في أجهزة بصمة الحضور والانصراف وأنظمة الاكسس كنترول (Access Control) بمكاتب أبوظبي، يكون التعرّف على الوجه عادةً الخيار الأسرع، ولا يتطلب لمس الجهاز: تذكر النشرات الفنية نحو 0.2 s للوجه وحتى 1.5 s للبصمة. ولا يتفوّق أحدهما في كل مكان، فكلاهما ينتج بيانات حيوية (بيومترية) يعدّها قانون حماية البيانات الشخصية حساسة، لذا خطّط للموافقة والتخزين وبديل بالبطاقة.
يلخّص هذا الدليل النصوص المنشورة كما كانت في أكتوبر 2026، وهو ليس استشارة قانونية: لحالة منشأتك وموظفيها استشر محامياً مرخّصاً في الدولة. وللكاميرات المركّبة على الأبواب نفسها، راجع مقالنا عن قوانين الخصوصية وكاميرات المراقبة في الإمارات.
اختيار نظام اكسس كنترول بالبصمة في أبوظبي: البطاقة أم الرمز السري أم البصمة أم الوجه
البطاقة أو الهاتف يثبت أن الشخص يحملها، والرمز السري (PIN) يثبت أنه يعرفه، والبصمة أو الوجه يثبت أن الشخص نفسه واقف أمام القارئ. وتعتمد مواصفة المعهد الوطني الأمريكي للمعايير والتقنية (NIST) لبطاقات الهوية الحكومية العوامل الثلاثة ذاتها: ما يملكه الشخص، وما يعرفه، وما يميّز جسده (SP 800-76-2). والجمع بين اثنين منها، كالبطاقة مع الوجه، هو المصادقة متعددة العوامل، وتدرجها Hikvision وDahua ضمن وظائف أجهزتهما.
| وسيلة التعريف | ما تثبته | زمن التعرّف في النشرة الفنية (s) | يلمسها كل مستخدم | قابلة للإعارة أو النسخ | تنتج بيانات حيوية |
|---|---|---|---|---|---|
| البطاقة أو الهاتف | شيء تملكه | أقل من 1 (قراءة البطاقة) | لا | تُعار بسهولة، والأنواع القديمة يمكن نسخها | لا |
| الرمز السري | شيء تعرفه | غير مذكور: يحدّده من يكتبه | نعم، لوحة الأرقام | يُقال لغيرك أو يُرى أثناء كتابته | لا |
| البصمة | سمة جسدية | أقل من 1 (Hikvision)؛ 0.5 للتعرّف و1.5 للمطابقة (Dahua) | نعم، الحسّاس | لا تُعار؛ اطلب اختبارات مقاومة الانتحال | نعم |
| الوجه | سمة جسدية | 0.2 (في الجهازين) | لا | لا يُعار؛ اطلب اختبارات مقاومة الانتحال | نعم |
الأزمنة مأخوذة من النشرتين الفنيتين لجهاز Hikvision DS-K1T343MFX وجهاز Dahua ASI7214S-W، وكلاهما يقرأ الوجه والبصمة والبطاقة. حسّاس البصمة ولوحة الرمز السري يلمسهما كل من يمرّ، أما البطاقة والهاتف وقارئ الوجه فلا، وهذا مهم في العيادات ومناطق الأغذية. والبطاقات تكلفة مستمرة، لأن كل موظف جديد وكل بطاقة مفقودة وكل زائر يحتاج واحدة. أما أجهزة البصمة فتلغي مخزون البطاقات، لكنها تضيف عملية التسجيل وعبء حماية البيانات ومساراً بديلاً لمن لا يسجّل بصمته.
بصمة حضور وانصراف بالوجه أم بالإصبع: أيهما أسرع وقت الذروة؟
عند البوابة الدوّارة، يجب أن يواكب القارئ إيقاع الممر. تذكر Hikvision أن حاجزها المتأرجح DS-K3B530X يمرّر بين 30 و60 شخصاً في الدقيقة، وتنبّه إلى أن معدل العبور الفعلي يتأثر بطريقة مرور الأشخاص (النشرة الفنية). أي أن لكل شخص ما بين 1 و2 s ليقترب ويقدّم وسيلة تعريفه ويعبر.
