Πώς να ρυθμίσετε δικαιώματα πρόσβασης χρηστών χωρίς να δημιουργήσετε κενά ασφαλείας

Οι ρυθμίσεις πρόσβασης θα πρέπει να βοηθούν τους εργαζομένους να εκτελούν τα καθήκοντά τους χωρίς να επιτρέπουν περιττές αλλαγές σε οικονομικές πληροφορίες, πληροφορίες πελατών, αποθεμάτων ή εργαζομένων. Η κακώς σχεδιασμένη πρόσβαση μπορεί να προκαλέσει τυχαίες τροποποιήσεις, μη εξουσιοδοτημένες συναλλαγές και ασαφή καταλογισμό ευθυνών. Μια προσέγγιση βάσει ρόλων δημιουργεί συνεπείς κανόνες που είναι ευκολότερο να ελεγχθούν καθώς η επιχείρηση αναπτύσσεται.

Ξεκινήστε από τις αρμοδιότητες

• 1. Καταγράψτε τις δραστηριότητες που εκτελεί κάθε θέση, όπως η δημιουργία εγγράφων πωλήσεων, η παραλαβή αγαθών, η καταχώριση πληρωμών, η έγκριση αγορών ή η ενημέρωση στοιχείων εργαζομένων. Εστιάστε στις πραγματικές αρμοδιότητες και όχι στους τίτλους θέσεων, επειδή δύο άτομα με τον ίδιο τίτλο μπορεί να χρειάζονται διαφορετική πρόσβαση.

• 2. Διαχωρίστε τη συνήθη εργασία από τις ευαίσθητες αποφάσεις. Ένα άτομο μπορεί να χρειάζεται να προετοιμάσει ένα αίτημα αγοράς αλλά όχι να το εγκρίνει, να καταχωρίσει ένα τιμολόγιο προμηθευτή αλλά όχι να εκταμιεύσει πληρωμή, ή να καταχωρίσει μια είσπραξη πελάτη αλλά όχι να αλλάξει ένα τιμολόγιο μετά την καταχώρισή του. Αυτός ο διαχωρισμός μειώνει τόσο τα λάθη όσο και την εκ προθέσεως κατάχρηση.

• 3. Ομαδοποιήστε τους εργαζομένους σε πρακτικούς ρόλους πρόσβασης με βάση κοινές αρμοδιότητες. Διατηρήστε τον αριθμό των ρόλων διαχειρίσιμο. Πάρα πολλές μεμονωμένες εξαιρέσεις δημιουργούν σύγχυση, ενώ ένας ευρύς ρόλος μπορεί να εκθέσει πληροφορίες που οι εργαζόμενοι δεν χρειάζονται.

• 4. Παραχωρήστε σε κάθε ρόλο την ελάχιστη απαιτούμενη πρόσβαση για την εκτέλεση των τακτικών καθηκόντων του. Αποφύγετε τη χορήγηση ευρείας διαχειριστικής πρόσβασης απλώς και μόνο επειδή είναι βολική. Εάν ένα άτομο χρειάζεται περιστασιακά πρόσθετη πρόσβαση, χρησιμοποιήστε μια τεκμηριωμένη προσωρινή έγκριση αντί να καταστήσετε μόνιμη την ευρύτερη άδεια.

• 5. Προστατεύστε δραστηριότητες υψηλού κινδύνου με ανεξάρτητο έλεγχο. Οι αλλαγές σε τραπεζικά στοιχεία, αρχεία προμηθευτών, τιμές, φορολογικό χειρισμό, οδηγίες πληρωμών και καταχωρισμένες χρηματοοικονομικές συναλλαγές αξίζουν ισχυρότερους ελέγχους από τη συνήθη καταχώριση δεδομένων. Το άτομο που προετοιμάζει μια αλλαγή δεν θα πρέπει να είναι το μόνο άτομο που την εγκρίνει.

• 6. Δοκιμάστε κάθε ρόλο με ρεαλιστικά παραδείγματα πριν τον αναθέσετε στο προσωπικό. Επιβεβαιώστε ότι οι εργαζόμενοι μπορούν να ολοκληρώσουν βασικές εργασίες, δεν μπορούν να αποκτήσουν πρόσβαση σε άσχετες πληροφορίες και δεν μπορούν να παρακάμψουν τις απαιτούμενες εγκρίσεις. Δοκιμάστε τόσο κανονικές όσο και ασυνήθιστες περιπτώσεις, συμπεριλαμβανομένων διορθώσεων και ακυρώσεων.

