Un'analisi approfondita dei ruoli e dei permessi di NetSuite

Una comprensione chiara e sicura dei ruoli degli utenti è fondamentale per gestire con successo NetSuite. Che tu stia implementando un nuovo account, ripulendo uno vecchio o impostando la segregazione dei compiti per la SOX compliance, devi avere una solida conoscenza di alcuni principi fondamentali.

Comprensione dei ruoli utente

NetSuite dispone di un sistema di controllo degli accessi basato sui ruoli. Ciò significa che ogni utente necessita di un ruolo assegnato per ottenere l'accesso, e tale ruolo determina ciò che possono vedere e fare nel sistema.

Ci sono 636 permessi distinti che governano 4923 compiti, ricerche e registrazioni separati. Inoltre, ogni ruolo può avere una vista o un modulo preferito o richiesto per ogni tipo di record e transazione. E in aggiunta a ciò ci sono tutte le impostazioni contestuali che determinano quali dati un utente vede da diversi segmenti e filiali. A seconda della natura del tuo account, potrebbero esserci centinaia di migliaia di combinazioni potenziali.

Tuttavia, la realtà è raramente così complessa. In termini semplici, i ruoli sono composti da tre elementi:

• Permessi: concedere agli utenti il diritto di visualizzare i dati e interagire con essi.
• Restrizioni: limitare l'uso di un permesso ai dati relativi alla vostra filiale, dipartimento o classe.
• Interfacce: come moduli, visualizzazioni elenco e cruscotti, e il tema di navigazione generale noto come 'centro', definiscono come gli utenti vedono le cose.

Comprensione dei permessi utente

Ogni ruolo utente (ad eccezione dell'Amministratore) necessita almeno di un permesso. Essenzialmente, un permesso è un insieme di diritti che regolano ciò che un utente può e non può fare nel sistema.

La maggior parte dei permessi ha anche una gamma di livelli di autorizzazione, da Visualizzazione a Completo. Sono:

• Visualizza: L'utente può vedere i dati ma non può modificarli
• Creare: L'utente può ANCHE creare un record o una transazione, ma non può modificarlo
• Modifica: L'utente può ANCHE modificare un record o una transazione dopo la sua creazione
• Completo: L'utente può ANCHE ELIMINARE un record o una transazione

Prestare molta, molta attenzione nel concedere livelli di permesso Completo a quasi chiunque, per quasi qualsiasi cosa. Quasi nessun ruolo operativo dovrebbe avere un set di permessi transazionali impostato su Completo.

Quattro FAQ sulle autorizzazioni degli utenti

Quali permessi ha il ruolo Admin?

Gli amministratori hanno tutti i permessi E la capacità di concedere l'accesso a chiunque E la capacità di eliminare l'intero account. Quindi dovresti essere molto attento a chi dai l'accesso Admin. Una cosa fondamentale da ricordare è che quasi tutte le capacità incluse nel ruolo di Amministratore sono disponibili come permessi separati. Il modo migliore per pensare a un permesso è come a una scorciatoia che consente agli Amministratori di dare a un ruolo un gruppo di capacità in un solo passaggio.

Cos'è un compito?

Molti permessi sono descritti in relazione a un compito. Questa relazione è una delle principali fonti di confusione riguardo ai permessi. Quindi, cos'è un compito?

Un compito è fondamentalmente un percorso per fare qualcosa in NetSuite. È sempre rappresentato da uno o più elementi dell'interfaccia. Questi elementi possono essere qualcosa nella navigazione o in un'interfaccia di record o transazione.

Ad esempio, il permesso di Approvazione Ordine di Vendita attiva e disattiva il compito di Approvazione Ordine di Vendita. Senza questo permesso, un utente non può approvare un ordine di vendita.

Come influiscono i permessi sulla navigazione?

Il livello di autorizzazione “View” controlla la navigazione e, in alcuni casi, la capacità di aggiungere un promemoria a un cruscotto. Gli altri livelli controllano la capacità di creare, modificare o eliminare dati in record, transazioni o impostazioni, che a loro volta possono cambiare la funzionalità di un'interfaccia aggiungendo un pulsante o abilitando uno stato di approvazione.

