Mogu li RFID oznake pratiti ljude? Razjašnjenje mitova o privatnosti

Pitajte gotovo bilo koga van RFID industrije da li RFID oznake mogu da prate ljude, i obično ćete čuti jedan od dva odgovora. Jedna osoba kaže da, apsolutno, to je i cela poenta RFID-a. Druga osoba kaže ne, ne baš, RFID je samo za inventar i pristupne kartice. Oba odgovora su previše jednostavna da bi bila korisna.

Istina je mnogo manje dramatična i mnogo zanimljivija. RFID se može koristiti u sistemima koji prate gde su ljudi bili, kada su prošli određene kontrolne tačke, da li su ušli u prostoriju ili da li su se prijavili na događaju. Ali to ne znači da se svaka RFID oznaka tajno ponaša kao GPS pratilac u vašem džepu. Takođe ne znači da je svaka RFID implementacija bezopasna samo zato što je sama oznaka jednostavna. Većina zabune dolazi otuda što ljudi mešaju oznaku, čitač, softver i politiku podataka kao da su svi isti.

Oni to nisu.

Ta razlika je važna jer kupci stalno pretražuju pojmove kao što su da li RFID može da prati ljude, problemi privatnosti sa RFID-om, praćenje ljudi putem RFID-a, praćenje RFID bedževa, privatnost RFID narukvica i pasivni RFID naspram aktivnog RFID praćenja. Neki od tih korisnika su zabrinuti potrošači. Neki su menadžeri nabavke koji pokušavaju da izaberu sistem za događaje, zdravstvenu zaštitu, škole ili kontrolu pristupa. Neki su poslodavci koji se pitaju šta je tehnički moguće i šta će izazvati reakciju zbog privatnosti. Svima njima je potreban isti iskren odgovor. RFID ne prati ljudska bića magično sam po sebi. Pravi rezultat praćenja nastaje samo kada je oznaka deo šireg sistema osmišljenog da posmatra prisustvo ili kretanje.

To zvuči očigledno kada se jasno kaže, ali ljudi to stalno previđaju.

Počnimo od najvećeg mita od svih.

Mnogo ljudi kada čuje izraz RFID oznaka zamišlja mali predajnik koji neprestano emituje gde se osoba nalazi. Tako većina RFID oznaka ne funkcioniše. Pasivna RFID oznaka nema bateriju i ne šalje aktivno signal lokacije po ceo dan. Ona obično čeka da je čitač aktivira. Nema čitača u blizini, nema korisnog očitavanja. Ta jednostavna činjenica odmah otklanja ogroman deo paranoje u stilu filmova.

Dobavljač za bolnicu u Danskoj jednom je morao da smiri grupu zaposlenih nakon što se proširila glasina da će novi RFID identifikacioni bedževi omogućiti upravi da prati medicinske sestre sve do kuće. Glasina je zvučala intenzivno. Stvarnost je bila mnogo manje filmska. Bedževi su bili pasivne RFID pristupne kartice koje se koriste za ulaz na vrata i određene kontrolisane radne zone. Mogli su da zabeleže aktivnost bedža na tim tačkama čitanja, ali nisu mogli da prate osoblje kroz grad niti da tajno emituju lokaciju uživo iz tašne. Pravi razgovor o privatnosti nije bio o nevidljivom celodnevnom nadzoru. Bio je o tome da li bolnica treba da vodi evidenciju ulazaka, koliko dugo da je čuva i ko sme da je pregleda. To je bilo pravo pitanje i bilo je dovoljno važno i bez pretvaranja bedževa u naučnu fantastiku.

To je prva stvar koju ljudi treba da razumeju. RFID nije automatski GPS.

GPS i RFID rešavaju veoma različite probleme. GPS je osmišljen da odredi lokaciju na širokim geografskim područjima, obično pomoću uređaja sa napajanjem. RFID je obično osmišljen za identifikaciju i otkrivanje prisustva na određenim tačkama čitanja ili unutar definisanih zona čitanja. Ako pasivna RFID kartica otvara vrata, sistem može da zna da se taj broj kartice pojavio na tim vratima u to vreme. To nije isto kao kontinuirano praćenje lokacije uživo širom sveta. To je događaj na kontrolnoj tački.

