Права доступа и разграничение полномочий
Сотрудник не видит того, чего ему нельзя, — и не ищет там, где пусто. Доступ в ISM устроен не одним общим переключателем «читатель / редактор», а комбинацией роли, типа объекта и группы источника недостатка: карточка сама скрывает то, что не относится к делу конкретного человека.
Объекты безопасности
Права в модуле выдаются не на экран целиком, а на четыре типа объектов — так можно дать сотруднику доступ к запуску отчётов, не открывая ему настройку справочников, или доступ к разделу карточки без прав на справочники вообще.
| Тип объекта | Действия | Что охватывает |
|---|---|---|
| Справочники | Добавление, чтение, изменение, удаление, фильтрация | 30 справочников модуля — источники, статусы, типы, причины и другие классификаторы |
| Действия | Выполнение | Импорт данных и групповые операции над показателями |
| Разделы карточки Issue | Чтение, изменение | Раздел карточки недостатка — точка входа для видимости вкладок |
| Отчёты | Чтение | Отдельно — конструктор отчётов, отдельно — запуск готовых отчётов |
Роли ISM
18 ролей в собственной схеме безопасности модуля — от создателя недостатка по конкретному источнику до независимого аудитора. Роли соответствуют типовым функциям линий защиты, но это методический ориентир: реальный состав ролей и то, кому их назначить, настраиваются под структуру вашей организации.
Создание и редактирование по источникам 8 ролей
- Basic Editor — общие источники (BASE/LOD2), обычно первая линия защиты или процессный владелец
- Regulatory Event Editor — регуляторные предписания и проверки, обычно комплаенс или связи с регулятором
- Оценка уязвимостей Editor / Creator — источник уязвимостей, обычно ИБ или служба тестирования на проникновение
- IS/VA Editor, IS Issue Creator — информационная безопасность
- ORM Editor — операционные риски
- Issue Source Editor — владелец конкретного источника-справочника, обычно 2-я линия защиты
Контроль качества данных 2 роли
- Quality Координатор — проверка качества данных по общим источникам
- IS Quality Координатор — отдельная роль для источников ИБ/уязвимостей — не пересекается с обычным координатором качества
Независимый контроль 3 роли
- Internal Audit — независимая валидация закрытия, обычно служба внутреннего аудита
- Старший ответственный за ИБ — обязательный согласующий по контуру Обязательное согласование ответственного за ИБ, обычно старший офицер информационной безопасности
- Auditor — сквозной просмотр реестра для целей аудита
Администрирование доступа 2 роли
- Security Admin — единственная роль без доступа к самому реестру недостатков: администрирует права, но не видит карточки
- Security Auditor — аудит действий администраторов доступа
Роли Security Admin, Security Auditor и Auditor — уникальные: система не позволит выдать их вместе с любой другой ролью одному и тому же сотруднику, чтобы администратор доступа не оказался одновременно и исполнителем.
Матрица видимости полей
Видимость раздела карточки зависит не только от роли, но и от группы источника конкретного недостатка: одна и та же роль может видеть один раздел карточки всегда, а другой — только если она в нём участвует (владелец или на стадии проверки качества данных). Правило считается по комбинации: тип карточки (Issue/CAP/Milestone или Exception) × роль × группа источника (BASE/LOD2/REGULATORY/IS-VA либо, для исключений, IS-VA/не-IS-VA) — и подчиняется одному из 7 правил, включая составные («владелец и черновик», «владелец и проверка качества»).
Пример: роль Basic Editor
Отметьте группу источника — увидите, какие разделы карточки видны редактору по умолчанию. BASE и LOD2 видны всегда; REGULATORY и IS/VA — только когда редактор сам владелец или участник карточки.
Ни один из этих разделов не виден при снятых отметках.
Демонстрация одной строки матрицы; полная матрица различается по каждой из 18 ролей и по каждому из четырёх типов карточек.
Обязательный контур Обязательное согласование ответственного за ИБ
Для недостатков источников информационной безопасности и оценки уязвимостей активация, закрытие и отмена не проходят обычным путём — система перехватывает переход, переводит карточку в состояние ожидания и уведомляет назначенного согласующего (или, если он не назначен, создателя недостатка). Изменение контролируемых полей у уже открытого такого недостатка работает так же: карточка переходит на согласование, связанные планы — вместе с ней.
Отклонение откатывает поля, а не просто оставляет комментарий
Если старший сотрудник информационной безопасности отклоняет запрос на изменение, система возвращает недостаток в прежний статус и восстанавливает значения изменённых полей по журналу изменений.
Независимая валидация внутреннего аудита
Когда для недостатка включена независимая валидация, закрытие проходит через отдельный контур: внутренний аудит подтверждает готовность к валидации, затем — при условии, что все планы устранения закрыты — подтверждает завершение. Ни на одном из этих шагов согласующий не может быть тем же человеком, что инициировал предыдущий шаг.
Что это даёт ИТ-директору
Контур безопасности модуля — собственный: своя схема прав (securityism), свой журнал действий администраторов и свой перечень типов аутентификации для административных экранов, подключённый к общей конфигурации платформы. Глубина ролевой модели — 18 ролей и матрица видимости на 7 правил — даёт точную настройку доступа без единой «суперроли» на всех, а журнал переходов и журнал изменений полей вместе формируют полный след для СВК и внешнего аудитора.
Показать матрицу видимости на вашем стенде
Соберём права под структуру вашей организации и покажем, что увидит каждая роль, — на демонстрации.