---
title: "Bezpieczeństwo"
---

# Bezpieczeństwo

## Bezpieczeństwo IFS Cloud: zestawy uprawnień i SoD

![Bezpieczeństwo IFS Cloud: zestawy uprawnień i SoD](https://www.ifs-erp.com/images/articles/security-sod-pl-8b5956ad.webp)

Bezpieczeństwo IFS Cloud · Zestawy uprawnień · RBAC · Rozdział obowiązków (SoD) · Dowody dla audytu

 
## Dostępy, które wytłumaczysz audytorowi i przejrzysz ponownie za rok

 Zestawy uprawnień rozrastające się z wydania na wydanie dają więcej, niż ktokolwiek postanowił dać. Audytor znajduje konflikt rozdziału obowiązków, przegląd dostępów powstaje od nowa w arkuszach, a to samo ustalenie wraca przy kolejnym audycie. Ta usługa zastępuje ten cykl modelem ról, udokumentowaną macierzą SoD i przeglądem, który Twój zespół powtórzy sam.

 [Umów 30-minutową rozmowę techniczną](https://www.ifs-erp.com/pl/kontakt) [Zobacz, jak przebiega współpraca](#ph-sec4)

 ## 1.Najważniejsze wnioski

 - To, co użytkownik może zrobić w IFS Cloud, kształtują przydzielone mu zestawy uprawnień, a zakres dodatkowo zawężają spółka i lokalizacja. Ocena sprawdza łączny skutek tych przydziałów dla każdego użytkownika.
- Macierz rozdziału obowiązków (SoD) wymienia pary czynności, których jedna osoba nie może łączyć, i jest sprawdzana względem zestawów uprawnień, które użytkownicy faktycznie mają.
- Model kilku nazwanych ról biznesowych, każda zbudowana z udokumentowanych zestawów uprawnień, zastępuje nadawanie dostępów przez kopiowanie kolegi.
- Dostajesz katalog ról, macierz SoD, listę konfliktów z kolejnością usuwania oraz procedurę przeglądu, którą zespół wykona bez mojego udziału.
- Nie certyfikuję zgodności. Robi to audytor. Praca daje dowody, o które pyta audytor, w formie, którą można odtworzyć.

  ## 2.Gdzie psują się dostępy w IFS

 ### Zestawy uprawnień rosnące latami

 Zestaw uprawnień utworzony na potrzeby jednego zadania przed uruchomieniem produkcyjnym zostaje po jego zakończeniu, bo żaden element procesu go nie usuwa. Nowych użytkowników zakłada się przez skopiowanie doświadczonego kolegi, więc każda kopia przenosi jego nagromadzone uprawnienia na nową osobę. Po kilku wydaniach i paru reorganizacjach lista zestawów zawiera nakładające się pozycje, których nazwy nie opisują już tego, na co pozwalają.

 
### Konflikty znajduje audytor, nie Ty

 Dostęp wynika z przydzielonych zestawów uprawnień i jest zawężany przez spółkę i lokalizację, więc dwa niewinnie wyglądające zestawy mogą razem pozwolić jednej osobie wykonać obie połowy kontroli w obrębie tej samej spółki. Przykładowe pary w macierzy: założenie dostawcy i zatwierdzenie jego płatności, utworzenie zamówienia zakupu i przyjęcie towaru, wprowadzenie faktury dostawcy i jej zatwierdzenie, ustawienie limitu kredytowego klienta i zwolnienie zamówienia zablokowanego kredytowo, zaksięgowanie ręcznego dokumentu księgowego i jego zatwierdzenie. Jeśli nikt nie nałożył tych par na Twoje zestawy uprawnień, pierwsze pełne mapowanie robi zespół audytu, według swojego harmonogramu.

 
### Przeglądy dostępów, których nie da się powtórzyć

 Przegląd zbudowany na doraźnym eksporcie i arkuszu odpowiada na pytanie na jeden dzień. W następnym roku zaczyna się od zera, bo reguły, które decydowały o akceptowalności uprawnień, były w głowie osoby prowadzącej przegląd. Powtarzalny przegląd wymaga spisanych zasad: kto jest właścicielem każdej roli, co rola może robić i jakie kombinacje są zakazane.

