Paano Magtakda ng Mga Pahintulot sa Pag-access ng User Nang Hindi Lumilikha ng Mga Puwang sa Seguridad

Ang mga setting ng pag-access ay dapat makatulong sa mga empleyado na gawin ang kanilang mga trabaho nang hindi pinapayagan ang mga hindi kinakailangang pagbabago sa impormasyon ng pananalapi, customer, imbentaryo o empleyado. Ang hindi maayos na planong pag-access ay maaaring magdulot ng aksidenteng pag-edit, hindi awtorisadong mga transaksyon at hindi malinaw na pananagutan. Ang isang diskarteng nakabatay sa tungkulin ay lumilikha ng pare-parehong mga patakaran na mas madaling suriin habang lumalaki ang negosyo.

Magsimula sa mga responsibilidad

• 1. Ilista ang mga aktibidad na ginagawa ng bawat posisyon, tulad ng paglikha ng mga dokumento ng benta, pagtanggap ng mga kalakal, pagtatala ng mga pagbabayad, pag-apruba ng mga pagbili o pag-update ng mga detalye ng empleyado. Magpokus sa aktwal na mga responsibilidad sa halip na mga titulo ng trabaho, dahil ang dalawang tao na may parehong titulo ay maaaring mangailangan ng magkaibang pag-access.

• 2. Paghiwalayin ang rutinang trabaho mula sa mga sensitibong desisyon. Ang isang tao ay maaaring mangailangan na maghanda ng isang kahilingan sa pagbili ngunit hindi aprubahan ito, magpasok ng isang invoice ng supplier ngunit hindi ilabas ang pagbabayad, o magtala ng isang resibo ng customer ngunit hindi baguhin ang isang invoice pagkatapos ng pag-post. Ang paghihiwalay na ito ay nagbabawas ng parehong mga pagkakamali at sinadyang maling paggamit.

• 3. Pangkatin ang mga empleyado sa mga praktikal na tungkulin sa pag-access batay sa mga ibinahaging responsibilidad. Panatilihing pamahalaan ang bilang ng mga tungkulin. Ang masyadong maraming indibidwal na eksepsyon ay lumilikha ng kalituhan, habang ang isang malawak na tungkulin ay maaaring maglantad ng impormasyon na hindi kailangan ng mga empleyado.

• 4. Bigyan ang bawat tungkulin ng pinakamababang pag-access na kinakailangan upang makumpleto ang mga regular na tungkulin nito. Iwasan ang pagbibigay ng malawak na administratibong pag-access dahil lamang ito ay maginhawa. Kung ang isang tao ay paminsan-minsan ay nangangailangan ng karagdagang pag-access, gumamit ng dokumentadong pansamantalang pag-apruba sa halip na gawing permanente ang mas malawak na pahintulot.

• 5. Protektahan ang mga aktibidad na may mataas na panganib sa pamamagitan ng independiyenteng pagsusuri. Ang mga pagbabago sa mga detalye ng bangko, mga rekord ng supplier, mga presyo, pagtrato sa buwis, mga tagubilin sa pagbabayad at mga nai-post na transaksyong pampananalapi ay karapat-dapat sa mas matibay na mga kontrol kaysa sa ordinaryong pagpasok ng data. Ang taong naghahanda ng isang pagbabago ay hindi dapat maging tanging taong nag-apruba nito.

• 6. Subukan ang bawat tungkulin gamit ang mga makatotohanang halimbawa bago ito italaga sa mga kawani. Kumpirmahin na ang mga empleyado ay makakumpleto ng mga mahahalagang gawain, hindi makaka-access ng walang kaugnayang impormasyon, at hindi makakalampas sa mga kinakailangang pag-apruba. Subukan ang parehong normal at hindi karaniwang mga kaso, kabilang ang mga pagwawasto at pagkansela.

Gumamit ng malinaw na pagmamay-ari

Magtalaga ng isang manager na magmamay-ari ng mga desisyon sa pag-access at isang backup para sa mga agarang pagbabago. Humiling ng nakasulat na pag-apruba mula sa may-katuturang manager ng departamento bago idagdag o palawakin ang pag-access. Panatilihin ang isang simpleng rekord ng empleyado, tungkulin, petsa ng pag-apruba, dahilan at inaasahang petsa ng pagsusuri. Lumilikha ito ng pananagutan nang hindi nangangailangan ng kumplikadong administrasyon.

Ang pag-access para sa mga pansamantalang manggagawa, consultant at intern ay dapat may petsa ng pagtatapos. Huwag umasa sa isang taong maaalala na alisin ang pag-access sa ibang pagkakataon. Ang mga kontratista ay dapat tumanggap lamang ng impormasyong kailangan para sa kanilang atas, at ang mga shared account ay dapat iwasan dahil ginagawa nilang mahirap iugnay ang aktibidad.

Regular na suriin ang pag-access

• 7. Suriin ang mga pahintulot kapag may sumasali, nagbabago ng posisyon, kumukuha ng pinahabang bakasyon o umaalis sa negosyo. Alisin ang lumang pag-access bago magdagdag ng bagong pag-access kapag nagbago ang mga responsibilidad. Para sa mga pag-alis, i-coordinate ang pagtanggal sa huling oras ng pagtatrabaho at kumpirmahin na ang data ng kumpanya ay nananatiling protektado.

• 8. Magsagawa ng pormal na pagsusuri nang hindi bababa sa quarterly, o mas madalas para sa pag-access sa pananalapi at administratibo. Tanungin ang bawat manager kung ang bawat tao ay nangangailangan pa rin ng itinalagang pag-access at kung may mga tungkuling nagbago. Itala ang mga desisyon at imbestigahan ang mga pahintulot na wala nang malinaw na dahilan sa negosyo.

• 9. Suriin ang hindi karaniwang aktibidad ng pag-access at mga nabigong pagtatangkang mag-sign in kapag magagamit. Ang paulit-ulit na pagtatangka na maabot ang pinaghihigpitang impormasyon, hindi inaasahang pagbabago sa labas ng normal na oras ng pagtatrabaho o aktibidad mula sa hindi pamilyar na mga lokasyon ay maaaring magpahiwatig ng isang isyu sa pagsasanay o alalahanin sa seguridad.

• 10. I-update ang plano ng pag-access pagkatapos ng mga reorganisasyon, bagong responsibilidad, pagkuha o pagbabago sa mga panloob na kontrol. Ituring ang pag-access bilang bahagi ng disenyo ng proseso, hindi bilang isang beses na gawain sa pag-setup.

Sanayin ang mga empleyado na protektahan ang kanilang mga kredensyal, i-lock ang mga hindi binabantayang device at agad na iulat ang pinaghihinalaang maling paggamit. Dapat maunawaan ng mga manager na ang pag-apruba ng pag-access ay isang desisyon sa pananagutan, hindi lamang isang administratibong gawain. Ang isang maikli at dokumentadong proseso ng pagsusuri ay karaniwang nagbibigay ng mas mahusay na proteksyon kaysa sa mga kumplikadong patakaran na walang sinusunod.