مطابقة الوجه في نحو 0.2 s تدخل في هذه المدة بسهولة، وقراءة البطاقة مذكورة بأقل من 1 s. أما البصمة فتأخذ أكثر: أقل من 1 s في جهاز Hikvision، وفي جهاز Dahua تبلغ 0.5 s للتعرّف و1.5 s للمطابقة، قبل احتساب الوقت اللازم لوضع الإصبع بشكل صحيح. ولا تذكر أي نشرة فنية زمناً للرمز السري، فهو يتوقف على سرعة من يكتبه.
لتحديد عدد الممرات، اقسم عدد القادمين في أكثر 15 دقيقة ازدحاماً على 15: فوصول 300 شخص يعني 20 شخصاً في الدقيقة، وهو أقل من المعدل المذكور لممر واحد (30 إلى 60 شخصاً في الدقيقة)، فيكفي ممر واحد على الورق، قبل إضافة هامش للزوار ولمحاولات القراءة الفاشلة.
نسب الدقة التي يذكرها المصنّعون (99% على الأقل لدى Hikvision و99.9% لدى Dahua) لا تُذكر معها ظروف الاختبار، والظروف تصنع الفرق: وجدت دراسة NIST لعام 2019 على خوارزميات التعرّف على الوجه أن معدلات المطابقة الخاطئة تتفاوت غالباً بين المجموعات السكانية بعامل يتراوح بين 10 وأكثر من 100، في كثير من الخوارزميات المختبرة لا في جميعها (NISTIR 8280). اختبر الأجهزة على موظفيك أنفسهم أثناء التشغيل التجريبي.
وفي الأبواب الحساسة، اجعل البصمة أو الوجه تأكيداً لبطاقة يقدّمها الشخص، بدل البحث في قاعدة البيانات كلها. فبحسب NIST، يفقد البحث الحيوي وحده بين جميع المسجّلين (واحد إلى كثير) عامل «ما يملكه الشخص»، ويتعيّن عليه التعامل مع زيادة في معدل المطابقة الخاطئة بمقدار N ضعفاً، حيث N عدد المسجّلين (SP 800-76-2).
هل يمكن نسخ بطاقات الدخول؟
القديمة منها نعم. تقول إرشادات NIST للتحكم في الدخول المادي إن بطاقات الأنظمة القديمة تقدّم رقماً تعريفياً، لكنها في معظم الحالات لا تستطيع الرد على تحدٍّ مشفّر، وإن كثيراً منها يمكن نسخه بسهولة (SP 800-116 Rev. 1، الملحق E). والبطاقة التي ترسل الرقم نفسه في كل مرة يمكن لأي قارئ أن يلتقطه ويعيد إرساله.
| نوع البطاقة | التردد | ما ترسله البطاقة | ما نُشر عنها |
|---|---|---|---|
| بطاقة التقارب (Proximity) | 125 kHz | رقم ثابت دون أي تشفير | قراءة البطاقات من مسافة تصل إلى 3 أقدام (نحو 0.9 m) ونسخها على بطاقات فارغة (Black Hat USA 2013) |
| MIFARE Classic | 13.56 MHz | بيانات محمية بخوارزمية تشفير خاصة بالمصنّع | استخراج المفتاح السري في أقل من ثانية من محاولة أو محاولتين مع قارئ أصلي، وهذا يكفي لنسخ البطاقة (Garcia وآخرون، 2008) |
| MIFARE DESFire EV3 | 13.56 MHz (ISO/IEC 14443) | مصادقة متبادلة بثلاث مراحل (تحدٍّ وإجابة) بمفاتيح DES أو 3DES أو AES، وتشفير البيانات أثناء النقل اللاسلكي | عتاد الشريحة وبرمجياتها حاصلة على شهادة Common Criteria EAL 5+، مع خيار المعرّف العشوائي (NXP) |
تأكّد مما تشتريه فعلاً: إذا ذكرت النشرة الفنية «M1» أو «IC card» فاسأل هل المقصود MIFARE Classic. ويدرج جهاز Dahua ASI7214S-W دعم بطاقات DESFire EV3، وهي افتراضياً بطاقات Dahua نفسها، فتأكّد من المورّد من دعم بطاقات الجهات الأخرى. والهاتف طريق آخر: فبطاقات الموظفين في Apple Wallet، المتاحة عبر الشركاء المدعومين، تشترط تفعيل المصادقة متعددة العوامل على الحساب الذي يدخل به الموظف إلى تطبيق جهة العمل قبل إضافة البطاقة، وتظل تفتح الأبواب حتى بعد نفاد بطارية الآيفون (Apple Platform Security).
