Разделение обязанностей

Разделение обязанностей является ключевым элементом внутреннего контроля. Усиленная защита от мошенничества и ошибок должна сочетаться с дополнительными затратами и усилиями, необходимыми для её реализации.

По сути, разделение обязанностей создает необходимый уровень взаимного контроля за действиями отдельных лиц. R. A. Бота и J. H. P. Эллофф в журнале IBM Systems Journal описывают этот принцип следующим образом:

Основная задача принципа разделения обязанностей как средства укрепления безопасности — предотвращение мошенничества и ошибок. Она реализуется через распределение задач и связанных с ними привилегий по определённому бизнес-процессу между несколькими пользователями. Классический пример — требование двух подписей на чеке^[1].

Фактические должности и организационная структура могут значительно различаться в зависимости от размера и характера бизнеса. Соответственно, ранг или иерархия менее важны, чем навыки и компетенции вовлечённых лиц. В рамках концепции разделения обязанностей критические бизнес-функции обычно делят на четыре типа: авторизация, хранение, ведение учёта и сверка. В идеальных условиях, ни один сотрудник не должен выполнять более одной из этих функций.

В основе разделения обязанностей лежат несколько возможных подходов, которые могут применяться как по отдельности, так и совместно:

• последовательное разделение (принцип двух подписей)
• индивидуальное разделение (принцип четырёх глаз)
• пространственное разделение (выполнение действий в разных локациях)
• факторное разделение (несколько факторов способствуют завершению действия)

Сотрудник, выполняющий несколько функциональных ролей, имеет возможность злоупотреблять своими полномочиями. Для снижения риска используют следующий подход:

1. Выделяется функция, которая необходима, но потенциально может быть использована для злоупотребления.
2. Функция разбивается на отдельные этапы, каждый из которых необходим для работы или потенциального злоупотребления полномочиями.
3. Каждый этап назначается отдельному человеку или организации.

Основные категории функций, которые следует разделять:

• функция авторизации
• функция учёта (например, подготовка первичных документов, кода или производственных отчетов)
• хранение или распоряжение активами, прямое или косвенное (например, получение чеков по почте, внедрение изменений в исходный код или базе данных)
• функция сверки или аудита
• разделение одного ключа безопасности на две (или более) части между ответственными лицами

Прежде всего выбор делается в пользу индивидуального разделения функций.

Термин разделения обязанностей хорошо известен в системах финансового учета. Организации любого масштаба избегают совмещения ролей, таких как получение чеков (оплата по балансу) и одобрение списаний, внесение наличности и сверка банковских выписок, утверждение табелей и хранение платёжных чеков и т. д. В то время как для отделов информационных технологий (ИТ) разделение обязанностей относительно ново, высокий процент проблем внутреннего аудита по закону Сарбейнса—Оксли приходится именно на ИТ^[2].

В информационных системах разделение функций снижает потенциальный ущерб от действий одного человека. Отдел ИС или конечный пользователь должны быть организованы так, чтобы обеспечивать адекватное разделение обязанностей. По данным матрицы контроля SoD организации ISACA^[3], определённые обязанности не должны совмещаться в одной должности. Эта матрица не является отраслевым стандартом, а скорее общей рекомендацией по разделению ролей и мерам компенсационного контроля в случае их объединения.

В зависимости от размера компании функции и роли могут отличаться. Мелкие организации, в которых отсутствует разделение обязанностей, сталкиваются с рисками несанкционированных покупок и выплат^[4]. Если разделение невозможно, внедряются компенсирующие меры контроля. Это внутренние процедуры, направленные на снижение риска, связанного с существующими или потенциальными недостатками контроля. Если один сотрудник может совершать и скрывать ошибки или нарушения в процессе своей повседневной деятельности — значит, ему поручены несовместимые обязанности. Существует ряд механизмов внутреннего контроля, содействующих эффективному разделению функций:

1. Аудиторский след позволяет ИТ-менеджерам или аудиторам восстанавливать реальный ход операций с момента их возникновения до отражения на обновлённых записях. Корректный аудит должен фиксировать автора операции, время и дату, вид записи, изменённые поля и зафиксированные файлы.
2. Сверка приложений и процессы независимой проверки возлагаются на пользователей и обеспечивают дополнительную уверенность в корректности работы системы.
3. Отчёты об исключениях обрабатываются на уровне руководства; их выполнение подтверждается документально. Обычно требуется подпись ответственного за подготовку отчёта.
4. Необходимо вести ручные или автоматизированные журналы транзакций, фиксирующие все системные или прикладные операции.
5. Контролирующий обзор должен осуществляться путём наблюдения и опроса.
6. Для компенсации ошибок или намеренных нарушений предписывается независимая ревизия, что позволяет выявлять нарушения и неточности.

Бухгалтерская профессия уделяет большое внимание разделению обязанностей, исходя из накопленного за столетия опыта управления рисками.

В то же время многие корпорации в США обнаружили, что большой процент проблем внутреннего контроля по закону Сарбейнса—Оксли связан с ИТ-процессами. В больших ИТ-организациях разделение обязанностей применяется с целью не допустить внесения мошеннического или вредоносного кода или данных без последующего выявления. Для обеспечения этого часто реализуют ролевой контроль доступа (RBAC). По мере увеличения количества ролей и масштабирования организации может использоваться гибридная модель с контролем доступа на основе атрибутов (ABAC), которая позволяет устранить недостатки ролевого подхода^[5].

Жёсткий контроль изменений программного обеспечения и данных требует, чтобы один человек или организация выполняли только одну из следующих ролей:

• Идентификация требования (или запроса на изменение), например, бизнес-пользователь
• Авторизация и утверждение, например, управляющий совет или менеджер
• Проектирование и разработка, например, разработчик
• Ревью, инспекция и утверждение, например, другой разработчик или архитектор
• Внедрение в промышленную эксплуатацию, обычно системный администратор или инженер по сопровождению

Это не полный список этапов жизненного цикла разработки, а перечень ключевых функций, к которым применяется принцип разделения обязанностей.

Для успешного внедрения в информационных системах необходимо учесть ряд аспектов:

• Процедура назначения прав доступа должна соответствовать роли пользователя в организации.
• Метод аутентификации — знание пароля, обладание объектом (ключ, токен) или биометрический параметр.
• Обход прав доступа возможен посредством административного доступа к базе данных, инструментов для обхода контроля или сторонних учётных записей; адресовать данный риск помогают процедуры анализа журналов активности.