Sådan angiver du brugertilgangsrettigheder uden at skabe sikkerhedsgrøfter

Adgangsindstillinger bør hjælpe medarbejdere med at udføre deres opgaver uden at tillade unødvendige ændringer i økonomisk, kunderelevant, lager- eller medarbejderinformation. Dårligt planlagt adgang kan forårsage utilsigtede redigeringer, uautoriserede transaktioner og uklidelig ansvarlighed. En rollebaseret tilgang skaber konsistente regler, der er nemmere at gennemgå, jo større virksomheden vokser.

Start med ansvarsområder

• 1. Lav en liste over aktiviteter, hver stilling udfører, såsom oprettelse af salgsdokumenter, modtagelse af varer, registrering af betalinger, godkendelse af indkøb eller opdatering af medarbejders data. Fokuser på faktiske ansvarsområder i stedet for jobtitler, fordi to personer med samme titel kan have brug for forskellig adgang.

• 2. Adskil rutinearbejde fra følsomme beslutninger. En person kan have brug for at forberede en indkøbsanmodning, men ikke godkende den, indtaste en leverandørfaktura, men ikke frigøre betaling, eller registrere en kundebetaling, men ikke ændre en faktura efter bogføring. Denne adskillelse reducerer både fejl og bevidste misbrug.

• 3. Grupper medarbejdere i praktiske adgangsroller baseret på delte ansvarsområder. Hold antallet af roller håndterbart. For mange individuelle undtagelser skaber forvirring, mens én bred rolle kan eksponere oplysninger, som medarbejdere ikke har brug for.

• 4. Giv hver rolle den minimale adgang, der kræves for at fuldføre sine normale opgaver. Undgå at tildele bred administrativ adgang, blot fordi det er nemt. Hvis en person lejlighedsvis har brug for ekstra adgang, skal der bruges en dokumenteret midlertidig godkendelse i stedet for at gøre den bredere tilladelse permanent.

• 5. Beskyt højrisikofaktiviteter med uafhængig gennemgang. Ændringer i bankoplysninger, leverandøroplysninger, priser, momshandtering, betalingsinstruktioner og bogførte økonomiske transaktioner fortjener stærkere kontrol end almindelig databehandling. Den person, der forbereder en ændring, bør ikke være den eneste, der godkender den.

• 6. Test hver rolle med realistiske eksempler, før den tildeles medarbejdere. Bekræft, at medarbejdere kan udføre vigtige opgaver, ikke kan få adgang til uafhængige oplysninger, og ikke kan omgå påkrævet godkendelse. Test både normale og usædvanlige tilfælde, herunder korektioner og annuleringer.

Brug klar ejerskab

Tildel én leder, der ejer adgangsbeslutninger, og én reserve for akutte ændringer. Kræv skriftlig godkendelse fra den relevante afdelingsleder, før adgang tilføjes eller udvides. Hold en simpel optegnelse over medarbejder, rolle, godkendelsesdato, årsag og forventet gennemgåelsesdato. Dette skaber ansvarlighed uden at kræve kompliceret administration.

Adgang for midlertidige arbejdere, konsulenter og praktikere bør have en slutdato. Pålæg ikke, at nogen husker at fjerne adgang senere. Kontraktører bør modtage kun den information, der er nødvendig for deres opgave, og delte kontoer bør undgås, da de gør aktivitet vanskelig at attribuere.

Gennemgå adgang regelmæssigt

• 7. Gennemgå tilladelser, når én person kommer i gang, skifter position, tager langt fraværende eller forlader virksomheden. Fjern gammel adgang, før ny adgang tilføjes, når ansvarsområder ændres. Ved afsked, skal fjernelsen koordineres med den sidste arbejdstid, og det skal bekræftes, at virksomhedens data forbliver beskyttet.

• 8. Udfør en formal gennemgang mindst hver kvartal, eller oftere for økonomisk og administrativ adgang. Spørg hver leder, om hver person stadig har brug for den tildelte adgang, og om nogen opgaver er ændret. Optegn beslutninger og undersøg tilladelser, der ikke længere har en klar forretningsgrund.

• 9. Undersøg usædvanlig adgangsaktivitet og mislykkede loginforsøg, når muligt. Gentagne forsøg på at nå begrænset information, uventede ændringer uden for normal arbejdstid eller aktivitet fra ukendte lokationer kan tyde på en træningsproblem eller sikkerhedsbekymring.

• 10. Opdater adgangsplanen efter omorganiseringer, nye ansvarsområder, opkøb eller ændringer i interne kontroller. Behandl adgang som en del af procesdesign, ikke som en engangsopsætningsopgave.

Træn medarbejdere i at beskytte deres legitimationsoplysninger, låse uovervågede enheder og hurtigt rapportere mistænkt misbrug. Ledere bør forstå, at godkendelse af adgang er en ansvarlighedsbeslutning, ikke blot en administrativ opgave. En kort, dokumenteret gennemgangsproces giver normalt bedre beskyttelse end komplicerede regler, som ingen følger.