Questo è vero non solo per i dati e le transazioni, ma anche per tutti i permessi di configurazione sopra menzionati. Inoltre, non importa davvero se la capacità viene chiamata compito o record — la relazione funzionale con il permesso è la stessa.

Quali sono le diverse categorie per i ruoli e i permessi di NetSuite?

• Transazioni: Questi permessi controllano l'accesso ai record delle transazioni di NetSuite e la capacità di approvarli. È importante assegnare permessi limitati basati su ruoli specifici per garantire una corretta segregazione dei compiti. Considerare se certi ruoli richiedono permessi per configurare i flussi di lavoro SuiteFlow relativi alle transazioni.
• Rapporti: Questi permessi determinano l'accesso a rapporti finanziari più ampi all'interno di NetSuite. I ruoli coinvolti nella rendicontazione finanziaria di solito hanno la maggior parte di questi permessi assegnati.
• Liste: Questa categoria comprende l'accesso a tutti i record non transazionali in NetSuite, come clienti, fornitori e dipendenti. Ricorda che non tutti i permessi in questa categoria potrebbero avere un nome intuitivo, quindi esamina attentamente ogni permesso per comprenderne lo scopo. Determinati permessi amministrativi, come “Aggiornamenti Massivi”, dovrebbero essere limitati a un piccolo sottoinsieme di utenti.
• Configurazione: Questi permessi sono per lo più di natura amministrativa. Tuttavia, alcuni permessi in questa categoria possono essere rilevanti per una gamma più ampia di ruoli. Ad esempio, il permesso “Importa File CSV” consente agli utenti finali di elaborare le proprie importazioni CSV per i record a cui hanno accesso. Inoltre, il permesso “SAML Single Sign-on” è essenziale per i ruoli che utilizzano l'autenticazione single sign-on.
• Record personalizzato: Questa categoria riguarda le SuiteApps o i record personalizzati all'interno di NetSuite. L'accesso a record specifici o gruppi di record può essere concesso agli utenti in base ai loro ruoli. Durante l'implementazione di una nuova SuiteApp, questi permessi vengono spesso regolati per permettere agli utenti di interagire con la soluzione secondo necessità.

Monitoraggio del comportamento degli amministratori

In NetSuite, il ruolo di Amministratore conferisce agli utenti ampi poteri transazionali — e con ciò viene il potenziale per frodi. In un mondo ideale, nessun utente sarebbe in grado di creare, modificare e cancellare transazioni in un account di produzione.

Monitorare e rivedere regolarmente tutti i cambiamenti transazionali effettuati dagli utenti con privilegi di amministratore è una parte fondamentale della preparazione per la conformità SOX, per non parlare di una buona pratica per rimanere al sicuro. Tuttavia, rilevare questi cambiamenti può essere più difficile di quanto si possa immaginare. Di conseguenza, anche se ti fidi completamente del tuo team, essere pronti per un'audizione può essere una sfida.

La radice del problema è che in NetSuite, alcuni script e flussi di lavoro verranno eseguiti come amministratori, anche se non sono attivati da un utente con privilegi di amministratore. Il risultato è centinaia o addirittura migliaia di falsi positivi quando si esegue una ricerca di note di sistema per attività transazionale.

Pulizia dei ruoli inutilizzati

La gestione degli accessi in NetSuite è molto più difficile quando si hanno ruoli inutilizzati nel proprio sistema. Come altre forme di debito tecnico, i ruoli utilizzati rendono ogni decisione riguardante il controllo degli accessi più complicata. E più si rimanda un progetto di pulizia, peggiora il problema.

Due tipi di ruoli sono candidati per la pulizia:

• Ruoli non assegnati che non sono assegnati a nessuno
• Ruoli inutilizzati che sono assegnati ma non utilizzati

Per trovare ruoli non assegnati, esegui semplicemente una ricerca nel registro dei dipendenti e raggruppa i risultati per ruolo. Qualsiasi ruolo utente che non è nell'elenco non è assegnato a nessuno.

