På denne siden
Alle får samme rolle i et nytt system for å gjøre oppstarten enkel. Senere er det uklart hvem som kan endre økonomigrunnlag, se personalopplysninger eller gi andre tilgang. Tilgangsstyring trenger en konkret oppgavefordeling, slik at nødvendig arbeid kan gjøres gjennom et vurdert opplegg med kjent ansvar.
Beskriv oppgaven før rollen velges
Finn hvilke handlinger og opplysninger medarbeideren faktisk trenger. Avklar godkjenning, gjennomføring og senere kontroll med relevant sikkerhets- og personvernkompetanse. Denne guiden er en styringsmodell for eiere, ikke en full teknisk sikkerhetsplan eller generell instruksjon om hvilke systemrettigheter som er riktige.
| Tilgangsspor | Praktisk spørsmål |
|---|---|
| Behov | Hvilken konkret oppgave krever tilgangen? |
| Vurdering | Hvem kan godkjenne riktig omfang? |
| Gjennomføring | Hvem endrer gjennom godkjent prosess? |
| Kontroll | Hvordan ser man hva som faktisk er gitt? |
| Endring | Hva skjer når rolle eller arbeidsforhold endres? |
NSMs introduksjon til grunnprinsippene for IKT-sikkerhet er en relevant primærkilde. Tiltak må tilpasses virksomhetens faktiske risiko, plikter og kompetanse.
Test reserve uten å dele personlige kontoer
I et konstruert scenario må en relevant oppgave kunne følges når vanlig ansvarlig er borte. Det krever et godkjent reserveopplegg og riktig grunnlag, framfor at en kollega låner den samme personlige påloggingen. Konkret løsning må vurderes og gjennomføres av riktig ansvarlig i virksomhetens sikkerhetsprosess.
Systemeier og rollebytte i personalflyten gir organisatoriske kontrollpunkter. Ansattdata mellom verktøy bruker samme rammer.
Koble økonomikontroller til riktige roller
Aiak kan bidra med regnskapsdelen. Tilgang, fullmakt og sikker gjennomføring må fortsatt vurderes konkret. Kontroller et relevant utvalg brukere og viktige oppgaver med jevne mellomrom, slik at en gammel rolle eller midlertidig hjelp ikke stille blir permanent bred tilgang som ingen lenger kan forklare behovet for.
Gi reserveopplegget en faktisk kontroll med riktig ansvarlig. En vedtatt rutine hjelper lite hvis nødvendig oppgave fortsatt bare kan gjøres ved at noen deler en personlig konto. Korrekt løsning må være vurdert før situasjonen oppstår.