أجهزة الحضور والانصراف: من الجهاز إلى الرواتب
جهاز بصمة الحضور والانصراف هو قارئ دخول تذهب أحداثه إلى الموارد البشرية: من حضر، ومتى، وعند أي جهاز؛ ويدرج جهاز Hikvision DS-K1T343MFX وضعاً للحضور فقط. ويطبّق البرنامج قواعد الورديات ويغذّي نظام الرواتب: فبرنامج HikCentral Professional مثلاً يستطيع مزامنة سجلات الدخول مع قاعدة بيانات لطرف ثالث أو تصديرها في ملفات CSV أو TXT (دليل المستخدم).
والسجل يحدّد الأجر. فقانون العمل الإماراتي يجعل الحد الأقصى لساعات العمل العادية 8 ساعات يومياً أو 48 ساعة أسبوعياً، ولا يجيز في الأصل أكثر من ساعتين إضافيتين في اليوم، ويستحق العامل عن الوقت الإضافي أجره العادي محسوباً على الأجر الأساسي مضافاً إليه 25% على الأقل، أو 50% على الأقل بين العاشرة مساءً والرابعة صباحاً لغير العاملين بنظام الورديات (المرسوم بقانون اتحادي رقم (33) لسنة 2021، المادتان 17 و19).
البطاقة تثبت أن البطاقة قُدّمت، أما الوجه أو البصمة فيثبت أن الشخص نفسه كان موجوداً. اضبط ساعة كل جهاز على التوقيت نفسه، وجرّب تصدير شهر كامل إلى نظام الرواتب قبل التشغيل الفعلي. أما مدة الاحتفاظ بالسجلات فتحدّدها الموارد البشرية والشؤون القانونية: فقانون العمل يلزم صاحب العمل بالاحتفاظ بملفات العمال وسجلاتهم وفق ما تحدده الوزارة، وبملف العامل مدة لا تقل عن سنتين بعد انتهاء خدمته (المادة 13)، وقانون حماية البيانات يمنع الاحتفاظ بالبيانات بعد استنفاد الغرض منها.
هل البيانات الحيوية بيانات حساسة في قانون حماية البيانات الشخصية؟
نعم. يدرج قانون حماية البيانات الشخصية (المرسوم بقانون اتحادي رقم (45) لسنة 2021، ويُعرف اختصاراً بـ PDPL) بيانات القياسات الحيوية البيومترية ضمن البيانات الشخصية الحساسة. ويعرّف البيانات الحيوية البيومترية بأنها البيانات الشخصية الناتجة عن المعالجة باستخدام تقنية محددة تتعلق بالخصائص الجسدية أو الفسيولوجية أو السلوكية لصاحب البيانات، والتي تسمح بتحديد هويته الفريدة أو تؤكدها، «مثل صورة الوجه أو بيانات البصمة» (المادة 1).
