Права доступу BAS
Аудит прав доступу — це регулярна перевірка того, хто що здатна робити в BAS.
- специфікації;
- рецептури;
- виробничі замовлення;
- списання матеріалів;
- випуск;
- НЗВ;
- брак;
- собівартість;
- технологічні карти;
- закриття виробничого періоду. Краще блокувати користувача, а не видаляти, щоб зберегти історію дій у документах і журналі.== Журнал реєстрації BAS ==
Користувача потрібно блокувати, якщо:
- податкові накладні;
- розрахунки коригування;
- декларації;
- реєстри ПДВ;
- податковий кредит;
- податкові зобов’язання;
- ручні коригування;
- обмін із зовнішніми сервісами;
- друк і експорт податкових документів. Наслідок
! |- | Що захищати? складський облік Львів
Чому не можна копіювати права 1:1
- інвентаризувати користувачів;
- знайти активних користувачів;
- знайти неактивних користувачів;
- знайти спільні логіни;
- знайти користувачів із повними правами;
- перевірити доступ до зарплати;
- перевірити доступ до банку;
- перевірити доступ до собівартості;
- перевірити доступ до конфігуратора;
- знайти інтеграційних користувачів;
- описати нову рольову модель;
- створити ролі K2 ERP;
- налаштувати audit log;
- заблокувати старі небезпечні доступи. * менеджер бачить тільки своїх клієнтів;
- комірник бачить тільки свій складський облік;
- бухгалтер бачить тільки свою організацію;
- HR бачить тільки працівників свого підрозділу;
- філія бачить тільки свої документи;
- керівник бачить документи підлеглих;
- зовнішній аудитор бачить тільки період перевірки. Повні права дозволяють бачити й змінювати майже все. Статус
Що це? * багато користувачів із повними правами;
Потрібно обмежувати: як приклад, профіль “Менеджер продажів” здатна включати: Доступ до собівартостіРоль — це технічний набір прав у конфігурації BAS. При переході в K2 ERP потрібно побудувати нову рольову модель, а не копіювати старі помилки. користувач системи |
Права доступу BAS — це механізм керування тим, що користувачі можуть бачити і робити в BAS / BAF: відкривати розділи, створювати документи, редагувати довідники, проводити операції, переглядати звіти, працювати з банком, зарплатою, складом, виробництвом, ПДВ, собівартістю, запускати обробки, адмініструвати базу або працювати з інтеграціями. Приклад:
Доступ до продажівВони можуть: Краще правило:
|
Її не завжди мають бачити: Після створення тестової бази потрібно:
Права можуть дозволяти або забороняти:
Банківський блок потребує суворих прав. ([Держспецзв’язку](https://cip.gov.ua/ua/statics/perelik-zaboronenogo-do-vikoristannya-programnogo-zabezpechennya-ta-komunikaciinogo-merezhevogo-obladnannya), [Указ Президента України №601/2024](https://www.president.gov.ua/documents/6012024-52009))
Доступ до складуІнтеграційні користувачі мають мати мінімальні права. {| class="wikitable" style="width:100%;" |
!== Групи доступу ==
Собівартість — комерційно чутлива інформаційні матеріали. Це модель безпеки, яка визначає, хто бачить інформаційні дані, хто здатна їх змінювати, хто відповідає за документи, хто має доступ до зарплати, банку, ПДВ, собівартості, інтеграцій, конфігуратора і зовнішніх обробок. Ризик |
Клієнти відділу
Реплікатор K2 здатна допомогти при підготовці міграції прав із BAS у K2 ERP. Таке обмеження захищає клієнтську базу і зменшує хаос у продажах.== Санкції та ризики BAS у контексті прав доступу == BAS часто дає можливість вивантажувати звіти в Excel. Доступ Спільні логіниДоступ до банку і платежівПрава доступу потрібні для: Це створює ризики і помилки в роботі. ([Держспецзв’язку](https://cip.gov.ua/ua/statics/perelik-zaboronenogo-do-vikoristannya-programnogo-zabezpechennya-ta-komunikaciinogo-merezhevogo-obladnannya), [Указ Президента України №601/2024](https://www.president.gov.ua/documents/6012024-52009))
