Матрица прав доступа должна отвечать на четыре вопроса: кто работает, с каким объектом, какое действие выполняет и в пределах каких данных. После настройки проверяют оба результата: сотрудник может выполнить нужную работу и не может выполнить действие, которое ему не поручено.
Фраза «менеджеру нужен доступ к продажам» слишком общая для такой проверки. Один сотрудник создаёт черновик, другой подтверждает условия, руководитель просматривает результаты команды. Даже при одинаковой должности люди могут работать с разными организациями или задачами.
В Рули24 модуль «Администратор системы» входит во все девять продуктов и предназначен для управления пользователями, ролями и правами. Ниже описан рекомендуемый порядок подготовки полномочий. Пример матрицы — рабочий бланк, а не готовая конфигурация, которую можно без проверки применить к любой компании.
Начните с работы, которую сотрудник должен выполнить
Для каждой роли запишите несколько конечных задач. Например: зарегистрировать обращение, подготовить документ, исправить незавершённую запись, посмотреть результаты своей группы. Затем определите, какие объекты и действия нужны для этих задач.
Не начинайте с копирования всех прав соседнего сотрудника. У него могли остаться полномочия от прежней должности, временной замены или настройки системы. Такой список объясняет, что ему доступно сейчас, но не объясняет, почему это необходимо новой роли.
В справке Рули24 о пользователе описан доступ к одной или нескольким фирмам и задачам. Поэтому в исходном задании стоит отдельно перечислить организации и задачи пользователя. Совпадение названия роли ещё не означает одинаковую область работы.
| Вместо общей формулировки | Уточните задачу |
|---|---|
| «Работает с клиентами» | Какие записи видит, какие создаёт и какие может изменять |
| «Заменяет руководителя» | Какие решения принимает, для какой группы и на какой период |
| «Видит отчёты» | Какие показатели, по каким организациям и с какой детализацией |
| «Администратор отдела» | Настраивает данные отдела или управляет пользователями системы |
| «Может подписывать» | Какой вид документа, какая операция и на каком основании |
Последняя строка требует особого внимания. Доступ к документу, право изменить его и право выполнить операцию подписи — разные вопросы. Убедитесь, что участники обсуждения вкладывают в слово «подписать» одинаковый смысл.
Соберите матрицу из четырёх элементов
Удобно вести одну строку на проверяемое сочетание роли, объекта, действия и области. Добавьте деловое основание и сотрудника, который подтвердит результат. Это сделает таблицу пригодной для приёмки, а не только для обсуждения.
Условный пример: небольшая коммерческая команда использует рабочие документы и клиентские записи. Названия ролей и правила ниже придуманы для иллюстрации. Их наличие в виде готовых профилей Рули24 не заявляется.
| Роль | Объект | Действие | Область и ограничение | Кто подтверждает |
|---|---|---|---|---|
| Менеджер | Рабочий документ | Создать и изменить черновик | В пределах порученной работы | Руководитель продаж |
| Руководитель | Документ команды | Просмотреть и выполнить согласованную операцию | Только согласованный круг задач | Владелец процесса |
| Специалист справочника | Номенклатура | Подготовить изменение карточки | По установленному порядку ведения | Владелец справочника |
| Контролёр | Итоговые данные | Просмотреть | Без изменения первичных записей | Руководитель направления |
| Администратор | Пользователи и группы | Настроить согласованные полномочия | По утверждённой заявке | Ответственный за доступ |
Не считайте такую таблицу подтверждением, что любая её строка реализуется одной настройкой. Для выбранных объектов нужно проверить фактическую детализацию прав. Если требуемое ограничение не воспроизводится, это отдельный вопрос к проекту настройки, а не повод молча выдать более широкий доступ.
Полезно добавить к матрице три служебных поля: причина назначения, дата пересмотра и связанная заявка. Эти поля могут вестись в вашем рабочем регламенте; статья не утверждает, что система автоматически создаёт такой реестр или отзывает права по дате.
Что подтверждает документация Рули24
В справке есть примеры настройки для разных контуров. Права доступа пользователя в бухгалтерском разделе настраиваются через детальные таблицы. В разделе «Администратор процессов» описаны группы пользователей: участникам автоматически присваиваются назначенные группе привилегии и права к видам деятельности, объектам и разделам объекта. Доступность этих настроек и их форму проверяют в модулях выбранного продукта.
Группы позволяют обсуждать повторяющийся набор полномочий как единое правило. При этом нужно проверить состав группы и итоговые права конкретного участника. Из описания наследования нельзя вывести порядок разрешения всех конфликтов между несколькими группами и индивидуальными настройками: такие сочетания следует проверить в вашей конфигурации.
В документации также есть более узкие примеры. Настройка бюджетных прав рассматривает доступ по видам бюджета и центрам финансовой ответственности. Это подтверждает конкретный сценарий финансового контура. Оно не означает, что бюджетирование входит во все продукты с модулем администрирования.
Для права подписи документа описывается настройка по видам документов и регистрация основания. Этот механизм нельзя автоматически приравнивать к настроенной юридически значимой электронной подписи или совместимости с любым оператором обмена. Требования к такому сценарию согласуют отдельно.