Per trovare ruoli inutilizzati, esegui una ricerca nel Login Audit Trail (Setup>Manage Users>View User Login Audit Trail) per tutti gli accessi negli ultimi sei mesi. Se il ruolo non è presente in questa lista, significa che non è in uso.

In un account impegnato, queste ricerche potrebbero scadere. Per aggirare il problema, restringi la tua ricerca solo ai ruoli che ti interessano.

Perché è più facile con Netwrix Platform Governance (precedentemente Netwrix Strongpoint)

Netwrix Platform Governance (precedentemente Netwrix Strongpoint) è fornito con ricerche predefinite per identificare ruoli inutilizzati e non assegnati in NetSuite.

Netwrix Platform Governance offre un ulteriore livello di sicurezza e tranquillità, archiviando automaticamente i ruoli eliminati in un archivio permanente che può essere ripristinato in qualsiasi momento.

Come abbiamo menzionato sopra, Netwrix Platform Governance è l'unica soluzione che trova script che si eseguono come un ruolo specifico.

Revisione dell'utilizzo dei permessi

Ogni volta che viene modificato un record, NetSuite crea una nota di sistema che descrive cosa è stato cambiato, quando è cambiato, da chi e con quale ruolo. Utilizzando questo, possiamo lavorare a ritroso per scoprire quali permessi vengono utilizzati per modificare i dati.

Se il record ha note di sistema e non ci sono note di sistema relative agli utenti che creano o modificano il record pertinente, il permesso non viene utilizzato attivamente (cioè, non viene utilizzato per inserire o modificare dati/impostazioni).

Tuttavia, un permesso che non è attivamente utilizzato può includere elementi di navigazione che non sono catturati nelle note di sistema. Quindi, se stai utilizzando questo metodo per pulire i permessi di NetSuite, qualsiasi candidato identificato dovrebbe essere impostato su Visualizza — non eliminato — per evitare problemi di navigazione. 

Infine, se scopri che devi impostare un permesso per Visualizzare (o per rimuovere un permesso) da un gruppo di ruoli personalizzati, puoi apportare quella modifica utilizzando un aggiornamento di massa. Tuttavia, fai MOLTA ATTENZIONE a selezionare i ruoli corretti.

Principali rapporti di Netwrix Platform Governance:

Netwrix Platform Governance viene fornito con tre report predefiniti per aiutarti a rivedere l'utilizzo dei permessi:

• Attività Transazionale per Ruolo: Il rapporto 'Attività transazionale per ruolo' copre tutte le transazioni, incluse le transazioni personalizzate
• Attività aziendale per ruolo: Il rapporto 'Attività aziendale per ruolo' copre Leads, Clienti, Prospetti, Fornitori, Partner e Altre Aziende
• Altre attività di registrazione per ruolo: Il rapporto ‘Altre attività di registrazione per ruolo’ copre tutti i record e le impostazioni che hanno note di sistema

Applicando il Principio del Minimo Privilegio a NetSuite

Per garantire la data security e minimizzare il rischio di accesso non autorizzato, è fondamentale applicare il principio del privilegio minimo nella configurazione dei privilegi e dei ruoli degli utenti all'interno di NetSuite. Concedendo agli utenti i privilegi minimi necessari per svolgere le loro funzioni lavorative, le organizzazioni possono ridurre il potenziale di abuso e azioni non autorizzate all'interno del sistema.

Il principio del minimo privilegio raccomanda di concedere agli utenti il minor livello di privilegio necessario per svolgere efficacemente le loro responsabilità lavorative. Scoraggia la pratica di assegnare privilegi o ruoli eccessivi, in particolare durante le prime fasi di un'organizzazione quando si enfatizzano velocità e agilità. Concedere privilegi non necessari può lasciare il sistema vulnerabile ad abusi e compromettere la sicurezza. Una revisione regolare dei privilegi degli utenti è essenziale per assicurare che siano in linea con le attuali responsabilità lavorative.

