ИТ-контроль: права доступа в складской программе

Самое хорошее правило не работает, если оно не выполняется в программе. Во многих складах 1С или другая программа установлена на восемь-десять сотрудников, но о правах доступа никто не задумывался: какие права дали человеку в первый день, такие и остались. В результате кладовщик правит остаток, удаляет документ, меняет цену, и следа не остаётся. ИТ-контроль наводит в этом порядок: каждый может выполнять только действия, нужные для его работы, и каждое действие оставляет след.

Отдельная учётная запись для каждого

Первое правило: один человек — один логин. Если под общей учётной записью вроде «sklad», «admin» или «user1» работают три человека, при недостаче невозможно определить, кто что делал. Пропадает и ответственность. Пароль личный: нельзя называть его другому и записывать на бумажке, приклеенной к монитору. Первая проверка аудитора тоже такая: нет ли в журнале работы под одним именем пользователя одновременно с разных компьютеров?

Пример: вечерняя корректировка в журнале

В журнале аудитор нашёл, что в воскресенье в 22:40 под логином «sklad» скорректирован остаток по 14 позициям. Корректировки в основном закрывали недостачу. Поскольку логин общий, неизвестно, кто входил: кладовщик, его заместитель или уволившийся сотрудник, который всё ещё знает пароль. Если бы у каждого был свой логин, вопрос решился бы за минуту. Поэтому и рекомендация проста: закрыть общий логин, выдать каждому отдельную учётную запись и оставить право корректировки остатков одному ответственному лицу.

Приём, перевод, увольнение

Права должны обновляться по жизненному пути сотрудника:

• Новый сотрудник: права выдаются по письменной заявке, руководитель утверждает, фиксируется, что выдано.
• Перешёл на другую должность: новые права добавляются, старые снимаются. Именно здесь возникают «накопленные» права: менеджер по продажам стал кладовщиком и сохранил права обеих ролей.
• Уволился: учётная запись блокируется в тот же день. Её не удаляют, потому что в журнале и старых документах должно остаться имя автора.

Проверка простая: сравните список кадров со списком активных пользователей в системе. Если у уволившегося человека учётная запись всё ещё активна, это сразу находка.

Роли и таблица прав

Права привязывают к ролям, а не к людям. Хватит простой таблицы: в строках роли (кладовщик, приёмщик, менеджер, бухгалтер), в столбцах действия (приход, расход, корректировка, удаление документа, изменение цены, настройки).

Самые опасные действия требуют особого внимания:

• ручная корректировка остатка;
• удаление или отмена проведённого документа;
• ввод документа задним числом;
• разрешение отрицательных остатков.

Эти действия должны быть доступны только одному-двум ответственным лицам. Разделение обязанностей — отдельная тема, здесь речь о том, как реализовать его в программе.

Права администратора

Администратор может всё: менять настройки, чистить журнал, выдавать чужие права. Часто эти права у директора или у сотрудника, «который разбирается в компьютерах», и он работает под этой учётной записью каждый день. Правильный порядок:

• у администратора есть отдельная ограниченная учётная запись для обычной работы;
• административная запись используется только для настройки;
• пароль хранится в надёжном месте и не известен многим;
• доступ внешнему программисту выдаётся временно и закрывается по окончании работы.

Настройки, журнал и резервная копия

Несколько галочек в программе определяют весь контроль. Аудитор смотрит:

1. Запрещены ли отрицательные остатки.
2. Запрещён ли ввод документов в закрытый период (дата запрета изменения данных).
3. Включена ли история изменений и кто может её очистить.
4. Делается ли резервная копия каждый день, хранится ли она в другом месте и проверялось ли восстановление.

О чём спрашивает аудитор

• список пользователей и их роли;
• сверка со списком кадров;
• количество учётных записей с правами администратора;
• активные записи, не заходившие более 90 дней;
• есть ли общие логины;
• документы, введённые или исправленные ночью и в выходные по журналу.

Вывод

Права в программе — это замок, а журнал — камера наблюдения. Без них даже хороший регламент остаётся на бумаге. OmborAudit проверяет список пользователей, роли доступа и важные настройки и точно показывает, где есть риск потерь.