Сотрудник не видит того, чего ему нельзя — и не ищет там, где пусто
Пять типов объектов защиты, десять готовых ролей и 211 строк прав разводят доступ настолько тонко, насколько нужно: до конкретного раздела навигатора, до конкретного справочника и до конкретного статуса карточки поставщика — а собственный административный контур модуля настраивает это отдельно от общей безопасности платформы.
Типы объектов безопасности
Права выдаются не «на модуль целиком», а по пяти отдельным типам объектов защиты — от видимости разделов навигатора до статуса карточки поставщика.
- Навигатор: просмотр доступных сотруднику разделов
- Справочники: 31 справочник модуля, просмотр, изменение, создание и удаление
- Объекты5 сущностей: третье лицо, поставщик, риск, контроль, Gap
- Статусная модель поставщика: просмотр, изменение и смена статуса — по каждому статусу отдельно
- Настройки приложениязарезервированный тип для управления редактируемыми страницами
Соберите меню навигатора под роль
Ни один раздел не выдан — меню пустое.
Право на редактирование по статусу поставщика
Право редактировать карточку поставщика — не общее «может править этот модуль», а право на конкретный статус, в котором карточка сейчас находится: у самого статуса есть просмотр, изменение и выполнение действия / смена статуса, как у любого другого объекта защиты.
Изменение карточки и смена статуса — разные права
Изменение на статус даёт право редактировать карточку, пока она находится в этом статусе. выполнение действия / смена статуса — отдельное право выполнить переход в этот статус, и оно же определяет, кто получит уведомление, когда карточка в него попадёт. Сотрудник может видеть карточку и даже редактировать её поля, но не иметь права перевести её дальше по маршруту, — согласование остаётся за той ролью, которой оно предписано.
Роли модуля
Десять ролей поставляются готовыми и узнаются в привычной оргструктуре — при этом это методический ориентир, а не жёсткое ограничение: роли настраиваются под вашу структуру через административный контур.
| Роль | Кому в оргструктуре соответствует |
|---|---|
| ИБ-администратор | единственная роль с доступом к административному контуру ролей, прав и аудита модуля |
| Бизнес-заказчик | инициатор отношений с поставщиком, читает и частично правит карточку и контроли |
| TPM-исполнитель | руководитель или сотрудник функции управления рисками поставщиков — полный доступ к объектам и справочникам |
| TPM-проверяющий | проверяющий на 1-м и 2-м круге согласования контролей — тот же объём прав, что у исполнителя |
| Аудитор | широкий доступ на чтение по всем объектам и статусам — для внутреннего контроля и проверок |
| SA Fraud Operations | подразделение противодействия мошенничеству — проверяющая роль по своему направлению риска |
| SA Информационная безопасность | информационная безопасность — проверяющая роль по рискам доступа и данных |
| SA ICRM | внутренний контроль и комплаенс — проверяющая роль для регуляторной отчётности перед Банком России |
| SA Credit Risk | кредитные риски — проверяющая роль по своему направлению |
| SA COB | непрерывность деятельности — проверяющая роль там, где контроль пересекается с планами непрерывности |
Коды проверяющих ролей закреплены не за самим модулем, а за каждым видом контроля отдельно: именно вид контроля определяет, кто исполнитель, кто 1-й и кто 2-й проверяющий, — 211 строк прав назначают эти роли на объекты, справочники и статусы.
Собственный административный контур
Настройка ролей и прав живёт не там же, где рабочие карточки: у модуля — отдельная точка входа для администрирования, доступная только роли «ИБ-администратор».
Рабочий контур
Третьи лица, поставщики, риски, контроли, Gap, анкетирование и отчётность — здесь работают бизнес-заказчик, TPM-исполнитель, TPM-проверяющий и проверяющие роли по направлениям риска.
Контур администрирования
Роли, права, субъекты и их роли, объекты защиты, журнал безопасности и журнал работы — доступны только роли «ИБ-администратор», на отдельном экране от рабочего контура.
Что это даёт ИТ-директору. Роли, права, связки субъектов с ролями и журнал аудита модуля хранятся в собственном контуре, отдельном от общей безопасности платформы, — при этом сами учётные записи (субъекты) остаются в общей схеме безопасности: администрирование доступа модуля не превращается в отдельную систему учёта пользователей.
Журнал аудита
Кто выдал, изменил или забрал право — фиксируется в собственном журнале безопасности модуля, доступном из административного контура.
Журнал различает добавление, изменение и удаление записи — трёх типов действий достаточно, чтобы восстановить историю выдачи прав без обращения к общим логам приложения. Рядом с журналом безопасности в административном контуре доступен и журнал работы — отдельно от журналов статусов поставщика, контроля и Gap, которые видны прямо в их карточках.
Связанные разделы
Показать разграничение прав на вашем стенде
Сборку меню по правам, право на статус поставщика и административный контур — на ролях, приближенных к вашей оргструктуре.