På denne siden
Kundemottak, mekaniker, regnskapsfører og systemleverandør trenger forskjellige opplysninger. Hvis alle bruker samme innlogging med full tilgang, blir det vanskelig å vite hvem som endret en faktura eller delte kundedata. Tilgangsstyring handler derfor både om informasjon og om hvem som kan gjennomføre økonomiske handlinger.
Start med handlingene, ikke stillingstitlene
En person kan ha flere roller i en liten bedrift. Beskriv likevel hvilke handlinger rollen trenger. Det gjør det enklere å avklare ekstern hjelp og å endre oppsettet når bedriften vokser.
| Handling | Kontroll som bør vurderes |
|---|---|
| Se kundedata | Hvilke opplysninger trengs til oppgaven? |
| Endre arbeidsordre | Hvilken historikk og godkjenning bevares? |
| Opprette kreditnota | Hvem avklarer grunnlaget? |
| Refundere eller betale | Hvem kontrollerer mottaker og beløp? |
| Administrere brukere | Hvem godkjenner nye og utvidede tilganger? |
Sett dette opp mot systemets faktiske roller. Ikke anta at en rolle som heter «verksted» eller «økonomi» passer uten å undersøke rettighetene.
Gi leverandøren en avgrenset oppgave
Ved support eller innføring bør dere vite hvem som får tilgang, hvilket miljø det gjelder og hva vedkommende skal gjøre. En midlertidig oppgave bør ikke bli en permanent administratortilgang uten ny vurdering. Unngå å sende passord og komplette kundelister i en vanlig supportmelding.
Et konstruert eksempel: En leverandør skal undersøke hvorfor en eksport stopper. Testdata eller en begrenset sak kan være tilstrekkelig. Full tilgang til lønn og betalingsfunksjoner kan være unødvendig for akkurat den oppgaven. Avklar behovet og hvordan tilgangen avsluttes før arbeidet starter.
Bruk hendelser som utløser kontroll
Ny medarbeider, endret ansvar, fravær, leverandørbytte og fratreden bør utløse en enkel gjennomgang. Kontroller også grupper, delte innbokser og tilganger som er gitt direkte i en integrasjon. Å fjerne hovedbrukeren betyr ikke nødvendigvis at alle andre forbindelser er avsluttet.
Ta dette inn i systembyttet og valg av verkstedsystem. Eksport av nødvendige data og avslutning av tilgang er to forskjellige oppgaver som begge må planlegges.
La kontrollen støtte arbeidsflyten
Tilgangsstyring skal gjøre det tydelig hvem som kan løse en sak, ikke føre til at alle må dele én innlogging når det er travelt. Avtal en stedfortreder og en trygg måte å håndtere hastesaker på. Kontroller at korrigeringer fortsatt har en ansvarlig, også ved ferie.
Knytt økonomiske rettigheter til kreditnotarutinen og oppgjør. ReAI er relevant når økonomisystemet vurderes. Be om å få vist faktisk tilgangsoppsett og historikk, framfor å basere kontrollen på en generell beskrivelse av sikkerhet.
NSMs veiledning om kartlegging av brukere og tilgangsbehov gir et offentlig utgangspunkt for å strukturere oversikten.