نظرة عامة على البرنامج
مقدمة:
يضعف أمن أنظمة تخطيط موارد المؤسسات وفصل المهام بصمت: تتراكم في الأدوار رموز معاملات متعارضة، وتبقى هويات الطوارئ مفتوحة أسابيع، وتتغير بيانات حسابات الموردين البنكية دون معتمد ثان، ويمر موظفون وهميون عبر دورات الرواتب الآلية. تمكن هذه الدورة من كور كونسبت موظفي أمن الأنظمة والتدقيق والأنظمة المالية من تصميم مفاهيم الصلاحيات، وبناء قواعد تعارض المهام، وحوكمة وصول الطوارئ، وإحكام البيانات الرئيسية، ورصد أنماط الاحتيال في دورات الشراء حتى السداد والبيع حتى التحصيل والرواتب. ويخرج المشاركون بمصفوفة مخاطر فصل المهام وخطة مراجعة الصلاحيات لنظام ERP حالة.
أهداف الدورة:
- تصميم مفهوم صلاحيات محايد تجاه المورد لنظام ERP بأدوار مفردة ومركبة ومشتقة مرتبطة بملكية العمليات
- بناء قواعد فصل المهام وضبطها بحيث تربط إجراءات الاعتماد والحيازة والتسجيل والمطابقة المتعارضة بصلاحيات النظام
- حوكمة الوصول الحساس ووصول الطوارئ عبر طلبات موثقة وهويات محددة المدة وسجلات نشاط تتم مراجعتها
- تشغيل منح صلاحيات المستخدمين واعتماد ملاك الأدوار وحملات إعادة المصادقة الدورية على الوصول مع حفظ الأدلة
- رصد مؤشرات الاحتيال في معاملات الشراء حتى السداد والبيع حتى التحصيل والرواتب باستخدام جداول النظام ووثائق التغيير واستعلامات التحليل
- معالجة تعارضات فصل المهام بإعادة تصميم الأدوار أو بضوابط تخفيف موثقة تتابع في سجل المعالجة
الفئة المستهدفة:
- الموظفون الذين يديرون أدوار نظام ERP وملفات الصلاحيات وسجلات المستخدمين الرئيسية
- الموظفون المسؤولون عن قواعد فصل المهام ومعالجة التعارضات في العمليات المالية وعمليات الإمداد
- مدققو تقنية المعلومات الذين يفحصون صلاحيات النظام ووثائق التغيير واستخدام وصول الطوارئ
- موظفو الرقابة الداخلية الذين يصممون ضوابط التخفيف على معاملات الأنظمة المالية ويختبرونها
- محللو الأنظمة المالية الذين يحدثون البيانات الرئيسية للموردين والعملاء والموظفين والحسابات البنكية
محاور الدورة:
اليوم 1: البنية الأمنية لنظام ERP ومشكلة تعارض المهام
- طبقات أمن نظام ERP: خادم التطبيقات وقاعدة البيانات ونظام التشغيل ومسارات وصول العملاء
- كائنات الصلاحيات ورموز المعاملات والقوائم وحقول المستوى التنظيمي
- نموذج الوظائف المتعارضة: الاعتماد والحيازة والتسجيل والمطابقة
- تشريح تعارض المهام: إنشاء مورد مع السداد له وتوليفات خطرة مماثلة
- خط الأساس الحالي للوصول إلى النظام: أعداد المستخدمين والهويات العامة وملفات المستخدم الخارق
اليوم 2: تصميم الأدوار ومفاهيم الصلاحيات وقواعد فصل المهام
- نماذج التحكم في الوصول القائم على الأدوار والقائم على السمات لأدوار نظام ERP
- بنية الأدوار المفردة والمركبة والمشتقة مع قواعد التسمية
- دليل مخاطر العمليات لدورات الشراء حتى السداد والبيع حتى التحصيل والتسجيل حتى التقرير والتوظيف حتى نهاية الخدمة
- بناء مصفوفة تعارض المهام: الوظائف والإجراءات والصلاحيات وتصنيفات المخاطر
- ضبط قواعد التعارض: مرشحات المستوى التنظيمي وإزالة الإنذارات الكاذبة وقوائم الإجراءات الحرجة