Sada, kada to razumete, sledeći mit o privatnosti postaje lakše rešiti.

Ljudi često pretpostavljaju da, pošto je pasivni RFID ograničen, brige o privatnosti moraju biti preterane. To je takođe pogrešno.

Brige o privatnosti RFID-a postaju veoma stvarne kada se oko oznaka izgradi dovoljno infrastrukture čitača, dovoljno povezivanja podataka i dovoljno logike zadržavanja. Oznaka ne mora da se ponaša kao GPS da bi postala deo moćnog sistema praćenja. Ako osoba nosi RFID bedž kroz zgradu punu tačaka čitanja, sistem može da zaključi obrasce kretanja. Ako se RFID narukvica koristi za ulaz na događaj, plaćanja, VIP zone i pristup vožnjama, sistem može da izgradi detaljnu vremensku liniju ponašanja. Ako je bedž zaposlenog povezan sa vratima, štampačima, ormarićima, menzom i evidencijom radnog vremena, organizacija može znati veoma mnogo o dnevnim rutinama čak i bez praćenja bilo koga u bukvalnom prikazu mape u realnom vremenu.

Tehnološki kampus u Singapuru suočio se sa upravo tom tenzijom kada je nadogradio jednostavne pristupne kartice na širi RFID sistem bedževa koji pokriva ulazne kapije, dozvole za liftove, zajedničke ormane za opremu, plaćanje u kantini i parking. Zaposleni su u početku postavili pogrešno pitanje. Pitali su da li bedževi mogu da ih prate. Korisnije pitanje bilo je koliko će podataka o ponašanju kombinovani sistem generisati kada se sve te tačke dodira povežu. Odgovor je bio dovoljan da upravljanje postane važno. Sam RFID bedž nije bio zlonameran. Arhitektura podataka oko njega imala je stvarne implikacije na privatnost.

Zato najbolje rasprave o privatnosti ne zaustavljaju se na tipu oznake. One pitaju šta čitači snimaju, koji su sistemi povezani, koji su izveštaji mogući i ko ima pristup evidencijama.

Muzički festival u Kaliforniji pruža dobar primer okrenut potrošačima. Organizatori su uveli RFID narukvice za validaciju karata, besplatno plaćanje, proveru godina i ulaz u premijum zone. Neki posetioci su na mreži tvrdili da ih narukvice tajno prate svuda. To baš i nije bilo tačno. Narukvice nisu pratile goste kroz svaki kvadratni metar prostora kao vojni predajnici. Ali sistem je ipak mogao da zabeleži kada je narukvica korišćena na ulaznim kapijama, štandovima za piće, tezgama sa robom ili u ograničenim sekcijama. Dakle, jača tvrdnja nije bila „ova narukvica vas prati svuda“ niti „ova narukvica vas uopšte ne prati“. Jača tvrdnja bila je „ova narukvica može da stvori značajan zapis o aktivnosti na događaju kada stupite u interakciju sa instrumentiranim tačkama“. To je mnogo bliže istini.

To je obrazac koji vredi ponoviti.

Većina mitova o privatnosti RFID-a je preuveličana na tehničkom nivou i potcenjena na nivou upravljanja.

Evo još jedne uobičajene zablude.

Ljudi često kažu da pasivni RFID ne može da prati ljude, pa nema razloga za brigu. Ta izjava je previše ležerna. Pasivni RFID apsolutno može da podrži praćenje ljudi unutar ograničenih okruženja ako se dovoljno čitača postavi strateški. Samo to čini drugačije od aktivnih sistema za lokaciju. Osoba koja nosi pasivni RFID bedž u kancelariji sa čitačima na ulazima, izlazima, okretnim vratima i osetljivim prostorijama i dalje može biti praćena na značajne načine. Sistem možda ne zna da osoba stoji tačno pored prozora na trećem spratu, ali i dalje može da zna da je ušla u laboratoriju u 9:12, izašla u 9:46, prijavila se u arhivsku prostoriju u 10:03 i posetila parking garažu u vreme ručka. U zavisnosti od konteksta, to je sasvim dovoljno.

