Come possono le organizzazioni applicare la separazione dei compiti nei controlli di accesso?

Separazione dei compiti nei controlli di accesso

La separazione dei compiti e la segregazione dei compiti sono lo stesso controllo con due nomi. Gli auditor tendono a dire "segregazione." I team IT tendono a dire "separazione." Significano la stessa cosa: nessuna persona dovrebbe poter gestire un processo sensibile dall'inizio alla fine senza un secondo controllo.

Se lo stesso dipendente può creare un fornitore, approvare il pagamento di quel fornitore e riconciliare il conto, nessuno verifica quella transazione in modo indipendente. SoD interrompe la catena assegnando ogni passaggio a un ruolo diverso. SOX lo richiede per tutto ciò che riguarda la rendicontazione finanziaria, e gli auditor vogliono la prova che i conflitti siano monitorati continuamente, non solo documentati una volta e archiviati.

Come applicare la separazione dei compiti

Mappa prima i tuoi conflitti. Crea una matrice dei compiti che elenchi le coppie di ruoli o permessi che non dovrebbero essere assegnate a una sola persona: creare un vendor e approvare i pagamenti al vendor, creare un ordine d'acquisto e approvarlo, richiedere accesso e approvare lo stesso accesso. Una coppia viene trascurata più di quanto dovrebbe: amministrare i controlli di accesso e amministrare i log di audit che li esaminano. Un admin che può concedere accesso e modificare i log destinati a rilevare abusi ha vanificato l'intero scopo della registrazione.

Costruisci i ruoli in base alla funzione lavorativa, non alle persone. Una volta identificati i conflitti, assegna i permessi per ruolo anziché per individuo, e dai a ogni ruolo solo ciò di cui ha bisogno. Il principio del minimo privilegio fa due cose qui: riduce il numero di combinazioni in conflitto da monitorare e limita l'impatto se un account viene compromesso.

Decidi cosa prevenire e cosa rilevare. I controlli statici fermano un’assegnazione conflittuale prima che avvenga, impedendo a qualcuno di assumere due ruoli incompatibili. I controlli dinamici lasciano passare l’assegnazione ma la segnalano, o richiedono che una seconda persona approvi la specifica transazione successivamente. La maggior parte delle organizzazioni necessita di entrambi. Blocca subito i conflitti evidenti. Usa un’approvazione indipendente per le aree grigie che una regola generale non potrebbe gestire.

Richiedi una seconda persona per azioni ad alto rischio. Per tutto ciò che non può essere completamente separato per ruolo, richiedi un'approvazione indipendente prima del completamento. Una persona avvia, un'altra approva. Applica questo al rilascio di pagamenti, al deployment del codice o a qualsiasi modifica che tocchi un controllo finanziario.

Centralizza dove puoi. Più sistemi sono coinvolti, più diventa difficile applicare le regole in modo coerente. Un utente bloccato in un sistema da un ruolo restrittivo può ancora avere accesso attivo altrove dove nessuno ha pensato di controllare. Dove possibile, gestisci l'accesso tramite un unico livello in modo che la stessa politica si applichi ovunque invece di essere reinventata sistema per sistema.

Rivedi gli accessi secondo un programma, non solo quando qualcosa si rompe. I ruoli cambiano. Le persone cambiano lavoro, assumono responsabilità temporanee e accumulano accessi che nessuno ricorda di aver concesso. Imposta una revisione ricorrente, conferma che ogni ruolo corrisponda ancora al lavoro e verifica qualsiasi anomalia.

Documenta i controlli compensativi quando una vera separazione non è possibile. I team piccoli a volte non possono separare completamente ogni compito. Se una persona deve sia creare che approvare gli ordini di acquisto perché non c’è nessun altro, non limitarti a fare spallucce e andare avanti. Metti in atto una revisione indipendente da parte di un manager e conservala per iscritto.

Separazione dei compiti in NetSuite

Il modello nativo di ruoli e permessi di NetSuite non segnala i conflitti SoD per te. Puoi creare ruoli e assegnare livelli di permesso, ma nulla nella piattaforma indica che due ruoli assegnati alla stessa persona siano in conflitto, né impedisce il salvataggio di tale assegnazione. Quindi SoD diventa un esercizio con fogli di calcolo: qualcuno incrocia ogni ruolo, ogni livello di permesso, ogni dipendente con la matrice dei doveri, e lo rifà ogni volta che un ruolo cambia. È lento, facile commettere errori, e gli auditor non accettano una pulizia una tantum come controllo continuo. Un conflitto mancato, una persona che può sia creare che approvare lo stesso pagamento al fornitore, è ciò che trasforma un audit pulito in una lista di rimedi.

StrongpointIl modulo Advanced SoD di Strongpoint integra direttamente questa applicazione in NetSuite. Inizia con una libreria di regole predefinite costruita in anni di lavoro con clienti e revisori, coprendo le esigenze della maggior parte delle organizzazioni fin da subito. Attiva solo le regole necessarie e crea le tue regole basate su ruoli, permessi o entrambe, per un controllo più preciso sui record personalizzati sensibili quando manca qualcosa. I controlli di blocco fermano un’assegnazione incompatibile nel momento in cui qualcuno tenta di salvarla, quindi la prevenzione avviene in tempo reale anziché nella revisione trimestrale successiva. Per i conflitti che non puoi bloccare completamente, Strongpoint registra l’incidente e gestisce ogni esenzione tramite una richiesta di modifica e approvazione documentata, così ogni controllo compensativo lascia una traccia. La modalità di test ti permette di modellare una nuova regola contro ruoli o dipendenti esistenti prima che venga attivata, così puoi perfezionarla prima che inizi a funzionare. E Strongpoint registra ogni modifica di regola, esenzione e violazione, quindi il SoD Audit Report e i report correlati ti offrono prove continue per le verifiche SOX invece di una ricostruzione dell’ultimo minuto su chi aveva quale accesso e quando.