Χρησιμοποιήστε σαφή κατανομή ευθυνών

Αναθέστε σε έναν διευθυντή την ευθύνη των αποφάσεων πρόσβασης και σε έναν αναπληρωτή για επείγουσες αλλαγές. Απαιτήστε γραπτή έγκριση από τον αρμόδιο διευθυντή τμήματος πριν προστεθεί ή επεκταθεί η πρόσβαση. Τηρείτε ένα απλό αρχείο με τον εργαζόμενο, τον ρόλο, την ημερομηνία έγκρισης, τον λόγο και την αναμενόμενη ημερομηνία επανεξέτασης. Αυτό δημιουργεί καταλογισμό ευθυνών χωρίς να απαιτεί περίπλοκη διαχείριση.

Η πρόσβαση για έκτακτους εργαζομένους, συμβούλους και ασκούμενους θα πρέπει να έχει ημερομηνία λήξης. Μην βασίζεστε στο ότι κάποιος θα θυμηθεί να αφαιρέσει την πρόσβαση αργότερα. Οι εξωτερικοί συνεργάτες θα πρέπει να λαμβάνουν μόνο τις πληροφορίες που απαιτούνται για την ανάθεσή τους, και οι κοινόχρηστοι λογαριασμοί θα πρέπει να αποφεύγονται επειδή καθιστούν δύσκολη την απόδοση της δραστηριότητας.

Επανεξετάζετε την πρόσβαση τακτικά

• 7. Επανεξετάστε τα δικαιώματα όταν κάποιος προσλαμβάνεται, αλλάζει θέση, λαμβάνει παρατεταμένη άδεια ή αποχωρεί από την επιχείρηση. Αφαιρέστε την παλιά πρόσβαση πριν προσθέσετε νέα όταν αλλάζουν οι αρμοδιότητες. Για αποχωρήσεις, συντονίστε την αφαίρεση με τον τελικό χρόνο εργασίας και επιβεβαιώστε ότι τα εταιρικά δεδομένα παραμένουν προστατευμένα.

• 8. Διενεργείτε επίσημη επανεξέταση τουλάχιστον ανά τρίμηνο, ή συχνότερα για οικονομική και διαχειριστική πρόσβαση. Ρωτήστε κάθε διευθυντή εάν κάθε άτομο εξακολουθεί να χρειάζεται την εκχωρημένη πρόσβαση και εάν έχουν αλλάξει καθήκοντα. Καταγράψτε τις αποφάσεις και διερευνήστε δικαιώματα που δεν έχουν πλέον σαφή επιχειρηματικό λόγο.

• 9. Εξετάστε ασυνήθιστη δραστηριότητα πρόσβασης και αποτυχημένες προσπάθειες σύνδεσης όταν είναι διαθέσιμες. Επαναλαμβανόμενες προσπάθειες πρόσβασης σε περιορισμένες πληροφορίες, απροσδόκητες αλλαγές εκτός κανονικών ωρών εργασίας ή δραστηριότητα από άγνωστες τοποθεσίες μπορεί να υποδηλώνουν ζήτημα εκπαίδευσης ή ανησυχία ασφαλείας.

• 10. Ενημερώστε το σχέδιο πρόσβασης μετά από αναδιοργανώσεις, νέες αρμοδιότητες, εξαγορές ή αλλαγές στους εσωτερικούς ελέγχους. Αντιμετωπίστε την πρόσβαση ως μέρος του σχεδιασμού διαδικασιών, όχι ως εργασία εφάπαξ ρύθμισης.

Εκπαιδεύστε τους εργαζομένους να προστατεύουν τα διαπιστευτήριά τους, να κλειδώνουν τις συσκευές χωρίς επίβλεψη και να αναφέρουν αμέσως την ύποπτη κατάχρηση. Οι διευθυντές θα πρέπει να κατανοούν ότι η έγκριση πρόσβασης είναι απόφαση καταλογισμού ευθύνης, όχι απλώς διοικητικό καθήκον. Μια σύντομη, τεκμηριωμένη διαδικασία επανεξέτασης συνήθως παρέχει καλύτερη προστασία από περίπλοκους κανόνες που κανείς δεν ακολουθεί.