Pružalac usluga pravnog arhiva u Londonu naučio je to kada je koristio RFID kartice za osoblje da ojača kontrolu pristupa. Prvobitni poslovni slučaj bio je fokusiran na bezbednost i lanac čuvanja poverljivih dokumenata. Osoblje je prihvatilo pristupni sistem sve dok nije shvatilo da menadžeri mogu mnogo lakše nego pre da rekonstruišu obrasce kretanja iz evidencija. Kompanija nije lagala o sistemu, ali nije objasnila koji nivo vidljivosti događaja stvara RFID infrastruktura. Kada su rokovi zadržavanja i pravila pristupa nadzornika razjašnjeni, tenzija je opala. Tehnologija se nije promenila. Transparentnost jeste.

Sada se pozabavimo aktivnim RFID-om, jer tu razgovor o praćenju postaje ozbiljniji.

Nije svaki RFID pasivan. Aktivne RFID oznake imaju izvor napajanja i mogu da podrže šire ili češće signaliziranje, u zavisnosti od dizajna. U bolnicama, industrijskim postrojenjima, ustanovama za negu starijih, rudnicima ili obezbeđenim kampusima, aktivno RFID praćenje ljudi može se koristiti za sisteme lokacije u realnom vremenu, oznake za uzbunu osoblja, zaštitu odojčadi, upravljanje lutanjem i praćenje bezbednosti. To je potpuno drugačiji svet od pasivnih pristupnih kartica ili NFC narukvica.

Ustanova za negu starijih u Japanu koristila je aktivne RFID nosive uređaje za štićenike sa demencijom koji su bili u riziku da nezapaženo napuste bezbedne zone. U tom slučaju funkcija praćenja nije bila skrivena i nije bila nuspojava. Bila je svrha sistema. Čitači oko ustanove podržavali su prepoznavanje zona kako bi osoblje moglo brzo da reaguje ako štićenik uđe u rizično područje. To je jedan od razloga zašto opšte izjave o RFID-u i privatnosti nisu baš korisne. Ponekad je RFID praćenje neprikladno i jezivo. Ponekad je otvoreno opravdano radi bezbednosti, pod uslovom da se pristanak, zakonske obaveze i jasna politika pravilno reše.

Odeljenje za novorođenčad u privatnoj bolnici u UAE koristilo je RFID oznake za odojčad da smanji rizik od zamene i otmice. Te oznake nisu bile tu da stvore iskustvo pogodnosti za potrošače ili široku platformu za analitiku radne snage. Bile su deo strogo definisanog bezbednosnog sistema. Roditelji su postavljali razumna pitanja o tome kako se podaci čuvaju i ko ih može videti, ali vrlo malo njih se protivilo osnovnoj svrsi kada je jasno objašnjena. Kontekst je veoma važan.

Još jedan mit zaslužuje pažnju ovde.

Ljudi često pretpostavljaju da ako pametni telefon ne može lako da očita RFID oznaku, onda rizik za privatnost mora biti nizak. Ta logika ne stoji. Rizik za privatnost nekog RFID sistema ne određuje to da li slučajni pripadnici javnosti mogu da skeniraju oznaku telefonom. On zavisi od implementirane infrastrukture i povezanih podataka. Korporativni bedž možda nije lako čitljiv za svakoga u kafiću, ali i dalje može da stvori opsežan trag unutar samog sistema poslodavca. Potrošački NFC proizvod može biti čitljiv telefonom, ali ako otvara samo statičnu stranicu proizvoda, njegov uticaj na privatnost može biti neznatan.

