili i to akurat wówczas, kiedy np. wgrywamy nową wersję oprogramowania. Jednak sam fakt skali ryzyka powinien dać do myślenia – zarówno szefom firm, jak i ich klientom.

Ryzyko można relatywnie łatwo skalkulować w biznesie. Od różnych niepomyślnych zdarzeń oraz odpowiedzialności cywilnej w pewnym zakresie, można i powinno się ubezpieczyć. Jednak czy ubezpieczenie zadziała wówczas, kiedy okaże się, że nie została dołożona należyta staranność i cały ten monitoring przypominał bardziej stanowisko do gier w jadalni niż profesjonalne centrum monitoringu?

Dzisiaj rynek ochrony się zmienia i centra monitoringu będą odgrywać coraz większą rolę w trójkącie bezpieczeństwa. Warto więc wiedzieć, co to znaczy naprawdę bezpieczne i profesjonalne Centrum Monitorowania alarmów. Warto to wiedzieć szczególnie w czasie, kiedy redukuje się ochronę fizyczną i to prawdziwe ryzyko przerzucane jest na centrum monitorowania i patrole interwencyjne

Bezpieczeństwo SMA składa się z trzech zasadniczych obszarów. Są one odpowiednio ujęte w normie PN-EN 50518, aczkolwiek należy pamiętać, że wiele wymogów jest również zawartych w innych normach: PN-EN 50131 Systemy alarmowe, PN-EN 50136 Systemy transmisji alarmu, czy ISO 27001.

Idąc za normą PN-EN 50518, wyróżniamy trzy zasadnicze obszary bezpieczeństwa:

1. Wymagania dotyczące lokalizacji i konstrukcji

W tej części określono minimalne wymagania dotyczące lokalizacji, projektowania, budowy i funkcjonowania pomieszczeń, w których odbywa się monitorowanie, odbieranie i przetwarzanie sygnałów alarmowych oraz pomieszczeń technicznych.

2. Wymagania techniczne

Wymagania techniczne dotyczące CMA dotyczą funkcjonowania całego centrum monitorowania i określają najważniejsze kryteria, jakimi są wydajność i dostępność CMA. Trochę mało uwagi poświęcono kwestiom IT, które są w obecnym czasie podstawą funkcjonowania CMA. Jak to robić dobrze trzeba wiedzieć już z innych źródeł. O rozwiązaniach IT, które powinny być zastosowane w CMA, oraz o bezpieczeństwie tych rozwiązań napiszę w innym materiale.

3. Procedury i wymagania operacyjne

W tej części określono minimalne procedury i wymagania dotyczące personelu centrum monitoringu i odbioru alarmu, a dokładnie rzecz ujmując procedurom, zgodnie z którymi obsługa centrum monitorowania wykonuje swoje obowiązki.

Poniżej opiszę i postaram się skomentować najważniejsze, w mojej opinii, aspekty poruszane w normie. Nie zamierzam przepisywać czy cytować normy. Chodzi o to, żeby można było złapać punkt odniesienia.

W tym miejscu pozwolę sobie zaznaczyć, że zgodnie z nomenklaturą powinienem używać określenia Alarmowe Centrum Odbiorcze (ACO) czy Alarm Receiving Center (ARC), jednak są to nazwy i skróty relatywnie mało popularne, tak więc będę posługiwał się określeniem Centrum Monitorowania Alarmów (CMA).

Odpowiednia lokalizacja

Po pierwsze lokalizacja. Powinna ona brać pod uwagę ryzyko pożaru, wybuchu, zalania, wandalizmu i narażenia na zagrożenia z innych lokalizacji – np. z sąsiednich budynków, czy innego typu obiektów. W najczęściej spotykanym przypadku CMA nie zajmuje całego budynku i wówczas powinno ono być oddzielone od reszty budynku granicą fizyczną, złożoną ze ścian, podłóg, sufitów i niezbędnych otworów wg wytycznych normy. Dostęp do CMA oraz do tej części budynku, w której CMA jest zlokalizowane, powinien być ograniczony wyłącznie dla pracowników firmy obsługującej CMA.

Pierwszym krokiem przy określaniu lokalizacji dla CMA powinno być szacowanie ryzyka związanego z daną lokalizacją. Przykłady zagrożeń, które należy wziąć pod uwagę podczas procesu szacowania ryzyka:

  • kryminalny atak, groźby bombowe lub inne sytuacje;
  • dostępność i ewentualne uszkodzenie linii zasilających;
  • dostępność i ewentualne uszkodzenie łączy telekomunikacyjnych;
  • pożar, w tym eksplozja, w sąsiadujących nieruchomościach;
  • powódź lub inne wtargnięcie wody;
  • uszkodzenia burzowe i wyładowania atmosferyczne,
  • zagrożenia komunikacyjne, możliwość wtargnięcia pojazdu, samolotu, itp.