ويحظر القانون معالجة البيانات الشخصية دون موافقة صاحبها إلا في حالات مستثناة (المادة 4)، منها قيام المتحكم أو صاحب البيانات بالتزاماته ومباشرة حقوقه في مجال التوظيف بالقدر الذي تسمح به تلك القوانين؛ أما ما إذا كانت هذه الحالة تشمل جهاز بصمة الحضور فمسألة يحسمها مستشارك القانوني. وإذا كانت الموافقة هي الأساس، فعلى صاحب العمل أن يستطيع إثباتها، وأن تكون واضحة وبسيطة، ويحق للموظف سحبها في أي وقت (المادة 6)، لذا يحتاج النظام إلى مسار بالبطاقة أو الرمز السري لمن يرفض.
| المادة في القانون | ما تشترطه | ما تعنيه لجهاز البصمة أو الوجه |
|---|---|---|
| المادة 5 | غرض محدد، وبيانات بقدر الحاجة، وحفظ آمن، وعدم الاحتفاظ بها بعد انتهاء الغرض | التسجيل لغرض الدخول أو الحضور فقط، وحذف قوالب من يغادر العمل |
| المادة 13 | قبل المعالجة: الأغراض، والجهات التي تُشارك معها البيانات، وضمانات النقل إلى الخارج | إشعار مكتوب للموظفين قبل التسجيل |
| المادة 20 | تدابير أمن، يمكن أن تشمل التشفير وإخفاء البيانات | تخزين مشفّر واتصال مشفّر بين الأجهزة والخادم |
| المادة 21 | تقييم الأثر قبل استخدام تقنيات عالية الخطورة، وهو ضروري عند معالجة حجم كبير من البيانات الحساسة | التقييم قبل تسجيل عدد كبير من الموظفين |
| المادتان 22 و23 | شروط نقل البيانات خارج الدولة | معرفة مكان حفظ القوالب في أي منصة سحابية |
والحجم الكبير من البيانات الحساسة يستوجب أيضاً تعيين مسؤول لحماية البيانات (المادة 10)، وقد ترك القانون معايير «الحجم الكبير» للائحته التنفيذية، التي كان يُفترض صدورها خلال ستة أشهر (المادة 28)؛ وحتى وقت كتابة هذا المقال لا تُدرج بوابة التشريعات الاتحادية أي لائحة تنفيذية له. ويسمّي القانون مكتب الإمارات للبيانات جهةً رقابية، وفي يونيو 2026 أُعلن اعتماد إنشاء الهيئة الاتحادية للذكاء الاصطناعي والبيانات التي ستُنقل إليها اختصاصات المكتب.
ولا يسري القانون على الجهات الحكومية، ولا على الشركات في المناطق الحرة التي لها تشريعات خاصة بحماية البيانات (المادة 2). وفي سوق أبوظبي العالمي (ADGM)، يدرج مفوض حماية البيانات جمع البيانات الحيوية للموظفين للتعرّف عليهم، كالدخول إلى المبنى، ضمن المعالجات التي تتطلب أولاً تقييماً لأثر حماية البيانات.
ماذا يحفظ جهاز البصمة أو الوجه؟
يحفظ في الغالب قالباً (Template) لا صورة. قالب البصمة قائمة بالنقاط المميزة (Minutiae)، وهي المواضع التي تنتهي فيها خطوط البصمة أو تتفرّع، ولكل نقطة موقع واتجاه؛ وتحفظها مواصفة NIST بصيغتي INCITS 378 وISO/IEC 19794-2. وبالمثل يحسب جهاز الوجه قالباً من الصورة.
لكن القالب يظل بيانات حيوية. فبحسب NIST، يمكن عكس أنواع كثيرة من القوالب المحفوظة على الخوادم لإنتاج عيّنة تحقق المطابقة (SP 800-76-2). وتضع ISO/IEC 24745:2022 متطلبات السرية والسلامة وقابلية التجديد للمراجع الحيوية المحفوظة، والتجديد يعني إمكان إلغاء القالب المحمي واستبداله.