Organizator maratona u Barseloni koristio je RFID startne brojeve za trku da snimi međuvremena i konačne rezultate. Neki trkači su brinuli da će oznake otkriti privatne podatke o lokaciji širom grada nakon trke. U stvarnosti, oznake su čitane na definisanim tačkama merenja vremena i bile su korisne upravo zato što su te tačke bile kontrolisane. Pravo pitanje privatnosti nije bilo da li će brojevi uhoditi trkače nedeljama. Bilo je da li događaj objavljuje previše identifikujućih podataka o rezultatima i da li je pristanak učesnika o vidljivosti vremena dovoljno jasan.

Maloprodaja nam daje još jedan dobar primer kako se mitovi iskrivljuju. Prodavac luksuzne robe u Seulu uveo je RFID oznake u odeću radi tačnosti inventara i upravljanja protiv gubitaka. Na društvenim mrežama proširila se glasina da će brend koristiti oznake za praćenje kupaca nakon kupovine. Tehnički, tvrdnja je zvučala dramatično. Operativno, ignorisala je nekoliko realnosti. Oznake na odeći u prodavnici nisu bile postavljene kao neka gigantska gradska mreža za praćenje ljudi. Ali glasina je dotakla osetljivo mesto, jer su kupci želeli da znaju da li su oznake deaktivirane, uklonjene ili učinjene nevažnim nakon naplate. Zato programi RFID-a u maloprodaji koji su prijateljski prema privatnosti obično jasno rešavaju status oznake nakon prodaje umesto da odbacuju svaku javnu zabrinutost kao neznanje.

Najkorisniji način da se ovo formuliše je sledeći.

RFID obično ne prati ljude u smislu kojeg se mnogi plaše, ali apsolutno može da podrži sisteme koji posmatraju, zaključuju, beleže ili analiziraju ljudsko prisustvo i kretanje.

Kada je to jasno, sledeći korak je utvrditi kada je briga preterana, a kada opravdana.

Briga je preterana kada ljudi zamišljaju svaku pasivnu RFID etiketu kao skriveni globalni lokator. Oznaka na kartonu u skladištu, RFID oznaka u knjizi u biblioteci ili osnovna pristupna kartica bez okolne mreže čitača nije neka magična svevideća naprava.

Briga je opravdana kada organizacije izgrade gusto okruženje čitača i ne objasne implikacije. Opravdana je kada su RFID narukvice povezane sa plaćanjima, proverama godina, prisustvom i analizom ponašanja bez jasnog obaveštenja. Opravdana je kada poslodavci koriste podatke sa bedževa izvan razumnih bezbednosnih ili operativnih potreba. Opravdana je kada škole, bolnice ili ustanove za negu prikupljaju osetljive podatke o kretanju bez strogih rokova zadržavanja i kontrole pristupa.

Proizvodni pogon u Ohaju otkrio je tu granicu na veoma praktičan način. Kompanija je uvela RFID bedževe za zaposlene radi bezbednijeg pristupa zonama blizu opasne opreme. Radnici su prihvatili bezbednosno opravdanje. Otpor je izazvao kasniji predlog da se isti dnevnici bedževa koriste za analizu produktivnosti iz minuta u minut i pregled obrazaca pauza. Odjednom je pitanje privatnosti postalo mnogo oštrije, ne zato što su oznake dobile nove moći, već zato što se svrha podataka promenila. Kompanija je na kraju pažljivije razdvojila bezbednosni pristup od ocene učinka nakon što je shvatila da jedna tehnički moguća upotreba nije automatski i legitimna.

To je verovatno najveća lekcija o privatnosti koju kupci treba da zapamte. Opasnost je retko skrivena samo u čipu. Ona leži u širenju svrhe.

Širenje svrhe je ono što se dešava kada sistem prodat za bezbednost, sigurnost ili pogodnost tiho preraste u nadzor, disciplinovanje, ocenjivanje ponašanja ili komercijalno profilisanje bez novog razgovora. RFID sistemi su posebno podložni tome jer podaci na prvi pogled mogu izgledati tako operativno i dosadno. Pristup vratima. Prijava. Izdavanje opreme. Kupovina obroka. Korišćenje ormarića. Ulaz na događaj. Kapija za vozila. Svaka tačka podataka izgleda bezopasno sama po sebi. Stavite dovoljno njih zajedno i profil postaje mnogo otkrivajući.

