Разделение обязанностей
| Часть серии о |
| Бухгалтерский учет |
|---|
 |
Разделение обязанностей (SoD), также известное как разделение обязанностей , — это концепция, согласно которой для выполнения задачи требуется более одного человека. Это административный контроль, используемый организациями для предотвращения мошенничества, саботажа, кражи, неправильного использования информации и других угроз безопасности. В политической сфере это известно как разделение властей , что можно увидеть в демократических странах , где правительство разделено на три независимые ветви власти: законодательную , исполнительную и судебную .
Общее описание
[ редактировать ]Разделение обязанностей является ключевой концепцией внутреннего контроля. Повышенная защита от мошенничества и ошибок должна быть сбалансирована с увеличением необходимых затрат/усилий.
По сути, SoD реализует соответствующий уровень сдержек и противовесов в отношении деятельности отдельных лиц. Р. А. Бота и Дж. Х. П. Элофф в IBM Systems Journal описывают SoD следующим образом.
Разделение обязанностей как принцип безопасности имеет своей основной целью предотвращение мошенничества и ошибок. Эта цель достигается путем распространения задач и связанных с ними привилегий для конкретного бизнес-процесса среди нескольких пользователей. Этот принцип демонстрируется на традиционном примере разделения обязанностей, заключающемся в требовании двух подписей на чеке. [ 1 ]
Фактические названия должностей и организационная структура могут сильно различаться в разных организациях, в зависимости от размера и характера бизнеса. Соответственно, ранг или иерархия менее важны, чем набор навыков и способности участвующих лиц. С помощью концепции SoD критически важные для бизнеса обязанности можно разделить на четыре типа функций: авторизация, хранение, ведение учета и сверка. В идеальной системе ни один человек не должен выполнять более одного типа функций.
Принципы
[ редактировать ]В принципе, несколько подходов могут быть частично или полностью разными парадигмами:
- последовательное разделение (принцип двух подписей)
- индивидуальное разделение ( принцип четырех глаз )
- пространственное разделение (отдельное действие в отдельных локациях)
- факторное разделение (несколько факторов способствуют завершению)
Вспомогательные узоры
[ редактировать ]Человек с несколькими функциональными ролями имеет возможность злоупотреблять этими полномочиями. Схема минимизации риска следующая:
- Начните с функции, которая незаменима, но потенциально может стать объектом злоупотреблений.
- Разделите функцию на отдельные этапы, каждый из которых необходим для работы функции или для получения полномочий, позволяющих злоупотреблять этой функцией.
- Назначьте каждый шаг другому человеку или организации.
Общие категории функций, которые следует разделить:
- функция авторизации
- функция записи, например, подготовка исходных документов или кода или отчетов о производительности
- прямое или косвенное хранение активов, например, получение чеков по почте или внесение изменений в исходный код или базу данных.
- сверка или аудит
- разделение одного ключа безопасности на две (более) части между ответственными лицами
В первую очередь индивидуальное разделение рассматривается как единственный выбор.
Применение в общем бизнесе и в бухгалтерском учете
[ редактировать ]Термин SoD уже хорошо известен в системах финансового учета. Компании всех размеров понимают, что не следует совмещать такие функции, как получение чеков (оплата на счет) и одобрение списаний, внесение наличных и сверка банковских выписок, утверждение табелей учета рабочего времени и хранение чеков по заработной плате и т. д. SoD является довольно новым явлением для большинства информационных систем. Технологических (ИТ) отделов, но высокий процент проблем внутреннего аудита Сарбейнса-Оксли связан с ИТ. [ 2 ]
В информационных системах разделение обязанностей помогает снизить потенциальный ущерб от действий одного человека. Отдел информационных технологий или конечных пользователей должен быть организован таким образом, чтобы обеспечить адекватное разделение обязанностей. Согласно матрице контроля разделения обязанностей ISACA, [ 3 ] некоторые обязанности не следует совмещать в одной должности. Эта матрица не является отраслевым стандартом, а лишь общим руководством, предполагающим, какие позиции следует разделить, а какие требуют компенсирующих мер управления при объединении.
В зависимости от размера компании функции и обозначения могут различаться. Небольшие компании, у которых нет SoD, обычно сталкиваются с проблемами в циклах выплат, когда могут происходить несанкционированные покупки и платежи. [ 4 ] Когда обязанности не могут быть разделены, следует предусмотреть компенсирующий контроль. Компенсирующие средства контроля – это средства внутреннего контроля, которые предназначены для снижения риска существующей или потенциальной слабости средств контроля. Если один человек может совершать и скрывать ошибки и/или нарушения в ходе выполнения своей повседневной деятельности, на него возлагаются обязанности, несовместимые с SoD. Существует несколько механизмов контроля, которые могут помочь обеспечить разделение обязанностей:
- Журналы аудита позволяют ИТ-менеджерам или аудиторам воссоздать фактический поток транзакций от точки их создания до момента их существования в обновленном файле. Должен быть обеспечен хороший контрольный журнал, позволяющий предоставлять информацию о том, кто инициировал транзакцию, время суток и дату записи, тип записи, какие поля информации она содержала и какие файлы она обновляла.
