Управління доступом

Що це означає

Керування доступами визначає, хто має доступ до яких систем і даних і що в них може робити. Базове правило - принцип мінімальних прав: у кожного рівно стільки прав, скільки потрібно для його роботи.

Сюди ж належить персональний обліковий запис, а не спільний. Спільний логін не дозволяє встановити, хто що зробив, і тим самим руйнує журнал аудиту як засіб доказування.

Керування доступами має дві частини, які часто плутають: перевірку особи, тобто чи справді входить та сама людина, і повноваження, тобто що їй дозволено робити після входу. Ні сильний пароль, ні єдиний вхід не вирішать того, що бухгалтерка бачить і зарплату директора: це питання налаштування ролей, а не входу в систему.

Як це працює на практиці

У бухгалтерії розділяють три контури: хто вводить документи, хто затверджує платежі і хто підтверджує їх у банку. Цей поділ - ядро внутрішнього контролю в невеликій компанії.

Доступи документують і раз на півроку переглядають. При виході людини їх вимикають у день завершення як частину офбордингу, а не за найближчої нагоди.

Приймаючи облік, ми домовляємося з клієнтом, які доступи справді потрібні: до інтернет-банку зазвичай лише на читання виписок, до електронного листування з фінансовою адміністрацією - за довіреністю під власним логіном, а не з паролем директора. Після завершення співпраці все вимикається одним кроком, без зміни паролів у компанії.

На що звернути увагу

Найчастіших дір три: активний обліковий запис колишнього працівника, спільний пароль до банку і доступ зовнішнього підрядника, який так і не вимкнули. Доступ до персональних даних до того ж треба вміти підтвердити за GDPR і захистити двофакторною автентифікацією.

Другий ризик - накопичення прав: людина переходить із виставлення рахунків до закупівель, отримує нові права, а старі їй залишаються. За кілька років один працівник може і завести нового постачальника, і затвердити йому платіж, а поділ обов’язків існує лише на папері. У разі шахрайства потім важко пояснити, чому цього не помітили внутрішні регламенти.