Концентрация критических финансовых операций (создание, утверждение, исполнение, контроль) в руках одного сотрудника создаёт неконтролируемые векторы для мошенничества, фальсификации отчётности и утечки средств. Без разделения обязанностей (SoD) невозможно доказать отсутствие сговора или ошибки при аудите.
Причины
- Отсутствие ролевой модели доступа в ERP/бухгалтерских системах.
- Игнорирование принципа «четыре глаза» (two-person rule) для чувствительных транзакций.
- Наследственные права или «служебное замещение» без временных ограничений.
- Слабая автоматизация журналирования и блокировки пересекающихся привилегий (SOD conflict).
Решение
1. Внедрить ролевую модель:
- Инициатор (создаёт платёж/документ).
- Утверждающий (проверяет обоснованность).
- Исполнитель (проводит транзакцию).
- Контролёр (сверяет, аудит).
2. Настроить автоматическую блокировку при назначении конфликтующих ролей (SAP GRC, 1С:SoD).
3. Регулярно анализировать логи на совпадение UserID в разных этапах:
bash
# Поиск пересечений ролей "создание" и "утверждение" у одного пользователя
awk '{if ($3=="CREATE" && $7=="PAYMENT") users[$1]=1; if ($3=="APPROVE" && $7=="PAYMENT" && users[$1]) print $1}' audit.log | sort -u4. Для критичных операций использовать аппаратные ключи и обязательную эскалацию на руководителя (например, платёж >1 млн руб. требует подписи двух ответственных).
5. Проводить ежемесячный обзор прав доступа в соответствии с матрицей SoD (ISO 27001, COSO).
Пример матрицы SoD:
| Операция | Инициатор | Утверждающий | Исполнитель | Контролёр |
|---|---|---|---|---|
| Создание поставщика | ≠ | ≠ | ≠ | ≠ |
| Платёж поставщику | ≠ | ≠ | ≠ | ≠ |
| Изменение банковских реквизитов | ≠ | ≠ | ≠ | ≠ |