조직은 액세스 제어에서 직무 분리를 어떻게 시행할 수 있습니까?

접근 제어에서의 직무 분리

직무 분리와 직무 분리는 두 가지 이름으로 같은 통제입니다. 감사자는 보통 "segregation"이라고 말하고, IT 팀은 "separation"이라고 말합니다. 둘 다 같은 의미입니다: 어떤 한 사람도 민감한 프로세스를 처음부터 끝까지 두 번째 검토 없이 진행해서는 안 됩니다.

동일한 직원이 공급업체를 생성하고, 해당 공급업체의 결제를 승인하며, 계정을 조정할 수 있다면, 그 거래를 독립적으로 확인하는 사람이 없습니다. SoD는 각 단계를 다른 역할에 할당하여 이 연결 고리를 끊습니다. SOX는 재무 보고와 관련된 모든 것에 대해 이를 요구하며, 감사자는 충돌이 지속적으로 모니터링되고 있음을 증명하기를 원하지, 한 번 문서화하고 보관하는 것으로는 충분하지 않습니다.

직무 분리 시행 방법

먼저 충돌을 매핑하세요. 역할 또는 권한 쌍 중 한 사람이 맡으면 안 되는 항목을 나열한 업무 매트릭스를 만드세요: vendor 생성 및 vendor 결제 승인, 구매 주문 생성 및 구매 승인, 접근 요청 및 동일한 접근 승인. 간과되는 쌍이 하나 있는데, 접근 제어 관리와 이를 검토하는 감사 로그 관리입니다. 접근 권한을 부여하고 오용을 감지하기 위한 로그를 편집할 수 있는 관리자는 로그 기록의 전체 목적을 무력화한 것입니다.

사람이 아닌 직무 기능을 중심으로 역할을 구축하세요. 충돌하는 부분을 파악한 후에는 개인이 아닌 역할별로 권한을 할당하고 각 역할에 필요한 권한만 부여하세요. 최소 권한 원칙은(는) 두 가지 효과가 있습니다. 추적해야 할 충돌 조합 수를 줄이고, 계정이 침해될 경우 피해 범위를 제한합니다.

무엇을 방지하고 무엇을 탐지할지 결정하세요. 정적 제어는 충돌하는 할당이 발생하기 전에 차단하여 누군가가 두 개의 호환되지 않는 역할을 맡는 것을 막습니다. 동적 제어는 할당을 허용하지만 표시하거나, 특정 거래에 대해 두 번째 사람이 승인하도록 요구합니다. 대부분의 조직은 두 가지 모두 필요합니다. 명백한 충돌은 즉시 차단하세요. 포괄적인 규칙으로 처리하기 어려운 회색 영역에는 독립적인 승인을 사용하세요.

고위험 작업에는 두 번째 사람을 요구하세요. 역할로 완전히 분리할 수 없는 모든 작업에 대해 완료 전에 독립적인 승인을 요구하세요. 한 사람이 시작하고 다른 사람이 승인합니다. 결제 승인, 코드 배포 또는 재무 통제에 영향을 미치는 모든 변경에 적용하세요.

가능한 곳에서 중앙 집중화하세요. 시스템이 많을수록 일관된 적용이 어려워집니다. 엄격한 역할로 한 시스템에서 차단된 사용자가 다른 곳에서는 여전히 접근 권한을 가지고 있을 수 있으며, 아무도 확인하지 않았을 수 있습니다. 가능하면 단일 계층을 통해 액세스를 관리하여 정책이 시스템별로 다시 만들어지는 대신 모든 곳에 동일하게 적용되도록 하세요.

문제가 발생할 때가 아니라 일정에 따라 접근 권한을 검토하세요. 역할은 변합니다. 사람들은 직무를 변경하고 임시 책임을 맡으며, 아무도 부여한 기억이 없는 접근 권한이 쌓입니다. 정기적인 검토를 설정하고 각 역할이 여전히 직무에 맞는지 확인하며, 이상한 접근 권한은 추적하세요.

진정한 분리가 불가능할 때 보완 통제를 문서화하세요.작은 팀은 때때로 모든 업무를 완전히 분리할 수 없습니다. 다른 사람이 없어서 한 사람이 구매 주문을 작성하고 승인해야 한다면, 그냥 무심코 넘어가지 마세요. 관리자의 독립적인 검토를 도입하고 기록으로 남기세요.

NetSuite의 직무 분리

NetSuite의 기본 역할 및 권한 모델은 SoD 충돌을 표시하지 않습니다. 역할을 만들고 권한 수준을 할당할 수 있지만, 플랫폼에서는 동일한 사람이 가진 두 역할이 충돌하는지 알려주지 않으며, 해당 할당이 저장되는 것을 막지도 않습니다. 그래서 SoD는 스프레드시트 작업이 됩니다. 누군가가 모든 역할, 모든 권한 수준, 모든 직원을 의무 매트릭스와 대조한 후 역할이 변경될 때마다 다시 확인합니다. 느리고 실수하기 쉬우며, 감사자는 일회성 정리를 지속적인 통제로 인정하지 않습니다. 하나의 충돌 누락, 동일한 공급업체 결제를 생성하고 승인할 수 있는 한 사람이 깨끗한 감사를 문제 해결 목록으로 바꾸는 경우입니다.

StrongpointStrongpoint의 Advanced SoD 모듈은 해당 적용을 NetSuite에 직접 통합합니다. 고객 및 감사인과의 수년간의 작업을 통해 구축된 사전 정의된 규칙 라이브러리로 시작하여 대부분 조직의 요구를 즉시 충족합니다. 필요한 규칙만 활성화하고, 역할 기반, 권한 기반 또는 둘 다를 기반으로 자체 규칙을 만들어 누락된 민감한 사용자 지정 레코드를 더 세밀하게 제어할 수 있습니다. 차단 제어는 누군가 저장을 시도하는 순간 호환되지 않는 할당을 차단하므로, 예방이 다음 분기 검토 시점이 아니라 실시간으로 이루어집니다. 완전히 차단할 수 없는 충돌의 경우 Strongpoint는 사건을 기록하고 모든 예외를 문서화된 변경 요청 및 승인 절차를 통해 처리하여 모든 보완 통제가 기록으로 남도록 합니다. 테스트 모드는 새로운 규칙을 기존 역할이나 직원에 대해 적용해 보기 전에 모델링할 수 있어, 실제 적용 전에 조정할 수 있습니다. 또한 Strongpoint는 모든 규칙 변경, 예외 및 위반 사항을 기록하여 SoD 감사 보고서 및 관련 보고서가 SOX 감사에 대한 지속적인 증거를 제공하도록 합니다. 이는 누가 언제 어떤 접근 권한을 가졌는지에 대한 막판 재구성이 아닙니다.