组织如何在访问控制中实施职责分离？

访问控制中的职责分离

职责分离和职责隔离是同一控制的两个名称。审计人员倾向于说“segregation”，IT团队倾向于说“separation”。它们的意思相同：任何人都不应能够在没有第二道审核的情况下，从头到尾完成敏感流程。

如果同一员工可以创建供应商、批准该供应商的付款并对账，则没有人独立检查该交易。SoD通过将每个步骤分配给不同的角色来打破链条。SOX要求对涉及财务报告的任何事项执行此操作，审计人员希望看到冲突得到持续监控的证据，而不是仅仅记录一次后归档。

如何执行职责分离

首先绘制您的冲突图。 创建一张职责矩阵，列出不应由同一人承担的角色或权限对：创建vendor并批准vendor付款，创建采购订单并批准该采购，申请访问权限并批准相同的访问权限。有一对经常被忽视：管理访问控制和管理审计日志。能够授予访问权限并编辑用于检测滥用的日志的管理员，已经破坏了日志记录的全部意义。

围绕工作职能构建角色，而非个人。 一旦了解冲突，按角色而非个人分配权限，并且只赋予每个角色所需的权限。 最小权限 在这里起到两个作用：减少需要跟踪的冲突组合数量，并限制账户被攻破时的影响范围。

决定您要预防的事项与要检测的事项。 静态控制在冲突分配发生前阻止，防止某人同时拥有两个不兼容的角色。动态控制允许分配通过，但会标记，或要求第二人事后批准具体事务。大多数组织两者兼备。直接阻止明显冲突。对笼统规则难以处理的灰色地带，使用独立审批。

对高风险操作要求第二人参与。 对于无法完全按角色分离的事项，要求在完成前进行独立审批。一人发起，另一人批准。将此应用于付款释放、代码部署或任何涉及财务控制的变更。

尽可能集中管理。 系统越多，一致执行就越难。一个因严格角色被锁定的用户，可能在其他无人检查的地方仍拥有有效访问权限。尽可能通过单一层级管理访问权限，使相同策略适用于所有地方，而非系统逐一重新制定。

按计划审查访问权限，而不是等到出现问题时。 角色会发生变化。人员更换岗位，承担临时职责，积累了无人记得授权的访问权限。设定定期审查，确认每个角色仍符合岗位要求，追查任何异常访问。

当无法实现真正分离时，请记录补偿性控制措施。小团队有时无法完全分离每项职责。如果因无人替代，某人必须同时创建和批准采购订单，不要只是耸耸肩继续。应设立经理的独立审查并保留记录。

NetSuite中的职责分离

NetSuite的原生角色和权限模型不会为您标记SoD冲突。您可以创建角色并分配权限级别，但平台不会告诉您同一人持有的两个角色是否冲突，也不会阻止保存该分配。因此，SoD变成了电子表格的工作：有人会将每个角色、每个权限级别、每个员工与职责矩阵交叉核对，然后在角色变更时再次执行。这很慢，容易出错，审计员也不接受一次性的清理作为持续控制。一个未发现的冲突，一个人既能创建又能批准同一供应商付款，就足以将一次干净的审计变成整改清单。

StrongpointStrongpoint的Advanced SoD模块将该执行直接引入NetSuite。开始时使用经过多年与客户和审计员合作构建的预定义规则库，涵盖大多数组织的需求。仅启用所需规则，并构建基于角色、基于权限或两者兼备的规则，以便在缺失时对敏感自定义记录进行更细致的控制。阻止控制会在有人尝试保存时立即阻止不兼容的分配，因此预防是实时发生的，而不是在下一季度审查时。对于无法完全阻止的冲突，Strongpoint会记录事件，并通过有文档记录的变更请求和批准流程处理任何例外，因此每个补偿控制都会留下书面记录。测试模式允许您在规则生效前针对现有角色或员工进行建模，以便在规则开始生效前进行调整。Strongpoint还会记录每次规则更改、例外和违规，因此SoD审计报告及相关报告为SOX审计提供持续证据，而非事后临时重建谁何时拥有何种访问权限。