 **Koszt otwartego konfliktu:** każdy nierozwiązany konflikt wymusza kontrole kompensujące, takie jak ręczne zatwierdzenia i dodatkowe podpisy, które zabierają czas zespołom finansów i zakupów w każdym okresie, aż dostęp zostanie poprawiony u źródła.

  ## 3.Jak wygląda dobrze ułożone bezpieczeństwo IFS Cloud

 Model łatwy w utrzymaniu zaczyna się od ról biznesowych i schodzi do zestawów uprawnień, zamiast zaczynać od pojedynczych użytkowników. Każda rola ma właściciela w biznesie, opisany cel, określony zbiór zestawów uprawnień oraz zapisaną listę czynności, których nie wolno jej dzielić z inną rolą. Nowy pracownik dostaje rolę z katalogu.

 
| Obszar | Narosłe przez lata | Zaprojektowany model ról |
| --- | --- | --- |
| Zestawy uprawnień | Nakładające się zestawy, nazwy niezgodne z zawartością | Udokumentowane zestawy o jednym celu i z nazwanym właścicielem |
| Nadawanie dostępu | Kopiowanie istniejącego użytkownika | Przypisanie roli biznesowej z katalogu |
| Rozdział obowiązków | Wykrywany podczas audytu | Macierz utrzymywana i sprawdzana przed nadaniem dostępu |
| Przegląd dostępów | Arkusz budowany od nowa w każdym cyklu | Spisana procedura ze stałym formatem dowodów |
| Odejścia i zmiany stanowisk | Uprawnienia zostają po zmianie pracy | Zmiana roli powoduje odebranie poprzedniej roli |
| Rozmowa z audytorem | Reaktywna, składana pod presją terminu | Dowody powstają z tej samej procedury w każdym cyklu |

 Gdy czynności nie da się rozdzielić, bo zespół jest za mały, model zapisuje wyjątek, wskazuje kontrolę kompensującą i przypisuje jej właściciela oraz datę przeglądu. Taki zapis audytor może przetestować.

  ## 4.Jak przebiega współpraca

 1. **Ocena stanu.** Czytam stan obecny: zestawy uprawnień, to, co każdy z nich daje, oraz kto jakie zestawy ma. Wynikiem jest mapa nakładań, nieużywanych zestawów, użytkowników z nietypowo szerokim dostępem i konfliktów istniejących dziś. Dane lub dostęp do odczytu przygotowują Twoi administratorzy; w tej fazie nic się nie zmienia.
2. **Projekt ról.** Z właścicielami procesów w finansach, zakupach, sprzedaży i magazynie definiujemy role biznesowe i zestawy uprawnień potrzebne każdej z nich. Role opisujemy najpierw językiem biznesu, a dopiero potem mapujemy na IFS.
3. **Macierz SoD.** Uzgadniamy, które pary czynności są w Twojej organizacji zakazane, a potem testujemy względem nich zaprojektowane role i obecnych użytkowników. Pozostałe konflikty dostają kolejność usuwania, a nieuniknione udokumentowaną kontrolę kompensującą.
4. **Rytm przeglądów.** Przekazuję procedurę przeglądu: kto przegląda które role, jakie dowody powstają, jak zatwierdza się wyjątki i jak często przegląd się odbywa. Częstotliwość wynika z Twojego kalendarza audytów i tempa zmian stanowisk.

 Zmiany w zestawach uprawnień wprowadzają Twoi administratorzy albo ja, najpierw w środowisku testowym, a potem są wdrażane Twoim zwykłym procesem zmian. Na produkcję nic nie trafia wyłącznie z mojej decyzji.

  ## 5.Co dostajesz

 - Raport stanu obecnego: zestawy uprawnień, przydziały i nakładania
- Katalog ról z właścicielem biznesowym, celem i zestawami uprawnień każdej roli
- Macierz rozdziału obowiązków (SoD) dla Twoich procesów
- Lista konfliktów per użytkownik z kolejnością usuwania
- Rejestr kontroli kompensujących dla akceptowanych wyjątków
- Procedura przeglądu dostępów i wzór dowodów
- Omówienie dla audytu wewnętrznego lub zewnętrznego audytora
- Sesja przekazania, po której zespół wykona kolejny przegląd samodzielnie

 Zakres zależy od liczby spółek, używanych modułów IFS Cloud i liczby użytkowników. Wycena powstaje po rozmowie zakresowej, a pisemny zakres uzgadniamy przed rozpoczęciem pracy.