وقد يحفظ جهاز الوجه أكثر من القالب. فالنشرة الفنية لجهاز Dahua ASI7214S-W تذكر سعة 50,000 صورة وجه ووظيفة التقاط صور: تحقّق هل تُحفظ صور التسجيل ولقطات الأحداث، وأين، وإلى متى.
| مكان حفظ القالب | مثال | ما ينكشف إن سُرق | عند مغادرة الموظف |
|---|---|---|---|
| على الجهاز | DS-K1T343MFX: حتى 1,500 وجه و3,000 بصمة | مستخدمو ذلك الجهاز | الحذف من كل جهاز أُرسل إليه القالب |
| على خادم مركزي | برنامج إدارة يرسل القوالب إلى الأبواب | كل المسجّلين | الحذف مركزياً ثم التأكد من حذفه في الأجهزة |
| على بطاقة الشخص | المطابقة على البطاقة في مواصفة NIST لبطاقات الهوية | شخص واحد | استرداد البطاقة أو إلغاؤها |
ويبقى اختبار الانتحال: تذكر النشرات الفنية «face anti-spoofing» لدى Hikvision أو «liveness detection» لدى Dahua دون مستوى اختبار، لذا اطلب نتائج اختبار كشف هجمات العرض (Presentation Attack Detection) وفق ISO/IEC 30107-3:2023، وهي المواصفة التي تحدّد كيفية إجراء هذه الاختبارات والإبلاغ عن نتائجها.
كيف تتعامل UBM مع ذلك
تصمّم UBM أنظمة الاكسس كنترول وتركّبها وتصونها ضمن أعمالها في كاميرات المراقبة والشبكات، بأجهزة Hikvision وDahua، وبمنصة Digifort حين يجب ربط الفيديو بأنظمة الدخول والإنذار (راجع Hikvision أم Dahua أم Digifort). ونوصي باختيار وسيلة التعريف لكل باب لا للمبنى كله: الوجه أو البطاقة في الممرات الرئيسية، والبطاقة مع الوجه أو الرمز السري حيث تكون المخاطر أعلى، ومسار بالبطاقة لمن لا يسجّل بصمته. ونوصي بالبطاقات الذكية الآمنة في التركيبات الجديدة، وبخطة انتقال باباً بباب للمواقع التي تعمل ببطاقات 125 kHz.
قبل التسجيل، يتسلّم فريقا الموارد البشرية والشؤون القانونية لدى العميل بياناً بما يحفظه كل جهاز، وأين، ومن يطّلع عليه، وكيف يُحذف. ونضع الأجهزة وخادم الإدارة على شبكة أمنية مفصولة عن شبكة المكتب، ونوقف حفظ صور التسجيل ولقطات الأحداث حيث لا حاجة لها، ونحذف بيانات الموظف المغادر من كل جهاز، ونجرّب تصدير شهر من سجلات الحضور إلى نظام الرواتب قبل التشغيل الفعلي. اطّلع على أعمالنا في الأمن المادي، أو تحدّث مع أحد مهندسي UBM عن أبواب منشأتك.
أسئلة يطرحها الناس
هل بصمة الوجه أفضل من بصمة الإصبع للحضور والانصراف؟
في معظم المكاتب هي أسرع ولا يلمسها أحد: تذكر النشرات الفنية نحو 0.2 s للوجه وحتى 1.5 s للبصمة. اختبر الجهاز على موظفيك، واحتفظ بمسار بالبطاقة أو الرمز السري لمن لا يسجّل.
هل يجب أن يوافق الموظفون على بصمة الحضور في الإمارات؟
يحظر قانون حماية البيانات الشخصية المعالجة دون موافقة إلا إذا انطبق أحد استثناءات المادة 4، كالتزامات التوظيف بالقدر الذي تسمح به تلك القوانين. وتحديد الأساس المناسب مسألة لمحاميك؛ وفي كل الأحوال يجب إبلاغ الموظفين بالغرض قبل بدء المعالجة (المادة 13).
هل يمكن نسخ بطاقة دخول بتردد 125 kHz؟
كثير منها يمكن نسخه. فبطاقات التقارب الشائعة بتردد 125 kHz، مثل بطاقات HID وIndala التي عُرضت في مؤتمر Black Hat USA 2013، ترسل رقماً ثابتاً دون تشفير، وقد أظهر العرض قراءتها من مسافة تصل إلى 3 أقدام ونسخها على بطاقات فارغة. أما بطاقات مثل MIFARE DESFire EV3 فتعتمد المصادقة المتبادلة بمفاتيح سرية.
