Четвёртая часть задала порядок миграции: основные справочные данные раньше операций, параллельная работа с объявленной датой окончания, а не открытой, и единственный признак успеха: кто-то перестаёт открывать старый файл, хотя ему об этом не говорили. Теперь данные живут в своём новом доме.

А вместе с ними появляется вопрос, которого не существовало в мире файлов, и не потому, что его кто-то игнорировал, а потому, что файл не способен его задать: кто что видит? Это не вопрос безопасности для ИТ-отдела. Это операционный вопрос для вас, потому что ответ на него определяет, что каждый сотрудник может узнать о компании, о своих коллегах и о ваших клиентах.

Файл знает только один ответ: открыт или закрыт

Электронная таблица прекрасно подходит для многих задач, но права доступа к ним не относятся. У неё один уровень: кто до неё добрался, тот видит её целиком. Нет столбца, который появляется для одного человека и скрыт от другого, нет строки, которую бухгалтер может читать, а торговый представитель нет. Даже пароль, который иногда ставят на файл, не меняет уравнения, потому что он охраняет дверь, а не содержимое: стоит пройти через дверь, и всё за ней видно.

Ещё важнее то, что копии размножаются. Вы отправляете файл коллеге, чтобы он проверил одну строку, и теперь полная копия навсегда остаётся на его компьютере. Он пересылает её тому, кто ему помогает, файл путешествует по электронной почте, в чатах и на флешке и в итоге оказывается на ноутбуке сотрудника, уволившегося год назад. Вы никому не давали постоянного доступа, но копия даёт его за вас, и, однажды выйдя наружу, её уже не отозвать.

Три вещи, которые раскрываются каждый день, и никто этого не замечает

Спросите владельца, что раскрывают его файлы, и он обычно подумает о цифрах продаж. Три другие вещи перемещаются тише и значат больше:

  • Зарплаты. Файл с зарплатами обычно начинается как таблица у бухгалтера, затем он нужен отделу кадров, затем его проверяет тот, кто выполняет банковский перевод. Три копии, и в каждой все зарплаты компании. Для утечки не нужен злой умысел: достаточно, чтобы кто-то открыл файл на экране, который может прочитать проходящий мимо коллега. Последствия для команды тяжелее любых финансовых потерь, потому что сравнение зарплат разрушает рабочие отношения так, что они уже не возвращаются в прежнее состояние.
  • Маржа и специальные цены. В той же таблице продаж обычно есть себестоимость, допустимый диапазон скидок или специальная цена для крупного клиента. Торговому представителю нужна цена, чтобы продавать; себестоимость ему не нужна. Когда он видит их вместе, его поведение на переговорах меняется, а ваши специальные цены попадают на рынок вместе с первым сотрудником, перешедшим к конкуренту.
  • Данные клиентов. Имена, номера мобильных телефонов, адреса, а иногда и изображения удостоверений личности и регистрационных документов. Это не только информация компании; это персональные данные людей, которые вам их доверили. Кроме того, именно этот пункт несёт обязанность, установленную законом, а не внутреннюю норму, и мы скоро к нему вернёмся.

Обратите внимание: ни одна из трёх вещей не раскрывается по решению. Никто не решал, что представитель должен видеть себестоимость: столбец просто оказался в файле, который был ему нужен по другой причине. В этом и состоит проблема: в мире файлов раскрытие является состоянием по умолчанию, а исключение требует сознательного усилия, которого под ежедневным давлением никто не прилагает.

Первое, что даёт система, это не более красивый экран

Когда вы переходите на систему, первое настоящее различие не во внешнем виде и не в скорости. Оно в том, что вопрос становится возможно задать и на него можно ответить: кто что видит? Практических различий четыре:

  • Право привязывается к роли, а не к человеку. Вы один раз определяете, что может видеть роль продаж, и каждый, кто занимает эту роль, наследует это право. Новый сотрудник не требует продумывать всё заново, а у сотрудника, переходящего между отделами, видимость меняется вместе с ролью, а не тогда, когда кто-нибудь случайно об этом вспомнит.
  • Право доходит до уровня поля. Представитель может видеть полную карточку клиента и историю его заказов, не видя маржу в той же строке. В файле это невозможно, а в хорошо спроектированной системе это обычное дело.
  • Есть запись о том, кто просматривал и кто редактировал. Этот журнал не столько инструмент наблюдения за сотрудниками, сколько инструмент, который прекращает споры. Когда число меняется и все спрашивают, кто его изменил и когда, система отвечает за секунду, вместо того чтобы вопрос превратился во взаимные обвинения без источника, который мог бы их разрешить. Именно это и описывал четвёртый сигнал в первой части этой серии.
  • Доступ отзывается мгновенно. Когда сотрудник уходит, отключение его учётной записи прекращает его доступ сразу и полностью. Копии, которые он за годы работы взял из ваших файлов, остаются у него, и нет способа их вернуть или даже узнать, сколько их.