W polskiej rzeczywistości mało kto rozważa zlokalizowane centrum monitorowania w ten sposób. W praktyce, po przeanalizowaniu wyżej wymienionych ryzyk, okazuje się, że jest niewiele miejsc, w których można by zlokalizować centrum monitorowania zgodnie ze sztuką. Zazwyczaj szuka się lokalizacji dla siedziby całej firmy ochrony, a następnie z tego obszaru próbuje się wydzielić odpowiednie pomieszczenia. Takie podejście skazuje nas właściwie na to co zastaniemy i nasz wpływ na fizyczne bezpieczeństwo CMA jest wówczas bardzo ograniczony, a ewentualne koszty dostosowania pomieszczeń do wymogów mogłyby być ogromne.

Konstrukcja zewnętrzna obiektu

Projektując architekturę CMA należy wziąć pod uwagę ściany zewnętrzne, podłogi, sufity, drzwi wejściowe i wyjściowe, wloty i wyloty wentylacyjne, punkty wejść kabli i rur, powierzchnie oszklone, śluzy oraz wyrzutnie podawcze. Obrys zewnętrzny (skorupa) CMA ma stanowić swoistą skorupę, o określonej odporności na włamanie (atak fizyczny), np. ściany:

  • z cegły pełnej > 200 mm,
  • betonu > 150 mm,
  • lub innych materiałów o adekwatnej wytrzymałości.

Skorupa CMA musi posiadać także odpowiednią kuloodporność drzwi i przeszkleń (FB3 EN1522) i ognioodporność nie mniejszą niż 30 min. Ważne jest, aby przewidzieć również kwestie ochrony odgromowej i przepięciowej obiektu.

Norma dopuszcza w strukturze CMA jedynie konkretne typy otworów:

  • wejście do/z przedsionka (popularnie określanym mianem śluzy);
  • wyjście bezpieczeństwa;
  • oszklenia;
  • wloty i wyloty instalacyjne;
  • wrzutnia podawcza;
  • wentylacja.

Do każdego z ww. typów otworów sprecyzowane są konkretne wymagania, jakie należy spełnić. Np. jakie mają być drzwi w śluzie, w którą stronę mają się otwierać i jakie mają być zamki mechaniczne. Norma dokładnie określa jak ma być skonstruowane i zabezpieczone wyjście ewakuacyjne, wyrzutnia podawcza, wloty i wyloty instalacyjne. Wymagania precyzują również funkcjonowanie wentylacji, łącznie z tym, aby wloty powierza były zabezpieczone przed wrzuceniem pojemnika z gazem.

Co ciekawe, często „wyśmiewane” kuchenki są dozwolone w obrębie CMA pod warunkiem, że będą oddzielone od obszaru operacyjnego przegrodą o odporności ogniowej >30min.

Systemy zabezpieczeń elektronicznych

CMA powinno być wyposażone praktycznie we wszystkie spotykane systemy zabezpieczeń elektronicznych: system sygnalizacji włamania i napadu, system monitoringu personelu, system sygnalizacji pożaru, kontroli dostępu, CCTV oraz detekcji gazu. Wszystkie te systemy powinny być zainstalowane i konserwowane zgodnie z odpowiednimi normami. Zabezpieczenie CMA za pomocą systemu alarmowego sygnalizacji włamania powinno być zgodne z EN 50131-1, stopień 3 (w tym podłoga i sufit).

Sygnały z systemów zabezpieczeń powinny być transmitowane do innego CMA przez system dwutorowy zgodnie z EN 50136-1, stopień 3.

Obowiązkowym elementem zabezpieczenia jest również dozór wizyjny, który powinien zapewniać monitorowanie otoczenia budynku, a także powinien pozwalać obsłudze CMA na identyfikowanie osób uprawnionych, przed zezwoleniem im na wejście do holu wejściowego i na obserwację ich zachowania w tej strefie oraz zapewnić bezpieczne wejście. Dozór wizyjny powinien również dać obsłudze CMA możliwość do identyfikacji każdej z osób wykorzystujących śluzę/wrzutnię podawczą.

Zasilanie

Zasilanie CMA jest kluczowym elementem bezpieczeństwa. Jako podstawowe źródło energii elektrycznej powinna być wykorzystywana klasyczna sieć zasilająca (ale można stosować alternatywne źródła energii). Sieć zasilająca powinna być zdolna do dostarczenia wystarczającej mocy przy normalnym obciążeniu CMA, z równoczesnym doładowywaniem urządzeń UPS magazynujących energię (akumulatorów) do wymaganej pojemności w ciągu 24 godzin. Zawsze trzeba wiedzieć, jak wygląda układ zasilający dla obiektu – ile jest linii zasilających? gdzie się je przełącza? jak są zabezpieczone rozdzielnice? itp. Trzeba ocenić jak awaryjny jest ten układ – bo jeżeli po każdej burzy następuje przerwa z zasilaniu, nie powinniśmy tam organizować CMA.