Veliki sajam u Frankfurtu naučio je tu lekciju nakon što su izlagači prigovarali koliko organizator može da zaključi iz RFID bedževa izlagača povezanih sa ulazom u hale, prisustvom sesijama, prikupljanjem kontakata i pristupom premijum salonu. Nijedna tačka podataka nije bila lažna. Nijedna nije zahtevala satelitsko praćenje. Ali kombinovana slika bila je bogatija nego što su mnogi učesnici očekivali. Rešenje nije bilo potpuno uklanjanje RFID-a. Bilo je postavljanje boljih granica oko analitike, obaveštenja i funkcija sa dobrovoljnim pristankom.

Dakle, mogu li RFID oznake da prate ljude?

Da, u nekim sistemima i u nekim okruženjima, naročito kada je implementacija namerno izgrađena za praćenje kontrolnih tačaka ili prepoznavanje lokacije u realnom vremenu.

Ne, ne u mitskom smislu da svaka pasivna RFID oznaka tajno prati osobu kroz svet kao pratilac iz špijunskog filma.

A možda je često najčešći naj iskreniji odgovor od svih, jer zavisi od tipa oznake, rasporeda čitača, softvera, povezivanja podataka i pravila upotrebe.

Za kupce to znači da razgovor o privatnosti treba da počne pre nabavke, a ne posle uvođenja. Ako nabavljate RFID bedževe, RFID narukvice, sisteme za praćenje zaposlenih, oznake za pacijente, narukvice za pristup događajima, oznake za evidenciju prisutnosti u školama ili nosive uređaje za ustanove za negu, ne pitajte samo da li tehnologija funkcioniše. Pitajte koji nivo vidljivosti povezane sa osobama sistem stvara. Pitajte da li je oznaka pasivna ili aktivna. Pitajte gde se nalaze čitači. Pitajte koji se događaji beleže. Pitajte koliko dugo se zapisi čuvaju. Pitajte ko može da pretražuje podatke. Pitajte da li sistem obavlja kontrolu pristupa, praćenje bezbednosti, efikasnost radnih tokova ili nadzor nad ponašanjem. To nisu pravne fusnote. To su ključna pitanja dizajna.

Ako uvodite RFID u potrošačkom okruženju, budite jasni o tome šta oznaka radi, a šta ne radi. Ako je to NFC oznaka za iskustvo, recite to. Ako je to narukvica za događaj koja beleži transakcije i pristup zonama, recite i to. Ako oznaka postaje nevažna nakon prodaje, objasnite to. Jasnoća smanjuje i neracionalan strah i zasluženu sumnju.

Ako uvodite RFID na radnom mestu, oduprite se lenjom iskušenju da kažete „to je samo za bezbednost“ kada sistem očigledno proizvodi šire podatke za upravljanje. Osoblje nije glupo, a nepoverenje brzo raste kada zvanična priča izgleda uža od tehničke stvarnosti.

A ako ste zabrinuti potrošač, pomaže da postavite bolja pitanja. Ne „da li RFID prati ljude“ u apstraktnom smislu, već „kakav je ovo tip oznake, gde se može očitati, sa kojim sistemom je povezana i šta se tačno beleži kada je koristim?“

To je pitanje koje probija kroz buku.

Jer najveći mitovi o privatnosti oko RFID-a obično preteruju u jednom ili drugom smeru. Ili se oznaka zamišlja kao mali svemoćni pratilac, ili se celo pitanje privatnosti odbacuje kao paranoja. Istina je u sredini. RFID je obično ograničeniji nego što strašni mitovi sugerišu, ali sistemi izgrađeni oko RFID-a i dalje mogu da oblikuju veoma stvarnu vidljivost u ljudsko ponašanje.

Zato pametan način da se govori o privatnosti RFID-a nije sa panikom i nije sa odbacivanjem.

Već sa preciznošću.