Роли, права и безопасность (2FA, журнал аудита): кто что видит и кто что меняет

Для кого этот модуль и какую задачу он решает?

Модуль предназначен для любой компании, где к HR-данным имеют доступ несколько человек; он становится решающим, когда такие чувствительные данные, как зарплата, документы личных дел и медицинские заключения, должны видеть только те, кому это положено. Если права не выстроены, возникают две крайности: либо все видят всё, либо никто не может выполнить свою работу. Учётная запись уволившегося остаётся открытой, общие пароли передаются из рук в руки, а на вопрос «Кто изменил эту запись?» не найти ответа.

• Владелец компании и системный администратор: управляют пользователями, ролями и настройками безопасности.
• HR и специалисты по расчёту зарплаты: получают доступ к данным, нужным для работы; просмотр чувствительных данных фиксируется.
• Руководитель команды: видит только рабочие сведения о своей команде.
• Сотрудник: видит только свою запись, документы и заявки.

Что делает модуль «Роли, права и безопасность»?

Модуль делает принцип минимальных привилегий применимым на практике: каждый пользователь получает доступ только к записям, нужным для его работы, а обращения к чувствительным данным и изменения оставляют след.

• Готовые роли: владелец компании, системный администратор, HR, руководитель команды и сотрудник. Права каждой роли по умолчанию фиксированы и показаны на экране настроек в таблице только для чтения.
• Специальные роли: выбирая права из списка, вы создаёте роли под свою компанию, например специалист по расчёту зарплаты, финансовый консультант или HR с правом только на чтение; не более 50 ролей на компанию. Пользователь со специальной ролью получает только права этой роли, поэтому права можно не только расширять, но и сужать. Взаимосвязанные права, например изменение и чтение, выбираются вместе.
• Защита от повышения привилегий: никто, кроме владельца компании, не может добавить в роль или выдать другому право, которого нет у него самого; никто не может назначить роль самому себе или редактировать назначенную ему роль.
• Охват данных: вся компания, своя команда (прямая и косвенная; по линии подчинения в оргструктуре) или только своя запись.
• Разделение чувствительных данных: зарплата и расчёт зарплаты, а также документы особой категории, например медицинские заключения и справки о судимости, открываются отдельными правами. Идентификационный номер не показывается в списках и тем, у кого нет права; показ чужого идентификационного номера в открытом виде фиксируется в журнале.
• Правило собственной записи: никто, кроме владельца компании, не может вносить в свою карточку движения по отпускам, записи PDKS, документы или зарплату; исключение — собственные заявки и отметки прихода и ухода.
• Двухфакторная аутентификация: одноразовый код на основе времени (TOTP) из приложения-аутентификатора и коды восстановления; каждый пользователь настраивает её сам. Владелец компании может сделать её обязательной для всех пользователей компании; выбора по ролям или пользователям нет, и менять настройку может только владелец. Владелец компании и системный администратор могут сбросить настройку пользователя согласно иерархии ролей; сеансы этого пользователя закрываются.
• Безопасность паролей: пароли хранятся в виде хешей по алгоритму argon2id, а не в открытом виде.
• Жизненный цикл учётной записи: сотрудника приглашают в Sora İK из его карточки в процессе приёма; при уходе учётная запись закрывается вручную — при оформлении увольнения или в любой нужный момент. Автоматическое закрытие учётной записи в конце дня увольнения скоро появится.
• Журнал аудита: создание, изменение и удаление записей (с названиями изменённых полей), просмотр идентификационного номера, истории зарплаты и деталей расчёта зарплаты, скачивание документов, выгрузки и изменения специальных ролей; изменения готовых ролей на этом экране не отображаются. Журнал фильтруется по дате, пользователю, действию и типу записи и скачивается в CSV; через интерфейс его нельзя отредактировать или удалить.
• Журнал входов: успешные и неудачные попытки входа фиксируются отдельно; владелец компании и системный администратор видят последние 90 дней по компании.

Просмотр и закрытие открытых сеансов, отчёт о доступе, отвечающий на вопрос «Кто может видеть зарплату этого сотрудника?», охват данных по отделу или площадке, настройка прав на уровне полей и хранение прежнего и нового значения в журнале аудита: сейчас этого нет, они скоро появятся.

Как это работает?

Структура прав создаётся при первоначальной настройке в пять шагов, а затем обновляется вместе с движением персонала.

1. Проверьте роли. Первая учётная запись, созданная при регистрации компании, получает роль владельца компании; операции с пакетом (цены) выполняются под этой ролью. Изучите права готовых ролей по умолчанию в таблице на экране настроек.
2. Пригласите пользователей. Пригласите нужного человека из карточки сотрудника, указав его роль. Приглашения отправляют владелец компании и системный администратор; после появления в компании первой записи о зарплате или первого расчёта зарплаты нужно также право на чтение расчёта зарплаты, а если в карточке есть документы особой категории, — право на их просмотр (у системного администратора нет ни того, ни другого; в этом случае приглашение отправляет владелец компании). Роль системного администратора выдаёт только владелец компании. Роль HR тоже выдаёт только владелец компании.
3. При необходимости создайте специальную роль. Если готовые роли не подходят, создайте специальную роль, выбрав права, и назначьте её пользователям.
4. Сделайте двухфакторную аутентификацию обязательной. Владелец компании включает эту настройку для всех пользователей компании; даже если вы не делаете её обязательной, пользователи с доступом к чувствительным данным должны настроить её в своих учётных записях.
5. Регулярно проверяйте журналы. Периодически просматривайте журнал аудита; закрывайте неиспользуемые роли и учётные записи.

Почему ролевой доступ важен с точки зрения KVKK?

KVKK (Закон Турции № 6698 о защите персональных данных) требует от ответственного за обработку данных (veri sorumlusu) принимать надлежащие технические и организационные меры для предотвращения незаконного доступа к персональным данным; ограничение круга лиц с доступом к данным сотрудников и контроль обращений — ключевые элементы таких мер. Ролевой доступ и журнал аудита помогают применять эти меры и показывать, что вы их применяете; достаточность мер определяет ваша компания как ответственный за обработку данных.

Руководства по безопасности данных, опубликованные Управлением по защите персональных данных (Kişisel Verileri Koruma Kurumu), доступны на странице руководств Управления. Хранение и уничтожение данных, записи о явном согласии и обращения сотрудников как субъектов персональных данных войдут в модуль Управление соответствием KVKK, который скоро появится. Сведения об инфраструктуре — шифрование, резервное копирование, местоположение серверов и привлечённые обработчики данных — приведены на странице безопасности, а платформенные модули, которые скоро появятся, например центр уведомлений и открытый API, — на странице категории «Платформа и интеграции».