Юридическая сторона: данные клиентов не вопрос порядка

Данные клиентов отличаются от двух других пунктов, потому что цена небрежного обращения с ними не внутреннее неудобство, а ответственность по закону. Закон о защите персональных данных, надзор за которым осуществляет Саудовское управление по данным и искусственному интеллекту (SDAIA), распространяется на любую организацию, обрабатывающую персональные данные людей на территории Королевства, без каких-либо исключений в зависимости от размера. Он возлагает на организацию ответственность за защиту этих данных, за сбор не большего их объёма, чем требует цель, и за уведомление об утечке, которая им угрожает.

Поставьте эту обязанность рядом с повседневной практикой: файл с сотнями карточек клиентов отправлен через мессенджер трём сотрудникам и автоматически сохранён на их личных телефонах. В такой ситуации вы не знаете, где существуют копии ваших данных, кто может до них добраться и как их удалить, если клиент попросит. Разница между этим и системой, которая хранит данные в одном месте при определённых правах доступа, не вопрос изящества: это разница между возможностью соблюдать закон и её отсутствием.

Мы подробнее изложили эти обязанности в нашем практическом руководстве по Закону о защите персональных данных, а самый распространённый случай, когда данные клиентов перемещаются внутри переписки, разобрали в статье ваши разговоры с клиентами и закон. Более широкую картину защиты для небольшой компании смотрите в нашем руководстве по кибербезопасности для малого и среднего бизнеса.

Взгляд Origami

Когда мы создаём индивидуальную систему для компании, которая работала на таблицах, матрица прав доступа относится к этапу проектирования, а не к передаче системы. Причина практическая: право доступа не настройка, которую добавляют в конце, а решение, определяющее, как делятся экраны, как строятся отчёты и где чувствительное поле отделяется от обычного. Если его отложить, получится система, которую потом нельзя ограничить, не перестраивая её части.

Кроме того, мы строим эту матрицу от ролей, на которых компания реально работает сегодня, а не от теоретического списка, потому что право, спроектированное в отрыве от операционной реальности, блокирует работу, и команда обходит его самым быстрым доступным способом, обычно выгружая данные в файл. В этот момент вы возвращаетесь ровно туда, откуда начали, заплатив за систему, которой никто не пользуется. Эта логика проходит через всё, что мы создаём в рамках наших услуг: контроль, который не учитывает, как на самом деле делается работа, не продержится.

Как настроить права доступа, не парализуя работу

Типичная ошибка при первом запуске это чрезмерная строгость: всё закрыто и открывается по запросу, поэтому команда проводит неделю в ожидании согласований и учится недолюбливать систему раньше, чем учится ею пользоваться. Следующий порядок помогает этого избежать:

  • Начинайте с ролей, а не с имён. Запишите список ролей, которые реально есть в вашей компании: бухгалтер, торговый представитель, кладовщик, руководитель филиала. Обычно менее десяти ролей охватывают всех сотрудников, а списком ролей управлять гораздо проще, чем списком людей, который меняется каждый месяц.
  • Сначала назовите чувствительные поля. Зарплата, себестоимость, маржа, допустимая скидка, документы, удостоверяющие личность клиентов. В любой компании это короткий список, и чёткое решение по каждому пункту снимает большую часть проблемы.
  • Отделите просмотр от редактирования. Не каждому, кому нужно видеть число, нужно его менять. Чтение без редактирования самое безопасное право и меньше всего мешает работе, и в большинстве случаев его достаточно.
  • Сделайте выгрузку отдельным правом. О нём всегда забывают: любой, кто может выгрузить данные в файл, может одним щелчком обойти всё перечисленное выше. Решите, у кого будет это право, и сделайте так, чтобы каждая выгрузка появлялась в журнале, как любое другое действие.
  • Пересматривайте список при каждом изменении в команде. Новый сотрудник, перевод между отделами или завершение отношений. Периодический пересмотр раз в несколько месяцев обычно выявляет учётные записи ушедших людей и права, оставшиеся от временной задачи, которая уже завершилась.

Главное правило простое: каждый видит то, что ему нужно для работы, и всё, что ему для неё нужно. Первая половина защищает вас; вторая защищает систему от превращения в препятствие, которое команда обходит.

Что дальше

Мы разобрались, кто что видит, и остаётся вопрос, что именно там видеть. Следующая часть посвящена отчётам, которые вы вручную составляли в конце каждого месяца, и тому, почему отчёт внутри системы становится картиной текущего момента, а не упражнением по сбору данных, которое заканчивается, когда описываемый месяц уже прошёл. Затем мы завершим серию первыми тридцатью днями после перехода и тем, что в них обычно ломается.

Источники