Сотрудник не создаёт то, что ему не поручали, — и не согласовывает то, что создал сам
Пять ролей MCA определяют доступ к объектам, справочникам и функциям модуля. Создание карточки, её согласование и ввод результатов мониторинга регулируются отдельными правами.
Пять ролей модуля
Роли поставляются готовыми и узнаются в привычной оргструктуре банка — при этом это методический ориентир, а не жёсткое ограничение: роли настраиваются под вашу структуру.
| Роль | Кому обычно соответствует |
|---|---|
| ИБ-администратор MCA | Служба информационной безопасности — администрирует роли, объекты защиты и права, а не работает с карточками риска |
| Создатель MCA | Сотрудники подразделений — владельцев процессов и рисков, заполняющие карточки и предлагающие изменения |
| Проверяющий MCA | Руководитель службы внутреннего контроля или комплаенс-менеджер, согласующий изменения |
| Владелец мониторинга MCA | Исполнитель, вносящий результаты мониторингов по своим контролям |
| Аудитор MCA | Внутренний аудит — полный обзор реестра без права создавать или согласовывать |
Модель объектов защиты
Права выдаются не «на модуль целиком», а на пять разных типов объектов защиты, и на каждом — свой набор действий:
- Разделы навигатора — только чтение (видимость пункта меню)
- Справочники-таксономии — чтение, запись, добавление, удаление
- Объекты (процессы, риски, контроли, мониторинги, анкеты) — чтение, запись, добавление, удаление
- Настройки приложения — чтение, запись, добавление, удаление
- Именованные функции — отдельное разрешение на выполнение конкретного действия
Такое разделение позволяет выдать сотруднику, например, право читать реестр контролей, но не давать ему прав на изменение справочника — или наоборот, разрешить работу со справочниками команде методологов, не открывая им карточки конкретных рисков.
Базовый набор прав ролей
Из коробки все четыре операционные роли — создатель, проверяющий, владелец мониторинга, аудитор — видят одни и те же разделы навигатора и имеют одинаковый полный доступ на чтение, запись, добавление и удаление ко всем объектам и справочникам модуля. Разница между ними — не в том, что каждый видит, а в том, что каждый имеет право сделать: это разведено отдельными именованными функциями, а не дублированием прав на объекты.
Именованные функции по ролям
Три именованные функции разводят три критичных действия между тремя разными ролями — так, чтобы ни одна не совмещала создание, согласование и подтверждение результата:
- Создание карточек Только у роли «Создатель MCA» — право заводить новые риски, контроли и мониторинги
- Согласование Только у роли «Проверяющий MCA» — право подтверждать или отклонять предложенные изменения
- Создание результатов мониторинга Только у роли «Владелец мониторинга MCA» — право вносить фактические результаты проверок
«Аудитор MCA» не получает ни одной из трёх функций — по замыслу роли это чистое право просмотра всего реестра без возможности на него повлиять, ровно то, что нужно для независимой проверки.
Регистрация модуля в реестре безопасности платформы
MCA зарегистрирован как самостоятельный модуль в общем реестре безопасности платформы «Ланселот», а учётные записи сотрудников — общие для всей платформы: отдельной таблицы пользователей внутри модуля нет, роли MCA просто назначаются существующим учётным записям. Администрирование прав, ролей и журнала безопасности модуля собрано на отдельном экране — «Роли», «Пользователи», «Экспорт», «Журнал безопасности» — доступном ИБ-администратору MCA.
Особенности и ограничения модели
Модель прав закладывает более широкий периметр контроля, чем закрывает сегодняшнее меню: объект защиты «Представления» зарезервирован в реестре прав, и доступ к нему можно настраивать уже сейчас, хотя отдельного одноимённого пункта в навигаторе для него пока не выведено. Роль ИБ-администратора MCA сфокусирована на самой модели прав — ролях, объектах защиты, журнале безопасности, — а не на операционных функциях создания и согласования карточек, поэтому три именованные функции закреплены за операционными ролями, а не за ней.
Что это даёт ИТ-директору
Пять ролей и пять типов объектов защиты дают предсказуемую матрицу доступа для регулярного пересмотра прав: любую строку матрицы «роль × объект × действие» можно выгрузить и сверить с кадровой оргструктурой без выгрузки исходного кода. Отдельная схема безопасности модуля со своим журналом (действие, дата, администратор, сотрудник) — самостоятельный источник для процессов управления доступом и внутреннего аудита ИБ.