Obowiązkowe zasilanie rezerwowe powinno mieć wystarczającą pojemność szacowaną jako możliwość zapewnienia nieprzerwanego działania wszystkich urządzeń telekomunikacyjnych, sygnalizacyjnych, monitoringu, zapisu, wentylacji podstawowej i podstawowego oświetlenia przez okres min 24 godziny z zapotrzebowaniem 1,5 razy większym od średniego.

Przełączanie na i z zasilania rezerwowego nie powinno mieć wpływu na normalne działanie urządzeń. Zasilanie rezerwowe powinno być realizowane za pomocą agregatu lub agregatów wspomaganych przez UPS. Co istotne – UPS i urządzenie do przełączania automatycznego powinny być w miejscu o takim poziomie bezpieczeństwa, jak CMA.

Układ zasilania awaryjnego powinien załączać i wyłączać się automatycznie. Jeśli wykorzystywany jest agregat, to pojemność UPS powinna być wystarczająca do zasilania urządzeń CMA przez co najmniej 10 min – do czasu uzyskania przez agregat pełnej mocy. Agregaty powinny mieć na miejscu zapewnione paliwo na działanie agregatu przez co najmniej 24 godziny. Działanie agregatów powinno być monitorowane w CMA. Należy pamiętać o zapewnieniu odpowiednich warunków rozruchu agregatu, np. przewidzieć rodzaj paliwa w przypadku, kiedy agregat będzie narażony na działanie bardzo niskich temperatur.

Wymagania techniczne

Cześć normy dotycząca wymagań technicznych, nie daje nam właściwie odpowiedzi jak konkretnie mają być wykonane systemy monitorujące (dokładniejszych wytycznych należałoby szukać w normie PN-EN 50136). Norma PN-EN 50518 precyzuje jednak dwa zasadnicze parametry ważne dla funkcjonowania centrum monitoringu, które łączą w sobie zarówno elementy związane z kwestiami technicznymi systemów transmisji alarmów, jak i funkcjonowanie centrum jako całości. Można je dość prosto obliczyć i porównać z wymaganiami normy. Są to:

  • wymagania dotyczące wydajności;
  • wymagania dotyczące dostępności.

Wymagania dotyczące wydajności

Wydajność centrum monitorowania jest określona poprzez maksymalny czas, w jakim powinno być obsłużone dane zdarzenie. Czas ten liczony jest od chwili jego odbioru w odbiorniku (Receiving Centre Transceiver) do chwili podjęcia działań przez operatora.

Rodzaj sygnałówCzas przyjęcia do obsługi
80% przypadków98,5% przypadków
Sygnały napadu< 30 sek.< 60 sek.
Pozostałe sygnały alarmowe< 90 sek.< 180 sek.

Na ww. czas składają się dwa parametry:

  • czas w jakim system przetworzy informacje i wyświetli je operatorowi;
  • czas w jakim operator „kliknie” w pojawiający się na monitorze alarm.

Istotne jest, że należy mierzyć czas do obsługi każdego alarmu, tworzyć odpowiednie statystyki i archiwizować je przez okres 12 miesięcy.

Wymagania dotyczące dostępności

Dostępność jest określana jako procent czasu, w którym systemy transmitujące alarm oraz centrum monitorowania funkcjonują normalnie, bez zaburzeń. Omawiana norma PN-EN 50518 odnosi się w tym względzie do innej normy: PN-EN50136-1, gdzie takie dostępności są zdefiniowane.

Dostępność
KlasaA0A1A2A3A4
Dostępność w każdym okresie 12 miesięcyBrak

wymagań

97%99,3%99,5%99,8%
Max. czas braku działania11 dni2,5 dnia44 godziny17 godzin
Dostępność miesięcznaBrak wymagań75%91%95%98,5%
Max. czas braku działania7,5 dnia65 godzin36 godzin10 godzin

Co to w praktyce oznacza? Po pierwsze powinniśmy każdą najdrobniejszą przerwę w pracy CMA rejestrować, aby móc określić, jaką faktycznie mamy dostępność. Tym samym należy mierzyć czas każdego restartu urządzeń odbiorczych, routerów, serwerów, komputerów, aktualizacji, itp. Ta sama zasada dotyczy każdej awarii.