اليوم 3: دورة حياة الوصول وهويات الطوارئ وضوابط البيانات الرئيسية
- مسار منح صلاحيات المستخدم: الطلب واعتماد مالك الدور ومحاكاة التعارض والإسناد
- حملات إعادة المصادقة الدورية على وصول المستخدمين وأدلة إزالة صلاحيات المغادرين
- وصول الطوارئ وهويات الإطفاء: هويات محددة المدة ورموز الأسباب ومراجعة السجلات
- تسجيل وثائق التغيير وجداول الإعدادات لإعدادات العميل وفترات الترحيل
- ضوابط البيانات الرئيسية لبيانات الموردين البنكية وحدود ائتمان العملاء وسجلات أجور الموظفين
اليوم 4: مؤشرات الاحتيال في نظام ERP والمراقبة المستمرة للضوابط والمعالجة
- مؤشرات الاحتيال في الشراء حتى السداد: الفواتير المكررة وتجزئة أوامر الشراء والموردون لمرة واحدة
- مؤشرات الاحتيال في البيع حتى التحصيل: إساءة استخدام إشعارات الدائن وتجاوز الأسعار والنقد غير المخصص
- مؤشرات الاحتيال في الرواتب: الموظفون الوهميون وتعديلات الأجور بأثر رجعي والحسابات البنكية المشتركة
- قواعد المراقبة المستمرة للضوابط على تعارضات الوصول وإعدادات التهيئة والمعاملات
- مكتبة ضوابط التخفيف وأدلة المراجعة التعويضية وسجل معالجة تعارضات فصل المهام
اليوم 5: نظام ERP حالة: مصفوفة مخاطر فصل المهام وخطة مراجعة الصلاحيات
- موجز الحالة: مستخرج أدوار شركة توزيع وتحليل تقرير التعارضات
- تمرين فرز التعارضات: قرارات إعادة تصميم الدور مقابل التخفيف لكل مستخدم
- فحص سجل هويات الطوارئ وتقرير تغييرات البيانات الرئيسية للموردين بحثا عن أنماط مريبة
- تجميع مصفوفة مخاطر فصل المهام وخطة المراجعة الفصلية للصلاحيات
- الدفاع عن مصفوفة مخاطر فصل المهام وخطة مراجعة الصلاحيات أمام لجنة من ملاك الضوابط
المهارات التي ستكتسبها:
- تصميم مفهوم صلاحيات نظام ERP
- هندسة قواعد فصل المهام
- حوكمة وصول الطوارئ
- إعادة المصادقة على وصول المستخدمين
- حماية البيانات الرئيسية في النظام
- رصد أنماط الاحتيال في المعاملات
- تصميم المراقبة المستمرة للضوابط
- توثيق ضوابط التخفيف
لماذا تحضر هذه الدورة:
- العودة بمصفوفة مخاطر فصل المهام وخطة مراجعة الصلاحيات مبنية على نظام ERP حالة وقابلة للتكييف مع نظامك
- خفض عدد التعارضات الكاذبة في تقارير فصل المهام ليتعامل ملاك الضوابط مع ما يستحق فعلا
- سد الثغرات التي تسمح بمرور هويات الطوارئ وتغييرات الحسابات البنكية للموردين وتعديلات الرواتب دون مراجعة
- مقارنة ممارسات تصميم الأدوار ورصد الاحتيال مع زملاء من الأمن والتدقيق والأنظمة المالية في قطاعات متعددة
الخاتمة:
تعتمد حماية نظام تخطيط موارد المؤسسات من سوء الاستخدام على أدوار تفصل المهام المتعارضة، ووصول يراجع بانتظام، وبيانات رئيسية لا تتغير دون أن يرصد التغيير. تنتقل الدورة من طبقات الأمن وتشريح التعارض، إلى بنية الأدوار وقواعد فصل المهام، ثم إلى منح الصلاحيات وإعادة المصادقة ووصول الطوارئ وضوابط البيانات الرئيسية، وصولا إلى مؤشرات الاحتيال والمراقبة المستمرة للضوابط والمعالجة. ويطبق اليوم الأخير المنهج على نظام حالة، ليخرج المشاركون بمصفوفة مخاطر فصل المهام وخطة مراجعة الصلاحيات.