Разделите постоянную роль и временное исключение
Типовые полномочия удобно описать через группу, а нестандартное назначение — как отдельное решение с причиной. Иначе через несколько месяцев станет непонятно, почему сотрудник видит дополнительные данные.
Пример исключения — замещение коллеги. До изменения доступа уточните:
- Какие конкретно задачи нужно продолжить.
- Какие данные для этого необходимы.
- Кто согласует назначение.
- Когда и кем полномочия будут пересмотрены.
- Как проверить, что временная работа завершена.
Не выдавайте сотруднику административный доступ только потому, что он не смог выполнить одну операцию. Сначала установите причину: отсутствующее право, неподходящее состояние документа, неверная организация или иной параметр задачи. Это разные ситуации, требующие разных решений.
Тот же подход нужен при переводе между подразделениями. Добавление новой роли — лишь часть работы: нужно проверить, остаются ли основания для старых полномочий. Конкретный порядок отключения и сохранения истории согласуйте с администратором; автоматическое снятие всех прежних назначений здесь не предполагается.
Как проверить права после настройки
Проводите проверку в подготовленной тестовой среде с обезличенными данными. Используйте отдельные учётные записи, соответствующие ролям, и выполняйте реальные операции на контрольных документах. Проверка только под учётной записью администратора не показывает условия обычного пользователя.
Для каждой строки матрицы подготовьте два случая. В первом действие должно быть доступно. Во втором измените один существенный параметр: другую организацию, объект вне согласованной области или действие, которое роль выполнять не должна. Ожидаемый результат запишите до проверки.
| Проверка | Ожидаемый результат | Что записать в протокол |
|---|---|---|
| Разрешённое действие | Пользователь завершает порученную операцию | Роль, объект, исходное состояние, результат |
| Запрещённое действие | Пользователь не получает требуемое изменение или данные | Способ проверки и фактическая реакция |
| Другая организация | Доступ соответствует согласованной области | Какая организация была выбрана |
| Состав группы изменён | Итоговый доступ соответствует новому решению | До и после, учётная запись, повторный вход при необходимости |
| Несколько назначений | Итоговые полномочия объясняются настройкой | Группы и индивидуальные права, которые проверяли |
Не используйте реальные конфиденциальные данные для демонстрации запрещённого доступа. Цель — проверить правило на безопасном примере. Способ открытия данных выбирайте из фактически доступных системе путей; не ограничивайтесь оценкой видимости одного пункта меню.
Если пользователь видит нужный объект, но не завершает задачу, протокол должен содержать конкретный шаг. Запись «права не работают» мало помогает. Полезнее: «роль X, документ Y в состоянии Z, операция N; ожидали результат A, получили B».
Типовые ошибки при приёмке
Проверили только удобный сценарий. Разрешённая операция прошла, но доступ к соседней организации не проверяли. Решение: добавить отрицательные случаи к тем же объектам.
Смешали должность и роль. Руководителю выдали все права отдела, хотя ему нужен только обзор и отдельные согласования. Решение: описывать действия, а не уровень должности.
Не учли сочетание групп. Каждая группа по отдельности выглядела правильно, но пользователь входит в несколько. Решение: проверять итоговые полномочия конкретной тестовой записи.
Нет владельца решения. Настройка работает, но никто не подтверждает, что она нужна. Решение: в каждой спорной строке указать ответственного со стороны процесса.
Пересмотр доступа отложен навсегда. Временная замена стала постоянной. Решение: включить проверку полномочий в процедуру изменения обязанностей и завершения временных назначений.
Частые вопросы
Можно ли использовать должности как группы доступа?
Можно взять должности за отправную точку, но проверить реальные задачи и область данных. У сотрудников одной должности могут различаться организации, направления и обязанности.
Если пункт меню скрыт, доступ точно закрыт?
Одной проверки меню недостаточно для приёмки. Нужно проверить фактическое выполнение операции и получение данных доступными в системе способами, указанными в сценарии теста.
В каких продуктах Рули24 есть управление пользователями?
«Администратор системы» входит во все девять продуктов. Посмотрите базовый состав «Рули24 ГИС» и каталог продуктов. Права на предметные операции проверяются в рамках модулей выбранного решения.
Заменяет ли матрица права подписи и требования к защите информации?
Матрица фиксирует рабочие полномочия и помогает проверить настройку. Основания подписи, требования к хранению и защите информации, порядок обмена и иные специальные требования нужно определить отдельно. Наличие матрицы не доказывает выполнение всего комплекса требований.
С чего начать обсуждение настройки
Подготовьте три типовые роли, один спорный пример доступа и два документа, на которых сотрудники выполняют разные действия. Добавьте список организаций и временных замещений. По этому набору можно предметно обсудить структуру групп и приёмку результата.
Общий порядок запуска изложен в руководстве по подготовке к внедрению. Чтобы проверить вашу матрицу на Рули24, обратитесь к команде и приложите обезличенный сценарий.