Jednocześnie deklarując daną dostępność, powinniśmy zadbać o to, aby ona faktycznie taka była. Oznacza to, że jeżeli chcielibyśmy zadeklarować dostępność A4, to nasze systemy informatyczne muszą być dostosowane w taki sposób, aby czas odtworzenia po awarii mieścił się w kilku godzinach.

Procedury i wymagania operacyjne

CMA musi być stale obsadzona przez co najmniej dwóch operatorów, chyba że CMA działa w połączeniu z innym CMA, a metody operacyjne zapewniają, że wynik tej współpracy jest równoważny z CMA obsadzonym przez co najmniej dwóch operatorów. Norma określa, że pracownicy przed zatrudnieniem CMA powinni być weryfikowani pod kątem bezpieczeństwa przez okres co najmniej 5 lat.

Ważne jest, aby pracownikom CMA zapewnić odpowiednie szkolenia. W szczególności zwraca się uwagę, aby bez odpowiedniego przygotowania i szkolenia początkujący operatorzy nie mogli obsługiwać alarmów samodzielnie. Szkolenia muszą być udokumentowane.

Dla CMA powinno się przygotować procedury jego funkcjonowania. Procedury te powinny regulować następujące obszary:

Testowanie działania

Sprzęt używany w CMA powinien być testowany w konkretnych zakresach codziennie i w okresach tygodniowych. W ramach tej procedury należy przewidzieć sprawdzanie i synchronizację zegarów elektronicznych, co najmniej co 24 godziny.

Wejście i wyjście z CMA

Wejście i wyjście z CMA podlega udokumentowanej procedurze dostępnej dla wszystkich operatorów. Procedura ta powinna określać metody stosowane do identyfikacji osób ubiegających się o wejście do CMA i wymagać identyfikacji takich osób przed udzieleniem dostępu. Dostęp do CMA powinien być kontrolowany przez działanie operatora wewnątrz CMA w momencie wejścia. Rejestr wszystkich odwiedzających CMA powinien być archiwizowany.

Zarządzanie bazą danych

Norma zwraca uwagę na ochronę danych, dzieląc je na trzy obszary:

  • dane klienta (osobowe);
  • dane zewnętrznej komunikacji CMA;
  • log (dziennika) akcji operatorskich.

Wszystkie dane powinny być odpowiednio zabezpieczone i przechowywane, zgodnie z przytoczonymi wyżej normami. Dane klientów powinny być przechowywane przez okres co najmniej dwóch lat, dane zewnętrznej komunikacji CMA (np. nagrania z rozmów, maile) przez co najmniej trzy miesiące, a rejestr działań operatora przez okres co najmniej dwóch lat. Teraz dochodzi do tego RODO, czyli rozporządzenie o ochronie danych osobowych, które zacznie obowiązywać od 25 maja br.

Ciągłość działania i sytuacje awaryjne

Zapewnienie ciągłości działania i sprawnego postępowania w sytuacjach awaryjnych są kluczowymi zadaniami dla każdego szefa CMA. W tym zakresie powinny być opracowane odpowiednie procedury. Procedury te powinny być również kompatybilne z procedurami funkcjonującymi u kooperantów oraz klientów CMA.

Procedury ewakuacyjne

Każde CMA powinno mieć przygotowany plan awaryjny, a procedury reagowania powinny być uzgodnione z odpowiednimi służbami. W przypadku unieruchomienia CMA plan awaryjny musi przewidywać działania jak najszybszego przywrócenia działania.  Należy udokumentować szczegółowy plan działania obejmujący częściową i pełną ewakuację.

Obsługa sygnałów

Wszystkie odebrane sygnały alarmowe, a także działania podejmowane przez operatów centrum obejmujące odbiór, przetwarzanie i podjęte działania do zakończenia obsługi, muszą być rejestrowane automatycznie. Komunikacja zewnętrzna (głosowa i elektroniczna) powinna być automatycznie rejestrowana wraz z datą i godziną, a okres jej przechowywania powinien wynosić co najmniej 3 miesiące.

Podsumowanie

Według mojej wiedzy w Polsce nie ma centrum monitorowania, które rygorystycznie spełniałoby wszystkie wytyczne normy. Niestety, w naszych warunkach wytyczne norm są tak bardzo abstrakcyjne, że mało która firma mogłaby je wszystkie potraktować na poważnie. Jednak nie zmienia to faktu, że norma wyznaczana standardy, które powinny być spełniane w firmach ochrony zajmujących się monitorowaniem alarmów. Przy założeniu, że wymagania przedstawione w normie gwarantują 100% bezpieczeństwa, w naszych polskich warunkach spełnijmy je na początek chociaż w 50%. Powinniśmy dążyć do doskonałości w zapewnianiu bezpieczeństwa.

                               

Dodaj komentarz

avatar
  Subscribe  
Powiadom o