هل يحفظ جهاز البصمة صورة بصمتي؟
في الغالب يحفظ قالباً من النقاط المميزة لا الصورة. لكن NIST تنبّه إلى أن القوالب المحفوظة على الخوادم يمكن عكسها إلى عيّنة مطابقة، والقانون يعدّ البيانات الحيوية حساسة في الحالتين. وقد تحفظ أجهزة الوجه صوراً أيضاً، فراجع الإعدادات.
ماذا يحدث لبياناتي الحيوية عند ترك العمل؟
يمنع قانون حماية البيانات الشخصية الاحتفاظ بالبيانات بعد استنفاد الغرض من معالجتها (المادة 5)، ويحق لك طلب محوها إذا لم تعد ضرورية (المادة 15). وعلى صاحب العمل حذف قوالبك من كل جهاز وخادم.
المصادر
- مرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية، المواد 1 و2 و4 إلى 6 و10 و13 و15 و20 إلى 23 و28 (بوابة التشريعات الإماراتية، 2021)
- مرسوم بقانون اتحادي رقم (33) لسنة 2021 بشأن تنظيم علاقات العمل، المواد 13 و17 و19 (بوابة التشريعات الإماراتية، 2021، محدّث حتى 2024)
- محمد بن راشد يعتمد إنشاء الهيئة الاتحادية للذكاء الاصطناعي والبيانات (المكتب الإعلامي لحكومة دبي، 14 يونيو 2026)
- إرشادات لوائح حماية البيانات 2021، الجزء 4: تقييم أثر حماية البيانات (مكتب حماية البيانات، سوق أبوظبي العالمي، 2021، بالإنجليزية)
- NIST SP 800-76-2، المواصفات الحيوية للتحقق من الهوية الشخصية (NIST، 2013، بالإنجليزية)
- NIST SP 800-116 Rev. 1، إرشادات استخدام بطاقات PIV في الدخول إلى المرافق (NIST، 2018، بالإنجليزية)
- NISTIR 8280، اختبار مورّدي التعرّف على الوجه (FRVT)، الجزء 3: الآثار الديموغرافية (NIST، 2019، بالإنجليزية)
- F. Brown، RFID Hacking: Live Free or RFID Hard (مؤتمر Black Hat USA، 2013، بالإنجليزية)
- F. D. Garcia وآخرون، Dismantling MIFARE Classic (مؤتمر ESORICS، 2008، بالإنجليزية)
- معلومات منتج MIFARE DESFire EV3 (NXP Semiconductors، 2026، بالإنجليزية)
- Apple Platform Security: أنواع مفاتيح الدخول، بطاقات الموظفين (Apple، 2026، بالإنجليزية)
- ISO/IEC 24745:2022، حماية المعلومات الحيوية (ISO، 2022، بالإنجليزية)
- ISO/IEC 30107-3:2023، كشف هجمات العرض الحيوية، الجزء 3: الاختبار والإبلاغ (ISO، 2023، بالإنجليزية)
- النشرة الفنية لجهاز DS-K1T343MFX (Hikvision، 2026، بالإنجليزية)
- مواصفات جهاز ASI7214S-W (Dahua، النشرة الفنية 2025، بالإنجليزية)
- النشرة الفنية للحاجز المتأرجح DS-K3B530X (Hikvision، 2025، بالإنجليزية)
- دليل مستخدم HikCentral Professional: تبادل البيانات (Hikvision، 2023، بالإنجليزية)
التعليقات
أسئلة القرّاء وتجاربهم. يقرأ أحد أعضاء فريقنا كل تعليق قبل نشره.
لا توجد تعليقات بعد. إن لم يطابق ما ورد هنا ما رأيته في موقع العمل، فأخبرنا.