Hogyan állítsuk be a felhasználói hozzáférési jogosultságokat biztonsági rések létrehozása nélkül

A hozzáférési beállításoknak segíteniük kell a munkavállalóknak a munkájuk elvégzésében, anélkül, hogy a pénzügyi, ügyfél-, készlet- vagy alkalmazotti adatok szükségtelen módosítását lehetővé tennék. A rosszul megtervezett hozzáférés véletlen módosításokat, jogosulatlan tranzakciókat és nem egyértelű felelősséget okozhat. Egy szerepkör-alapú megközelítés egységes szabályokat teremt, amelyek könnyebben felülvizsgálhatók az üzlet növekedésével.

Kezdjük a felelősségekkel

• 1. Soroljuk fel az egyes beosztások által végzett tevékenységeket, például értékesítési dokumentumok létrehozását, áruátvételt, fizetések rögzítését, beszerzések jóváhagyását vagy alkalmazotti adatok frissítését. Koncentráljunk a valós felelősségekre a beosztási megnevezések helyett, mert két ember ugyanazzal a címmel eltérő hozzáférésre szorulhat.

• 2. Válasszuk el a rutinmunkát az érzékeny döntésektől. Egy személynek előkészítenie kell egy beszerzési igénylést, de nem kell jóváhagynia, rögzítenie egy beszállítói számlát, de nem szabad felszabadítania a fizetést, vagy rögzítenie egy vevői bevételezést, de nem módosíthatja a számlát feladás után. Ez az elválasztás csökkenti mind a hibákat, mind a szándékos visszaéléseket.

• 3. Csoportosítsuk a munkavállalókat gyakorlati hozzáférési szerepkörökbe a közös felelősségek alapján. Tartjuk kezelhető számban a szerepköröket. Túl sok egyéni kivétel zavart okoz, miközben egy túl általános szerepkör olyan információkat fedhet le, amire a munkavállalók nem szorulnak.

• 4. Adjunk meg minden szerepkörnek a rendszeres feladatok elvégzéséhez minimálisan szükséges hozzáférést. Kerüljük a széles körű adminisztrátori hozzáférés adását kizárólag a kényelmesség miatt. Ha valaki alkalmanként igényel további hozzáférést, használjunk dokumentált ideiglenes jóváhagyást ahelyett, hogy a szélesebb engedélyt tartósan megadnánk.

• 5. Védjük a magas kockázatú tevékenységeket független ellenőrzéssel. A bankszámlaszámok, beszállítói adatok, árak, adókezelés, fizetési utasítások és feladott pénzügyi tranzakciók módosításai szigorúbb ellenőrzést igényelnek, mint az átlagos adatrögzítés. Az a személy, aki a módosítást elkészíti, nem lehet az egyetlen, aki jóváhagyja.

• 6. Teszteljük minden szerepkört valós példákkal a munkavállalókhoz rendelése előtt. Ellenőrizzük, hogy a munkavállalók képesek-e elvégezni az alapvető feladatokat, nem férnek hozzá nem kapcsolódó adatokhoz, és nem tudják megkerülni a kötelező jóváhagyásokat. Teszteljük mind a normál, mind a szokatlan eseteket, beleértve a javításokat és stornózásokat.

Használjunk egyértelű felelősségkiosztást

Jelöljünk ki egy menedzsert a hozzáférési döntésekért felelőssé, és egy helyettest sürgős változtatásokhoz. Kövessük el az írásos jóváhagyást a vonatkozó részlegvezetőtől a hozzáférés hozzáadása vagy bővítése előtt. Vezessünk egyszerű nyilvántartást az alkalmazottról, a szerepkörről, a jóváhagyás dátumáról, az indokról és a tervezett ellenőrzés dátumáról. Ez felelősségvállalást teremt bonyolult adminisztráció nélkül.

Az ideiglenes munkavállalók, tanácsadók és gyakorlók hozzáférésének legyen lejárati dátuma. Ne bízzunk abban, hogy valaki később emlékezni fog a hozzáférés eltávolítására. A szerződött munkavállalók csak az adott feladathoz szükséges információkat kapják meg, a közös fiókokat pedig el kell kerülni, mert nehezítik a tevékenység hozzárendelését.

Vizsgáljuk rendszeresen a hozzáférést

• 7. Ellenőrizzük az engedélyeket, amikor valaki belép, megváltoztatja a beosztását, hosszabb szabadságra megy vagy kilép az üzletből. Távolítsuk el a régi hozzáférést az új hozzáadása előtt, ha a felelősségek megváltoznak. Kilépés esetén az eltávolítást egyeztessük a munkavégzés utolsó napjával, és erősítsük meg, hogy a cégadatok védve maradnak.

• 8. Végezzünk formális ellenőrzést legalább negyedévente, vagy gyakrabban a pénzügyi és adminisztrátori hozzáférés esetén. Kérdezzük meg minden menedzsert, hogy az összes személy még mindig igényli-e a hozzárendelt hozzáférést, és változtak-e a feladatai. Jegyezzük fel a döntéseket, és vizsgáljuk meg azokat a jogosultságokat, amelyeknek már nincs egyértelmű üzleti indoka.

• 9. Elemezzük a szokatlan hozzáférési aktivitást és a sikertelen bejelentkezési kísérleteket, ha elérhetők. Az ismételt kísérletek a korlátozott adatok elérésére, a váratlan változtatások a normál munkaidőn kívül, vagy az ismeretlen helyekről érkező aktivitás képzési problémára vagy biztonsági aggályra utalhat.

• 10. Frissítsük a hozzáférési tervet átszervezések, új felelősségek, vállalatvásárlások vagy belső ellenőrzések változásai után. Kezeljük a hozzáférést a folyamattervezés részeként, nem pedig egyszeri beállítási feladatként.

Képessük a munkavállalókat a hitelesítő adataik védelmére, a fel nemügyelt eszközök zárolására és a gyanús visszaélés azonnal jelzésére. A menedzserek értsék, hogy a hozzáférés jóváhagyása felelősségvállalási döntés, nem pusztán adminisztratív feladat. Egy rövid, dokumentált ellenőrzési folyamat általában jobb védelmet nyújt, mint az olyan bonyolult szabályok, amelyeket senki nem követ.