Quando si configurano i privilegi e i ruoli degli utenti in NetSuite, è fondamentale attenersi al principio del minimo privilegio per mantenere un ambiente sicuro. Ecco alcune considerazioni importanti:

1. Permessi basati sui ruoli: Allineare i permessi per ruoli simili per garantire coerenza e facilitare la manutenzione continua. Raggruppando gli utenti con funzioni lavorative simili sotto ruoli appropriati, è possibile semplificare l'assegnazione dei permessi e ridurre il rischio di concedere un accesso eccessivo.
2. Creazione Attenta dei Ruoli: Quando si creano nuovi ruoli, valutare attentamente i permessi richiesti per ogni ruolo. Considerare il principio del privilegio minimo e assegnare solo i privilegi necessari in base alle specifiche funzioni lavorative degli utenti all'interno di tali ruoli.
3. Manutenzione Continua: Rivedere e aggiornare regolarmente i privilegi e i ruoli degli utenti in base ai cambiamenti delle responsabilità lavorative. Questa pratica aiuta a garantire che gli utenti dispongano dei privilegi necessari per svolgere efficacemente i loro compiti senza accesso non necessario a dati sensibili o funzioni di sistema.
4. Migrazione controllata dei ruoli utente: Quando si eseguono migrazioni di ruoli utente su larga scala all'interno di NetSuite, valutare alternative alla migrazione manuale. Esaminare le opzioni che consentono transizioni di ruolo efficienti e sicure, minimizzando il potenziale di errori o escalation di privilegi non intenzionali.

Rischi nei Processi Aziendali: Garantire i Permessi NetSuite Corretti

Assegnare i permessi di ruolo e i livelli di permesso in NetSuite è fondamentale per controllare l'accesso degli utenti e mantenere la sicurezza del sistema. Tuttavia, concedere permessi errati o livelli inappropriati può introdurre rischi nei processi aziendali. Ad esempio, permessi eccessivi senza controlli adeguati possono portare a frodi o errori, mentre permessi inadeguati possono ostacolare compiti critici come i processi di chiusura finanziaria. Valutando attentamente e allineando i permessi di ruolo con il principio del privilegio minimo necessario, le organizzazioni possono mitigare i rischi e garantire un ambiente NetSuite sicuro.

NetSuite offre vari tipi di restrizioni che possono essere definite all'interno dei ruoli per controllare l'accesso a diversi tipi di record. Queste includono Restrizioni per Dipendenti, Restrizioni per Dipartimento, Restrizioni per Classe, Restrizioni per Località e Restrizioni per Filiale. Ogni restrizione limita l'accesso a tipi di record specifici basati su certi valori di campo, assicurando che gli utenti con ruoli assegnati possano visualizzare o modificare solo i record pertinenti.

Tuttavia, quando i permessi e i livelli di permesso non sono assegnati correttamente, ci sono potenziali rischi per i processi aziendali. Concedere permessi eccessivi, come permettere a un ruolo utente di creare registrazioni di fornitori, fatture di fornitori e pagamenti ai fornitori senza controlli appropriati, può introdurre rischi significativi per l'organizzazione. È fondamentale valutare e implementare le necessarie misure di mitigazione del rischio per evitare potenziali frodi o errori.

Gestione della Separazione dei Compiti in NetSuite

La segregazione dei compiti è il concetto secondo cui la stessa persona non dovrebbe essere in grado di completare passaggi successivi nella stessa catena di transazioni. Ad esempio, una persona che potrebbe scrivere assegni e anche bilanciare il conto in banca potrebbe coprire le proprie tracce in un caso di frode.

La segregazione dei compiti è chiaramente una grande preoccupazione quando si esaminano i ruoli e i permessi di NetSuite. È una parte fondamentale della conformità SOX ed è anche sempre più richiesta nelle aziende private.

La prassi standard per mantenere la segregazione dei compiti consiste nel dividere le responsabilità tra persone diverse con ruoli differenti. Può essere ottenuta anche aggiungendo un passaggio di controllo, come una revisione secondaria o un'approvazione, su una parte della transazione.