- Согласование приложений и независимый процесс проверки в конечном итоге лежат на пользователях, что можно использовать для повышения уровня уверенности в том, что приложение работало успешно.
- Отчеты об исключениях обрабатываются на надзорном уровне и подкрепляются доказательствами того, что исключения обрабатываются правильно и своевременно. Обычно требуется подпись лица, составившего отчет.
- Необходимо вести ручные или автоматизированные журналы транзакций системы или приложений, в которых фиксируются все обработанные системные команды или транзакции приложений.
- Надзорная проверка должна осуществляться путем наблюдения и расследования.
- Чтобы компенсировать ошибки или преднамеренные неудачи, следуя установленной процедуре, рекомендуется проводить независимые проверки. Такие проверки могут помочь обнаружить ошибки и нарушения.
Применение в информационных системах
[ редактировать ]Бухгалтерская профессия вложила значительные средства в разделение обязанностей из-за осознания рисков, накопленных за сотни лет бухгалтерской практики.
Напротив, многие корпорации в Соединенных Штатах обнаружили, что неожиданно высокая доля проблем внутреннего контроля Сарбейнса-Оксли связана с ИТ. Разделение обязанностей обычно используется в крупных ИТ-организациях, чтобы ни один человек не мог внедрить мошеннический или вредоносный код или данные незамеченным. Управление доступом на основе ролей часто используется в ИТ-системах, где требуется SoD. В последнее время, когда количество ролей в растущей организации увеличивается, гибридная модель управления доступом с управлением доступом на основе атрибутов . для устранения ограничений ее аналога на основе ролей используется [ 5 ]
Строгий контроль над изменениями программного обеспечения и данных потребует, чтобы одно и то же лицо или организация выполняли только одну из следующих ролей:
- Идентификация требования (или запроса на изменение); например, деловой человек
- Разрешение и одобрение; например совет по управлению ИТ или менеджер
- Проектирование и разработка; например, разработчик
- Рассмотрение, проверка и утверждение ; например, другой разработчик или архитектор.
- Внедрение в производство; обычно это специалист по изменению программного обеспечения или системный администратор .
Это не исчерпывающее описание жизненного цикла разработки программного обеспечения , а список критических функций разработки, применимых к разделению обязанностей.
Для успешной реализации разделения обязанностей в информационных системах необходимо решить ряд проблем:
- Процесс, используемый для обеспечения прав авторизации человека в системе, соответствует его роли в организации.
- Используемый метод аутентификации , например, знание пароля, владение объектом (ключом, жетоном) или биометрической характеристикой.
- Обход прав в системе может происходить через доступ к администрированию базы данных, доступ к администрированию пользователей, инструменты, обеспечивающие черный доступ, или учетные записи пользователей, установленные поставщиком. Для решения этой конкретной проблемы могут потребоваться специальные меры контроля, такие как просмотр журнала активности.
Ссылки
[ редактировать ]- ^ Р.А. Бота; Дж. Х. П. Элофф (2001). «Разделение обязанностей по обеспечению контроля доступа в средах рабочих процессов» . IBM Systems Journal . 40 (3): 666–682. дои : 10.1147/sj.403.0666 . Архивировано из оригинала 18 декабря 2001 года.
- ^ Элисон Бер; Кевин Коулман (3 августа 2017 г.). «Разделение обязанностей и ИТ-безопасность» . csoonline.com .
- ^ «Матрица контроля разделения обязанностей» . ИСАКА . Архивировано из оригинала 3 июля 2011 г. Проверено 17 июля 2022 г.
- ^ Грэмлинг, Одри; Хермансон, Дана; Хермансон, Хизер; Е, Чжунся (01 июля 2010 г.). «Решение проблем с разделением обязанностей в небольших компаниях» . Издания факультета .
- ^ Сони, Критика; Кумар, Суреш (01 февраля 2019 г.). «Сравнение моделей безопасности RBAC и ABAC для частного облака» . Международная конференция по машинному обучению, большим данным, облачным и параллельным вычислениям (COMITCon) 2019 г. стр. 584–587. дои : 10.1109/COMITCon.2019.8862220 . ISBN 978-1-7281-0211-5 . S2CID 204231677 .