Управление доступом

Что это значит

Управление доступами определяет, кто имеет доступ к каким системам и данным и что в них может делать. Базовое правило - принцип минимальных прав: у каждого ровно столько прав, сколько нужно для его работы.

Сюда же относится персональная учётная запись, а не общая. Общий логин не позволяет установить, кто что сделал, и тем самым разрушает журнал аудита как средство доказывания.

У управления доступами две части, которые часто путают: проверка личности, то есть действительно ли входит тот самый человек, и полномочия, то есть что ему разрешено делать после входа. Ни сильный пароль, ни единый вход не решат того, что бухгалтер видит и зарплату директора: это вопрос настройки ролей, а не входа в систему.

Как это работает на практике

В бухгалтерии разделяют три контура: кто вводит документы, кто утверждает платежи и кто подтверждает их в банке. Это разделение - ядро внутреннего контроля в небольшой компании.

Доступы документируют и раз в полгода пересматривают. При уходе человека их отключают в день окончания как часть офбординга, а не при ближайшей возможности.

Принимая учёт, мы договариваемся с клиентом, какие доступы действительно нужны: к интернет-банку обычно только на чтение выписок, к электронной переписке с финансовой администрацией - по доверенности под собственным логином, а не с паролем директора. При окончании сотрудничества всё отключается одним шагом, без смены паролей в компании.

На что обратить внимание

Самых частых дыр три: активная учётная запись бывшего сотрудника, общий пароль к банку и доступ внешнего подрядчика, который так и не отключили. Доступ к персональным данным к тому же нужно уметь подтвердить по GDPR и защитить двухфакторной аутентификацией.

Второй риск - накопление прав: человек переходит из выставления счетов в закупки, получает новые права, а старые у него остаются. Через несколько лет один сотрудник может и завести нового поставщика, и утвердить ему платёж, а разделение обязанностей существует только на бумаге. При мошенничестве потом трудно объяснить, почему этого не заметили внутренние регламенты.