Wie können Organisationen die Trennung der Aufgaben bei Zugriffskontrollen durchsetzen?

Trennung der Aufgaben bei Zugriffskontrollen

Trennung der Aufgaben und Aufgabentrennung sind dieselbe Kontrolle unter zwei Namen. Prüfer sagen meist „Segregation“. IT-Teams sagen meist „Separation“. Sie meinen dasselbe: Keine Person sollte einen sensiblen Prozess von Anfang bis Ende ohne eine zweite Kontrolle durchführen können.

Wenn derselbe Mitarbeiter einen Lieferanten anlegen, die Zahlung dieses Lieferanten genehmigen und das Konto abstimmen kann, überprüft niemand die Transaktion unabhängig. SoD durchbricht die Kette, indem jeder Schritt einer anderen Rolle zugewiesen wird. SOX verlangt dies für alles, was die Finanzberichterstattung betrifft, und Prüfer wollen den Nachweis, dass Konflikte fortlaufend überwacht werden, nicht nur einmal dokumentiert und abgelegt.

Wie man die Trennung der Aufgaben durchsetzt

Kartieren Sie zuerst Ihre Konflikte. Erstellen Sie eine Aufgabenmatrix, die Rollen- oder Berechtigungspaare auflistet, die nicht bei einer Person liegen sollten: einen vendor erstellen und Zahlungen an vendor genehmigen, eine Bestellung erstellen und diese genehmigen, Zugriff anfordern und denselben Zugriff genehmigen. Ein Paar wird öfter übersehen, als es sollte: Zugriffskontrollen verwalten und die Audit-Logs verwalten, die diese überprüfen. Ein Admin, der Zugriff gewähren und die Logs bearbeiten kann, die Missbrauch aufdecken sollen, hat den ganzen Sinn der Protokollierung zunichtegemacht.

Erstellen Sie Rollen basierend auf der Funktion, nicht auf Personen. Sobald Sie wissen, welche Konflikte bestehen, weisen Sie Berechtigungen nach Rolle und nicht nach Person zu und geben jeder Rolle nur das, was sie benötigt. Das Prinzip der geringsten Privilegien bewirkt hier zwei Dinge: Es verringert die Anzahl der zu überwachenden Konfliktkombinationen und begrenzt den Schaden, falls ein Konto kompromittiert wird.

Entscheiden Sie, was Sie verhindern und was Sie erkennen wollen. Statische Kontrollen verhindern eine widersprüchliche Zuweisung, bevor sie passiert, und blockieren, dass jemand zwei unvereinbare Rollen erhält. Dynamische Kontrollen lassen die Zuweisung zu, markieren sie aber oder erfordern, dass eine zweite Person die spezifische Transaktion nachträglich genehmigt. Die meisten Organisationen benötigen beides. Blockieren Sie offensichtliche Konflikte sofort. Verwenden Sie unabhängige Genehmigungen für Grauzonen, die eine pauschale Regel zu grob behandeln würde.

Erfordern Sie eine zweite Person bei risikoreichen Aktionen. Für alles, was nicht vollständig nach Rolle getrennt werden kann, verlangen Sie eine unabhängige Genehmigung vor Abschluss. Eine Person initiiert, eine andere genehmigt. Wenden Sie dies auf Zahlungsfreigaben, Codebereitstellungen oder Änderungen an, die eine finanzielle Kontrolle betreffen.

Zentralisieren Sie, wo Sie können. Je mehr Systeme im Einsatz sind, desto schwieriger wird eine konsistente Durchsetzung. Ein Benutzer, der durch eine strenge Rolle in einem System ausgesperrt ist, kann an anderer Stelle weiterhin Zugriff haben, den niemand überprüft hat. Wo möglich, verwalten Sie den Zugriff über eine einzige Ebene, damit dieselbe Richtlinie überall gilt, anstatt systemweise neu erfunden zu werden.

Überprüfen Sie Zugriffe nach einem Zeitplan, nicht erst bei Problemen. Rollen verändern sich. Menschen wechseln den Job, übernehmen vorübergehende Aufgaben und sammeln Zugriffe an, deren Vergabe niemand mehr erinnert. Legen Sie eine regelmäßige Überprüfung fest, bestätigen Sie, dass jede Rolle noch zum Job passt, und verfolgen Sie verdächtige Zugriffe.

Dokumentieren Sie ausgleichende Kontrollen, wenn eine echte Trennung nicht möglich ist. Kleine Teams können manchmal nicht jede Aufgabe vollständig trennen. Wenn eine Person sowohl Bestellungen erstellen als auch genehmigen muss, weil niemand sonst verfügbar ist, zucken Sie nicht einfach mit den Schultern und machen weiter. Richten Sie eine unabhängige Überprüfung durch einen Manager ein und halten Sie diese fest.

Trennung der Aufgaben in NetSuite

Das native Rollen- und Berechtigungsmodell von NetSuite erkennt SoD-Konflikte nicht für Sie. Sie können Rollen erstellen und Berechtigungsstufen zuweisen, aber nichts in der Plattform zeigt an, dass zwei Rollen derselben Person widersprechen, und nichts verhindert das Speichern dieser Zuweisung. So wird SoD zu einer Tabellenkalkulationsaufgabe: Jemand vergleicht jede Rolle, jede Berechtigungsstufe, jeden Mitarbeiter mit der Aufgabenmatrix und wiederholt das bei jeder Rollenänderung. Es ist langsam, fehleranfällig, und Prüfer akzeptieren keine einmalige Bereinigung als dauerhafte Kontrolle. Ein übersehener Konflikt, eine Person, die dieselbe Lieferantenzahlung sowohl erstellen als auch genehmigen kann, verwandelt eine saubere Prüfung in eine Nachbesserungsliste.

StrongpointDas Advanced SoD-Modul von Strongpoint bringt diese Durchsetzung direkt in NetSuite. Beginnen Sie mit einer vordefinierten Regelbibliothek, die über Jahre der Zusammenarbeit mit Kunden und Prüfern erstellt wurde und die Bedürfnisse der meisten Organisationen von Anfang an abdeckt. Aktivieren Sie nur die Regeln, die Sie benötigen, und erstellen Sie eigene rollenbasierte, berechtigungsbasierte oder beides, für eine feinere Kontrolle über sensible benutzerdefinierte Datensätze, wenn etwas fehlt. Blockierende Kontrollen verhindern eine inkompatible Zuweisung in dem Moment, in dem jemand versucht, sie zu speichern, sodass die Prävention in Echtzeit stattfindet und nicht erst bei der nächsten Quartalsprüfung. Für Konflikte, die Sie nicht vollständig blockieren können, protokolliert Strongpoint den Vorfall und leitet jede Ausnahme über einen dokumentierten Änderungsantrag und eine Genehmigung weiter, sodass jede kompensierende Kontrolle eine Papierspur hinterlässt. Der Testmodus ermöglicht es Ihnen, eine neue Regel gegen bestehende Rollen oder Mitarbeiter zu modellieren, bevor sie live geht, sodass Sie sie anpassen können, bevor sie wirksam wird. Und Strongpoint protokolliert jede Regeländerung, Ausnahme und Verletzung, sodass der SoD Audit Report und verwandte Berichte Ihnen kontinuierliche Nachweise für SOX-Prüfungen liefern, anstatt eine kurzfristige Rekonstruktion, wer wann welchen Zugriff hatte.