Звіти часто показують більше, ніж документи. складський облік Київ Можливі правила: Перед запуском зовнішньої обробки потрібні: Приклад: |
- | провідний ризик | Повні права, спільні логіни, звільнені користувачі, небезпечні обробки. Архів BAS не повинен залишатися другою робочою системою. Поле
Приклади ролей: Приклади груп:
Погано, коли інтеграційні функції ERP функціонує під користувачем із повними правами.== Див. так само == Приклад нової рольової моделі K2 ERPБлокування користувачівРеплікатор K2 і права BAS
Менеджер продажів здатна бачити тільки своїх клієнтів і документи. * змінити назву;
Потрібно розділяти: Це особливо критично для холдингів і груп компаній. !користувач системи із повними правами здатна мати доступ до:
через Журнал реєстрації користувачі можуть контролювати дії користувачів.[[Категорія:Права доступу BAS]]
[[Категорія:Права доступу в ERP]]
== Типові помилки з правами BAS ==
Повні права можуть бути потрібні:
[[Категорія:Профілі доступу]]
[[Категорія:Audit log]]
Потрібно перевіряти:
Логін: бухгалтерський обліковий облік
Це створює ризики:
Права доступу BAS — це правила, які визначають, що користувач системи здатна бачити і робити в інформаційній базі: документи, довідники, звіти, обробки, склади, організації, зарплату, банк, ПДВ, собівартість і адміністрування. У закупівлях контролюють:
* масово змінювати документи;
* змінювати регістри;
* імпортувати інформаційні дані;
* видаляти інформаційні дані;
* перепроводити документи;
* вивантажувати інформацію;
* змінювати ціни;
* формувати файли;
* запускати інтеграції.<syntaxhighlight lang="text">
* менеджери продажів;
* комірники;
* оператори;
* зовнішні консультанти;
* тимчасові користувачі;
* частина керівників;
* інтеграційні користувачі. '''Права доступу BAS''' — це один із ключових елементів безпеки інформаційної бази. Картка користувача здатна містити:
<div style="border:3px solid #2e7d32; background:#e8f5e9; padding:14px; margin:16px 0;">
'''Проста аналогія.''' Інформаційна база BAS — це офіс із багатьма кімнатами.[[Категорія:Тонкий клієнт BAS]]
[[Категорія:Групи доступу]]
Якщо RLS не налаштований, користувачі бачать зайві інформаційні дані. |-
| Бухгалтер 1
| Так
| Ні
| Ні
|-
| Бухгалтер 2
| Ні
| Так
| Ні
|-
| провідний бухгалтер
| Так
| Так
| Так
|}
</div>
Складські права мають контролювати:
__TOC__
Роль — це технічний набір прав у конфігурації.== Що таке права доступу BAS ==
== Архів BAS після міграції ==
|-
| Комірник Київ
| Так
| Ні
| Ні
|-
| Комірник Львів
| Ні
| Так
| Ні
|-
| Керівник логістики
| Так
| Так
| Так
|}
[[Категорія:Аудит дій]]
Приклад:
Для критичних звітів потрібно обмежувати експорт або контролювати, хто і що вивантажує. Роль K2 ERP
Перехід у K2 ERP — це можливість побудувати чисту модель доступу.== Висновок == користувач системи BAS
RLS важливий для великих компаній, холдингів, філій, складів і компаній із чутливими даними. Цей доступ має бути суворо обмежений. Держспецзв’язку веде офіційний перелік забороненого до використання програмного забезпечення та комунікаційного обладнання, де станом на опублікований перелік згадуються продукти 1С/BAS, зокрема 1C:компанія-користувач 8 і BAS ERP. Права в архіві мають бути обмежені: У кожного бухгалтера виступає як доступ до конфігуратора. як приклад, менеджер бачить тільки своїх клієнтів, комірник — тільки свій складський облік, бухгалтер — тільки свою організацію. * перегляд банківських рахунків;