  ## 6.Dla kogo

 - Osoby odpowiedzialne za finanse, IT lub audyt wewnętrzny, które dostały ustalenie dotyczące dostępów lub SoD i potrzebują trwałej naprawy.
- Klienci IFS Cloud przygotowujący się do audytu zewnętrznego lub zmiany audytora.
- Zespoły, które uruchomiły system jakiś czas temu, nie przeprojektowały ról i dziś zakładają użytkowników przez kopiowanie.
- Organizacje dodające spółki, lokalizacje lub moduły, które chcą mieć model ról, zanim dostępy się rozrosną.

 To nie jest usługa dla kogoś, kto potrzebuje certyfikacji, testu penetracyjnego albo wdrożenia systemu zarządzania tożsamością. To inne zlecenia i powiem to na rozmowie.

  ## 7.FAQ

 Czym jest macierz rozdziału obowiązków (SoD) w IFS Cloud? Macierz rozdziału obowiązków (SoD) to tabela par czynności, których jedna osoba nie może łączyć, na przykład założenie dostawcy i zatwierdzenie jego płatności. W IFS Cloud testuje się ją względem zestawów uprawnień przydzielonych użytkownikom oraz zakresu spółki i lokalizacji, bo to, co użytkownik może zrobić, wynika z łącznego skutku tych przydziałów.

   Czy podczas oceny trzeba cokolwiek zmieniać w naszym IFS Cloud? Nie. Faza oceny czyta dane o zestawach uprawnień i przydziałach użytkowników, które przekazują lub udostępniają do odczytu Twoi administratorzy, i niczego w IFS Cloud nie zmienia. Zmiany w zestawach uprawnień przychodzą później, wprowadzają je Twoi administratorzy albo ja, najpierw w środowisku testowym, zgodnie z Twoim procesem zmian.

   Czy to zamknie istniejące ustalenie audytu? Praca daje plan naprawczy i dowody dla istniejącego ustalenia dotyczącego dostępów w IFS Cloud: uprawnienia, które tworzą konflikt, poprawiony projekt ról i procedurę przeglądu. O zamknięciu ustalenia decyduje audytor, dlatego dokumenty są przygotowane tak, by przekazać je audytorowi bezpośrednio.

   Jak wyceniana jest usługa bezpieczeństwa IFS Cloud? Usługę bezpieczeństwa IFS Cloud wycenia się po rozmowie zakresowej, na podstawie liczby spółek, używanych modułów i liczby użytkowników. Pisemny zakres dostajesz przed rozpoczęciem jakiejkolwiek pracy.

  Nazywam się Dariusz Myśliwiec. Pracuję z IFS od 18 lat (Apps 7.5–10 i IFS Cloud). Jestem IFS Certified Associate Consultant i mam certyfikat PRINCE2® 7.

 **Wybrani klienci z mojej pracy przy IFS:** Fugro · LGC · BVI Medical · Betafence (PRÆSIDIAD) · Barlinek · NGK Ceramics · Newag · Oleofarm.

  ## Zacznij od 30-minutowej rozmowy technicznej

 Podaj wersję IFS Cloud, używane moduły oraz ustalenie lub termin audytu, do którego zmierzasz. Po rozmowie dostajesz pisemny zakres i cenę. Bez prezentacji sprzedażowej. Rozmawiasz z konsultantem, który wykonuje pracę.

 [Umów 30-minutową rozmowę techniczną](https://www.ifs-erp.com/pl/kontakt) [Przeglądaj katalog CRIMS](https://www.ifs-erp.com/en/marketplace/security)

 IFS jest zastrzeżonym znakiem towarowym IFS AB; ta praktyka nie jest powiązana z IFS AB.


[Read more...](https://www.ifs-erp.com/bezpieczenstwo/bezpieczenstwo-ifs-cloud-sod.md)