Kuinka määrittää käyttäjäoikeudet ilman tietoturva-aukkoja

Access-asetusten tulisi auttaa työntekijöitä tekemään työnsä ilman, että he voivat tehdä tarpeettomia muutoksia talous-, asiakas-, varasto- tai henkilöstötietoihin. Huonosti suunnitellut käyttöoikeudet voivat aiheuttaa vahingossa tehtäviä muokkauksia, luvattomia tapahtumia ja epäselvää vastuuta. Roolipohjainen lähestymistapa luo johdonmukaisia sääntöjä, joita on helpompi tarkistaa yrityksen kasvaessa.

Aloita vastuista

• 1. Luettele jokaisen tehtävän suorittamat toimet, kuten myyntidokumenttien luominen, tavaroiden vastaanotto, maksujen kirjaaminen, ostojen hyväksyminen tai työntekijätietojen päivittäminen. Keskity todellisiin vastuisiin, ei tehtävänimikkeisiin, koska kahdella samasta tehtävästä vastaavalla henkilöllä voi olla erilaiset käyttöoikeudet.

• 2. Erottele rutiinityö arkaluonteisista päätöksistä. Henkilön on ehkä valmisteltava ostopyyntö, mutta ei hyväksyttävä sitä, syötettävä toimittajan lasku, mutta ei vapautettava maksua, tai kirjattava asiakasmaksu, mutta ei muutettava laskua julkaisun jälkeen. Tämä erottelu vähentää sekä virheitä että tahallisia väärinkäytöksiä.

• 3. Ryhmittele työntekijät käytännöllisiin käyttörooleihin yhteisten vastuualueiden perusteella. Pidä roolien määrä hallittavana. Liian monet yksilölliset poikkeukset aiheuttavat sekaannusta, kun taas yksi laaja rooli voi paljastaa tietoa, jota työntekijät eivät tarvitse.

• 4. Anna jokaiselle roolille vähimmäiskäyttöoikeudet, jotka tarvitaan sen säännöllisten tehtävien suorittamiseen. Vältä laajan järjestelmänvalvojan käyttöoikeuden myöntämistä vain siksi, että se on kätevää. Jos henkilö tarvitsee satunnaisesti lisäkäyttöoikeuksia, käytä dokumentoitua väliaikaista hyväksyntää eikä tee laajemmasta käyttöoikeudesta pysyvää.

• 5. Suojaa korkean riskin toiminnot itsenäisellä tarkastuksella. Muutokset pankkitietoihin, toimittajatietoihin, hintoihin, verokohteluun, maksutietoihin ja julkaistuihin taloustapahtumiin ansaitsevat vahvemmat kontrollit kuin tavallinen tietosyöttö. Henkilön, joka valmistelee muutoksen, ei pitäisi olla ainoa henkilö, joka hyväksyy sen.

• 6. Testaa jokainen rooli realistisilla esimerkeillä ennen kuin määrität sen henkilöstölle. Varmista, että työntekijät voivat suorittaa keskeiset tehtävät, eivät pääse käsiksi epäolennaisiin tietoihin eivätkä voi ohittaa vaadittuja hyväksyntöjä. Testaa sekä normaaleja että epätavallisia tapauksia, mukaan lukien korjaukset ja peruutukset.

Käytä selkeää vastuullisuutta

Määritä yksi johtaja vastuulliseksi käyttöoikeuspäätöksistä ja yksi varajohtaja kiireellisiä muutoksia varten. Vaadi kirjallinen hyväksyntä asianomaiselta osastopäälliköltä ennen kuin käyttöoikeuksia lisätään tai laajennetaan. Pidä yksinkertainen kirja työntekijästä, roolista, hyväksyntäpäivästä, syystä ja odotetusta tarkistuspäivästä. Tämä luo vastuullisuutta ilman monimutkaista hallinnointia.

Tilapäisten työntekijöiden, konsulttien ja harjoittelijoiden käyttöoikeuksilla tulee olla päättymispäivä. Älä luota siihen, että joku muistaa poistaa käyttöoikeudet myöhemmin. Urakoitsijat saavat vain tiedot, joita he tarvitsevat tehtäväänsä varten, ja jaetut tilit tulee välttää, koska ne vaikeuttavat toiminnan jäljittämistä.

Tarkista käyttöoikeudet säännöllisesti

• 7. Tarkista käyttöoikeudet, kun joku liittyy, vaihtaa tehtävää, on pitkällä lomalla tai lähtee yrityksestä. Poista vanhat käyttöoikeudet ennen uusien lisäämistä, kun vastuualueet muuttuvat. Lähtevien osalta koordinoidaan käyttöoikeuksien poisto viimeisen työpäivän yhteydessä ja varmistetaan, että yrityksen tiedot pysyvät suojattuina.

• 8. Suorita virallinen tarkastus vähintään neljännesvuosittain tai useammin talous- ja hallinto-oikeuksien osalta. Kysy jokaiselta johtajalta, tarvitseeko kukin henkilö edelleen määritettyjä käyttöoikeuksia ja onko tehtävät muuttuneet. Kirjaa päätökset ja tutki käyttöoikeudet, joilla ei enää ole selkeää liiketoimintaperustetta.

• 9. Tutki epätavallisia käyttöoikeustoimintoja ja epäonnistuneita kirjautumisyrityksiä, jos niitä on saatavilla. Toistuvat yritykset päästä käsiksi rajoitettuihin tietoihin, odottamattomat muutokset normaalien työaikojen ulkopuolella tai toiminta tuntemattomista sijainneista voivat viitata koulutusongelmaan tai tietoturvaongelmaan.

• 10. Päivitä käyttöoikeussuunnitelma organisaatiouudistusten, uusien vastuualueiden, yrityskauppojen tai sisäisten kontrollien muutosten jälkeen. Käsittele käyttöoikeuksia osana prosessisuunnittelua, ei kertaluonteisena asennustehtävänä.

Kouluta työntekijöitä suojaamaan tunnuksiaan, lukitsemaan käyttämättömät laitteet ja ilmoittamaan epäillyistä väärinkäytöksistä viipymättä. Johtajien tulee ymmärtää, että käyttöoikeuksien hyväksyminen on vastuullisuuspäätös, ei vain hallinnollinen tehtävä. Lyhyt, dokumentoitu tarkistusprosessi tarjoaa yleensä parempaa suojaa kuin monimutkaiset säännöt, joita kukaan ei seuraa.