צעדים ראשונים
ארגון תפקידים והרשאות
הגדירו מי רשאי לצפות ברשומות, מי רשאי לשנות אותן וכיצד בודקים הרשאות כשהצוות משתנה.
2 דקות קריאה·נבדק
בעמוד זה
תכנון הגישה מתחיל בעבודה שכל אדם צריך לבצע. מנהל מכירות, סוכנות שותפה, איש כספים ורוכש אינם זקוקים לאותה תמונה של הפעילות. REX-OPS מחברת בין התהליכים האלה, תוך שמירה על גבולות התפקיד והרשומה כחלק מההגדרה.
תחילה מגדירים אחריות
מפו את הצוותים שישתמשו בסביבת העבודה ואת הרשומות הנחוצות להם. הפרידו בין צפייה במידע לבין שינויו. למשל, מי שמתאם עדכון לרוכש עשוי להזדקק לצפייה בלוח התשלומים בלי להיות מורשה לשנות רשומות כספיות.
- מכירות פנימיות: פניות משויכות, עסקאות, פעילות ומלאי רלוונטי.
- תפעול: מידע על פרויקטים ויחידות ותיאום בין הצוותים.
- כספים ומשפטים: הרשומות הדרושות לטיפול במסמכים ובתשלומים שבאחריותם.
- שותפים: מלאי הנכסים ורישומי הלקוחות ששותפו עם הארגון שלהם.
- רוכשים: המידע שפורסם עבור העסקה שלהם בלבד.
אלה דוגמאות לתכנון. שמות התפקידים המדויקים ואפשרויות ההרשאה הזמינות תלויים בהגדרות סביבת העבודה שלכם.
הקצאת גישה מכוונת
השתמשו בחשבונות אישיים והעניקו לכל אדם את ההרשאות המינימליות הנחוצות לתפקידו. הגבילו גישת ניהול לאחראים על ההגדרות. קבעו מי רשאי לאשר גישת שותפים ושינויים בהרשאות כספיות או משפטיות.
לפני שמרחיבים גישה כדי לפתור בעיית מידע חסר, בדקו את האחראי לרשומה, השיוך לפרויקט ומצב הפרסום. הרחבת הרשאות עלולה לחשוף מידע שאינו קשור לבעיה, בלי לפתור את הבעיה ברשומה עצמה.
בדיקת התצוגה אצל המקבל
העובדה שמנהל מערכת רואה רשומה אינה מוכיחה מה שותף או רוכש יכולים לראות. בדקו חשבון מייצג לכל תפקיד במהלך הקליטה ולאחר שינויי הרשאות מהותיים.
- ודאו שהרשומות המיועדות אכן גלויות.
- ודאו שפרויקטים לא קשורים ומידע אישי שאינו נדרש אינם נחשפים.
- בדקו שפעולה המחייבת הרשאות נוספות אינה זמינה לתפקיד הזה.
- תעדו מי אישר את הגישה ומדוע היא נדרשת.
שמירה על הרשאות עדכניות
בדקו חשבונות כאשר אדם עובר צוות, הסכם שותפות מסתיים או פרויקט נסגר. הסירו גישה לפי נוהל הניהול המוסכם והקצו מחדש עבודה פעילה, כדי שלא תישאר ללא אחראי. סקרו מעת לעת חשבונות בעלי הרשאות מוגברות עם האחראי העסקי.
מתי לפנות לעזרה
אם תפקיד מסוים רואה מידע שאינו אמור לראות, הפסיקו לשתף דרך החשבון הזה ופנו למנהל סביבת העבודה. מסרו את תפקיד החשבון, מזהה הרשומה והפעולה שחשפה את הבעיה. השתמשו בערוץ מאובטח ומאושר לדוגמאות רגישות, ואל תכללו סיסמאות, מפתחות גישה או מידע אישי שאינו נחוץ.
לתהליכים חיצוניים, ראו שיתוף פעולה עם שותפים וגישת רוכשים, או קראו את סקירת האבטחה.