Як налаштувати права доступу користувачів без створення прогалин у безпеці

Налаштування доступу мають допомагати працівникам виконувати свою роботу, не дозволяючи непотрібних змін фінансової інформації, даних клієнтів, запасів або інформації про працівників. Погано спланований доступ може спричинити випадкові редагування, несанкціоновані транзакції та нечітку підзвітність. Підхід на основі ролей створює послідовні правила, які легше переглядати в міру зростання бізнесу.

Почніть з обов'язків

• 1. Перелічіть дії, які виконує кожна посада, наприклад створення документів продажу, приймання товарів, реєстрація платежів, затвердження закупівель або оновлення даних працівників. Зосередьтеся на фактичних обов'язках, а не на назвах посад, оскільки двом людям з однаковою назвою посади може знадобитися різний доступ.

• 2. Відокремте рутинну роботу від чутливих рішень. Особа може потребувати підготовки заявки на закупівлю, але не її затвердження, введення рахунку постачальника, але не вивільнення платежу, або реєстрації надходження від клієнта, але не зміни рахунку після проведення. Таке розмежування зменшує як помилки, так і навмисне зловживання.

• 3. Згрупуйте працівників у практичні ролі доступу на основі спільних обов'язків. Тримайте кількість ролей керованою. Занадто багато індивідуальних винятків створюють плутанину, тоді як одна широка роль може відкрити інформацію, яка працівникам не потрібна.

• 4. Надайте кожній ролі мінімальний доступ, необхідний для виконання її регулярних обов'язків. Уникайте надання широкого адміністративного доступу лише тому, що це зручно. Якщо особі час від часу потрібен додатковий доступ, використовуйте задокументоване тимчасове затвердження, а не робіть ширший дозвіл постійним.

• 5. Захищайте діяльність з високим ризиком незалежним переглядом. Зміни банківських реквізитів, записів постачальників, цін, податкового режиму, платіжних інструкцій і проведених фінансових транзакцій заслуговують на суворіший контроль, ніж звичайне введення даних. Особа, яка готує зміну, не повинна бути єдиною, хто її затверджує.

• 6. Перевірте кожну роль на реалістичних прикладах, перш ніж призначати її персоналу. Переконайтеся, що працівники можуть виконувати основні завдання, не мають доступу до не пов'язаної інформації та не можуть обійти обов'язкові затвердження. Перевіряйте як звичайні, так і незвичайні випадки, включно з виправленнями та скасуваннями.

Забезпечте чітку відповідальність

Призначте одного керівника, відповідального за рішення щодо доступу, і одного заступника для термінових змін. Вимагайте письмового затвердження від відповідного керівника підрозділу перед додаванням або розширенням доступу. Ведіть простий облік працівника, ролі, дати затвердження, причини та очікуваної дати перегляду. Це створює підзвітність без потреби у складному адмініструванні.

Доступ для тимчасових працівників, консультантів і стажерів повинен мати дату закінчення. Не покладайтеся на те, що хтось згадає видалити доступ пізніше. Підрядники повинні отримувати лише інформацію, необхідну для їхнього завдання, а спільних облікових записів слід уникати, оскільки вони ускладнюють віднесення діяльності до конкретної особи.

Регулярно переглядайте доступ

• 7. Переглядайте дозволи, коли хтось приєднується, змінює посаду, бере тривалу відпустку або залишає бізнес. Видаляйте старий доступ перед додаванням нового, коли змінюються обов'язки. Для звільнень узгоджуйте видалення доступу з останнім робочим часом і підтверджуйте, що дані компанії залишаються захищеними.

• 8. Проводьте формальний перегляд щонайменше щоквартально, або частіше для фінансового та адміністративного доступу. Запитайте кожного керівника, чи кожна особа все ще потребує призначеного доступу і чи не змінилися якісь обов'язки. Записуйте рішення та розслідуйте дозволи, які більше не мають чіткої ділової причини.

• 9. Аналізуйте незвичайну активність доступу та невдалі спроби входу, коли це доступно. Повторні спроби отримати доступ до обмеженої інформації, неочікувані зміни поза звичайним робочим часом або активність із незнайомих місць можуть вказувати на проблему з навчанням або загрозу безпеці.

• 10. Оновлюйте план доступу після реорганізацій, нових обов'язків, придбань або змін у внутрішньому контролі. Розглядайте доступ як частину проєктування процесів, а не як одноразове завдання з налаштування.

Навчайте працівників захищати свої облікові дані, блокувати залишені без нагляду пристрої та своєчасно повідомляти про підозру на зловживання. Керівники повинні розуміти, що затвердження доступу є рішенням про підзвітність, а не лише адміністративним завданням. Короткий задокументований процес перегляду зазвичай забезпечує кращий захист, ніж складні правила, яких ніхто не дотримується.