|
При міграції | Права не копіювати 1:1, а будувати нову модель у K2 ERP. Не потрібно видаляти користувача, якщо його дії вже пов’язані з документами. !== Для чого потрібні права доступу ==
Права доступу в BAS визначаються через користувачів, ролі, профілі, групи доступу, обмеження за організаціями, складами, підрозділами, видами документів, функціональними розділами, а так само через механізми обмеження доступу на рівні записів. Об’єкт BAS Без прав доступу BAS перетворюється на систему, де будь-хто здатна побачити або змінити критичні інформаційні дані.== Доступ до конфігуратора == RLS або обмеження доступу на рівні записів — це механізм, який дає можливість показувати користувачу не всі інформаційні дані, а тільки ті, які відповідають умовам доступу. ! |
Найбільші проблеми старих BAS-баз зазвичай пов’язані не з відсутністю прав, а з їх хаотичністю: повні права у багатьох користувачів, спільні логіни, доступ звільнених працівників, інтеграції під адміністратором, відсутність RLS, зайвий доступ до зарплати й собівартості, тестові бази з реальними правами. Приклад
Це типова помилка старих баз. Погодження Приклад RLS по організаціяхЧому небезпечно давати повні права?критично. Права доступу BAS — це один із головних ризикових контурів старої системи.== Звіт по користувачах BAS ==
Роль здатна дозволяти:
|
Приклад:
Наслідки:
|
Закупівельник не завжди має бачити всі фінансові звіти компанії. Усі клієнти
Групи корисні, коли багато користувачів мають однаковий доступ. |} |
Це найчастіше джерело витоків, помилок, випадкових змін, неконтрольованих обробок і проблем при аудиті. Пароль знають усі бухгалтери. Зовнішні обробки можуть бути дуже небезпечними. Указ Президента України №601/2024 ввів у дію рішення для бізнесу РНБО від 2 вересня 2024 року щодо сценарії використання, скасування та внесення змін до санкцій. Останній вхід
Корисний звіт: Адміністратор BAS здатна: | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Менеджер | Так | Ні | Ні | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Керівник відділу | Так | Так | Ні | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| Комерційний директор | Так | Так | Так |
Проблеми старої моделі:
</syntaxhighlight>
! ФОП
Основні елементи моделі доступу
Правильна модель доступу — це не максимальний доступ “щоб працювало”, а мінімально необхідний доступ “щоб було безпечно і контрольовано”. </syntaxhighlight>
! Помилка
Він здатна використовуватися для:
- всіх довідників;
- всіх документів;
- всіх звітів;
- всіх організацій;
- всіх складів;
- зарплати;
- банку;
- ПДВ;
- собівартості;
- конфігуратора;
- обробок;
- видалення;
- адміністрування;
- зміни прав. Свої клієнти
Доступ до зовнішніх обробок
Потрібно обмежувати:
- ім’я;
- логін;
- пароль;
- email;
- пов’язану фізичну особу або працівника;
- роль;
- профіль доступу;
- групу доступу;
- організацію;
- підрозділ;
- складський облік;
- статус активності;
- спосіб автентифікації;
- дату створення;
- дату останнього входу. Права BAS часто накопичувалися хаотично. {| class="wikitable" style="width:100%;"
Журнал потрібен для аудиту, розслідування інцидентів і міграційної перевірки. |- | Архів BAS | Тільки для читання, без інтеграцій і без зайвих користувачів. Профіль доступу — це прикладний набір ролей і обмежень, який зручніше призначати користувачу з погляду бізнесу. У виробництві права можуть бути розділені між:
Помилка: тестова база має реальні права
! Що означає
Доступ до ПДВ
Що робити зі старими правами BAS після міграції?