L'errore più grande che le aziende commettono quando implementano SoD è che non puliscono prima i loro ruoli utente. Il secondo errore più grande è che si impigliano troppo nella pulizia dei loro ruoli. Tenendo ciò a mente, possiamo tracciare un percorso molto più semplice per attivare SoD:

1. Trova e disattiva tutti i ruoli inutilizzati e non assegnati
2. Trova e rimuovi tutte le assegnazioni di ruolo inutilizzate
3. Verifica i conflitti di separazione dei doveri all'interno dei ruoli utilizzando la libreria di regole di Netwrix Platform Governance
4. Verifica se i permessi in conflitto sono attivamente utilizzati; in caso contrario, impostali su “Visualizza” per risolvere il conflitto.
5. Risolvi eventuali conflitti residui implementando controlli intelligenti utilizzando l'agente Netwrix Platform Governance.
6. Verifica i conflitti di multi-ruolo e risolvili utilizzando Agent.

La segregazione dei compiti (SoD) è fondamentale per mantenere controlli interni efficaci e prevenire errori e frodi all'interno di un'organizzazione. Ci sono tre aree principali che devono essere segregate: autorizzazione, custodia e tenuta dei registri.

L'implementazione della segregazione dei compiti mitiga il rischio di frode. La frode si verifica tipicamente quando sono presenti tre condizioni: motivo, razionalizzazione e opportunità. Separando compiti chiave, come la creazione di fornitori e il pagamento delle fatture, la creazione di clienti e l'emissione di note di credito, o la creazione di voci di giornale e la loro approvazione, si riduce l'opportunità di frode.

La segregazione dei compiti è importante perché impedisce a una singola persona di avere un controllo eccessivo e la capacità di abusare di tale controllo per scopi non autorizzati. Aiuta a proteggere da attività fraudolente come l'appropriazione indebita di fondi, la spionaggio aziendale, campagne di vendetta o la falsificazione di registri finanziari.

Nel contesto di NetSuite, gestire l'accesso e imporre la segregazione dei compiti può essere complesso a causa della moltitudine di permessi e compiti coinvolti. NetSuite contiene numerosi permessi che governano vari compiti, ricerche e registrazioni. Una gestione efficace dell'accesso richiede tempo e risorse che potrebbero non essere sempre prontamente disponibili per gli amministratori e i team finanziari. Inoltre, l'automazione può introdurre conflitti inaspettati che gli auditor potrebbero considerare come carenze di controllo, rendendo ancora più sfidante mantenere una corretta segregazione dei compiti.

Conformità SOX e controlli degli accessi

Come accennato in precedenza, la SoD — e la revisione degli accessi in generale — è una parte importante della conformità SOX. Gli auditor vogliono vedere che i controlli per la prevenzione delle frodi siano integrati nel sistema e supportati da ruoli e assegnazioni di permessi ben definiti.

Il problema è che le revisioni tradizionali degli accessi SoD sono istantanee nel tempo. I team di NetSuite preparano i loro ruoli e permessi per la revisione trimestrale, spesso a grandi spese. Questo approccio richiede un'estesa revisione manuale delle modifiche correlate e ore di lavoro per investigare i falsi positivi. Inoltre, non ti dà — né ai tuoi revisori — alcuna fiducia che i conflitti che si verificano tra un audit e l'altro verranno individuati e risolti.

Il risultato è che i costi di audit si gonfiano, i livelli di stress sono alti e le carenze materiali, che aggravano ulteriormente entrambe le questioni, sono comuni. Inoltre, non c'è una vera protezione integrata nel sistema, quindi anche se si può faticosamente superare un audit, non si è veramente protetti contro le frodi, che è il punto di partenza della SOX.

L'approccio di Continuous Compliance al Access Management

Netwrix Platform Governance è l'unica soluzione nativa SoD per NetSuite. Basata sul nostro approccio di 'continuous compliance' per SOX, monitora continuamente i cambiamenti di ruoli e permessi, fornendoti una visione pronta per l'audit degli accessi, in qualsiasi momento.

Netwrix Platform Governance può anche bloccare modifiche particolarmente pericolose, come concedere diritti di Admin senza una previa approvazione. Si implementa rapidamente, così puoi essere operativo con meno stress.

Le librerie predefinite di regole e strumenti integrate nel record dei dipendenti vi offrono la possibilità di implementare rapidamente controlli di rilevamento, blocco e mitigazione che aiutano a controllare l'accesso a ruoli e permessi critici — e a dimostrarlo agli auditor.