* працівник звільнився;
* користувач системи змінив посаду;
* доступ більше не потрібен;
* завершився аудит;
* завершився договір із підрядником;
* виявлено підозрілу активність;
* інтеграційні функції ERP більше не застосовується для;
* обліковий запис давно не активний.== Типові питання ==
* доступ до клієнтів;
* доступ до замовлень покупців;
* доступ до рахунків;
* доступ до комерційних пропозицій;
* заборону перегляду зарплати;
* заборону зміни бухгалтерських документів;
* обмеження по підрозділу;
* обмеження по власних клієнтах. * користувачі бачать зарплату;
* комірники бачать фінансовий блок;
* менеджери бачать собівартість;
* можна випадково змінити критичні документи;
* зовнішні обробки можуть запускати зайві люди;
* неможливо нормально пройти аудит.== Кому можна давати повні права ==
Після звільнення потрібно:
== RLS у BAS ==
! Погано, коли комірник одного складу здатна списати товар з іншого складу. Перед використанням, підтримкою або міграцією таких систем потрібно перевіряти актуальні офіційні обмеження. При переході з BAS у [[K2 ERP]] права доступу не варто переносити механічно. * вивантаження списку користувачів;
* аналізу активності;
* аналізу ролей;
* аналізу профілів доступу;
* пошуку повних прав;
* пошуку неактивних користувачів;
* пошуку спільних логінів;
* пошуку інтеграційних користувачів;
* формування таблиці мапінгу;
* підготовки нової рольової моделі;
* контролю після запуску K2 ERP.== Помилка: користувач системи звільнився, але доступ залишився ==
</div>
'''Повні права''' — це максимальний доступ у системі. Профіль
Права BAS часто накопичувалися роками. Погано:
* backup;
* тестова база;
* відповідальний;
* SEO-опис дії;
* журнал виконання;
* обмеження прав;
* контроль результату. * створювати користувачів;
* змінювати права;
* блокувати доступ;
* налаштовувати групи;
* оновлювати базу;
* запускати тестування і виправлення;
* створювати backup;
* перевіряти журнал реєстрації;
* керувати регламентними завданнями;
* аналізувати помилки;
* працювати з конфігуратором.[[Категорія:Power BI]]
* активних користувачів;
* неактивних користувачів;
* звільнених працівників;
* спільні логіни;
* користувачів із повними правами;
* доступ до зарплати;
* доступ до банку;
* доступ до собівартості;
* доступ до конфігуратора;
* доступ до зовнішніх обробок;
* інтеграційних користувачів;
* доступ до архівних баз;
* доступ до тестових баз. ! ! ТОВ “компанія-користувач 1”
|-
| Менеджер продажів
| Клієнти, угоди, замовлення
| Тільки свої клієнти або свій відділ
|-
| Комірник
| Складські операції
| Тільки свій складський облік, без собівартості
|-
| Фінансист
| Платежі, ДДС, бюджети
| Без зарплатних деталей, якщо не потрібно
|-
| Бухгалтер
| Первинні документи, ПДВ, обліковий облік
| По своїх організаціях
|-
| HR
| Кадрові документи
| Персональні інформаційні дані тільки у межах ролі
|-
| Зарплатний бухгалтер
| Нарахування, утримання, виплати
| Обмежений доступ до зарплати
|-
| Директор
| Управлінські звіти
| Повний перегляд без технічного адміністрування
|-
| API-користувач
| інтеграційні функції ERP
| Тільки потрібні API-методи
|}
!== Коротко ==
RLS — це обмеження доступу на рівні записів.<div style="border:3px solid #b71c1c; background:#ffebee; padding:14px; margin:16px 0;">
! |-
| Основні елементи
| Користувачі, ролі, профілі, групи, RLS, обмеження. Краще:
! |-
| користувач системи
| Іваненко Іван
|-
| Логін
| ivanenko.i
|-
| Профіль
| Менеджер продажів
|-
| Організація
| ТОВ “компанія-користувач”
|-
| Підрозділ
| Відділ продажів
|-
| Статус
| Активний
|}
!== Доступ до інтеграцій ==
* клієнтів;
* контакти;
* комерційні пропозиції;
* рахунки;
* замовлення;
* реалізації;
* знижки;
* типи цін;
* дебіторку;
* маржу;
* повернення;
* договори;
* історію клієнтів.
Доступ до закупівель
- технологом;
- майстром;
- планувальником;
- начальником зміни;
- комірником виробництва;
- контролером якості;
- керівником виробництва;
- фінансистом;
- бухгалтером. Держспецзв’язку веде офіційний перелік забороненого до використання програмного забезпечення та комунікаційного обладнання, де згадуються продукти 1С/BAS, зокрема 1C:компанія-користувач 8 і BAS ERP. Правильний принцип:
Після переходу в K2 ERP стару BAS-базу можна залишити як архів.== Профіль доступу BAS ==
Стару BAS-базу потрібно перевести в архів тільки для читання, обмежити користувачів, вимкнути інтеграції, заблокувати звільнених працівників і залишити доступ лише тим, кому він потрібен для перегляду історії.== Помилка: RLS не налаштований ==
Зовнішні посилання
Помилки в ПДВ можуть мати фінансові наслідки, тому доступ має бути контрольований. ! Аналог у K2 ERP
! користувач системи ! Повні права — тільки тимчасово, тільки за потреби, тільки з відповідальним і тільки з журналом дій.== Повні права BAS ==
Роль BAS
! Роль
Конфігуратор доступний тільки адміністратору або розробнику за погодженням. Питання !
- Бухгалтер;
- провідний бухгалтер;
- Менеджер продажів;
- Комірник;
- Кадровик;
- Зарплатний бухгалтер;
- Фінансист;
- Керівник;
- Адміністратор;
- Повні права;
- користувач системи інтеграції.
Проблеми:
Потрібно обмежувати:
Доступ до звітів
- у тестовій базі залишаються реальні користувачі;
- залишаються реальні паролі;
- залишаються інтеграції;
- залишаються регламентні задача;
- користувачі можуть переплутати тест і робочу базу;
- тестова база здатна надсилати реальні листи або інформаційні дані. Потрібно обмежувати:
Якщо RLS не налаштований, комірник одного складу здатна випадково створити документ на інший складський облік. Указ Президента України №601/2024 ввів у дію рішення для бізнесу РНБО від 2 вересня 2024 року щодо сценарії використання, скасування та внесення змін до персональних спеціальних економічних та інших санкцій. Створення заявки
<syntaxhighlight lang="text">
- філія бачить документи іншої філії;
- комірник бачить чужий складський облік;
- менеджер бачить клієнтів іншого менеджера;
- бухгалтер бачить не свою організацію;
- HR бачить усіх працівників замість свого підрозділу. користувач системи
Приклади: При описі прав доступу BAS в українському контексті критично згадувати санкційні й безпекові ризики. Потрібно:
- менеджер бачить своїх клієнтів;
- керівник відділу бачить клієнтів відділу;
- комерційний директор бачить усіх;
- менеджер не здатна самостійно погодити велику знижку. |-
| Усім дають повні права | Щоб не було скарг | Витік, помилки, відсутність контролю |- | Один логін на відділ | Так простіше | Немає персонального аудиту |- | Не блокують звільнених | Немає процесу offboarding | Колишні працівники мають доступ |- | Не обмежують зарплату | Ролі налаштовані грубо | Витік персональних даних |- | Не обмежують складський облік | Немає RLS | Документи створюються не на той складський облік |- | Інтеграції під адміністратором | оперативно налаштували обмін | Надмірні ризики |- | Доступ до конфігуратора у зайвих людей | Немає контролю адміністрування | Ризик зміни системи |}
Він здатна показати:
- потрібно було оперативно запустити роботу;
- користувачі скаржилися, що “не бачать кнопку”;
- адміністратор не налаштував ролі;
- права копіювали від старого користувача;
- ніхто не робив аудит.
Головне. Права доступу BAS — це не без зусиль “поставити галочку користувачу”. Елемент !== Помилка: усім дали повні права ==
Приклад RLS по складах
- заблокувати користувача BAS;
- змінити паролі спільних логінів, якщо вони були;
- відкликати доступ до RDP/VPN;
- перевірити доступ до архівних баз;
- перевірити доступ до Excel-вивантажень;
- перевірити API-токени, якщо були;
- передати відповідальність за документи іншій людині. користувач системи
class="wikitable" style="width:100%;"
Проблема:
|
|---|
- Ролі BAS
- Користувачі K2 ERP
- Реплікатор K2
- BI
- Інформаційна база BAS
- Міграція даних
- Клієнт BAS
- Інтеграція
- Українське програмне забезпечення
- BAF
- Роль 1С
- RLS
- Зовнішні обробки
- API
- Кібербезпека
- Міграція з 1С
- 1С
- K2 ERP
- ERP
- BAS ERP
- Міграція з BAS
- JSON
- Цифрова незалежність України
- Користувачі BAS
- Заміна BAS
- Ролі K2 ERP
- BAS
- Адміністрування 1С
- Конфігуратор 1С
- Модулі K2 ERP
- BAS Бухгалтерія