Plongée approfondie dans les rôles et les permissions de NetSuite

Une compréhension claire et confiante des rôles des utilisateurs est essentielle pour gérer NetSuite avec succès. Que vous mettiez en place un nouveau compte, que vous nettoyiez un ancien ou que vous établissiez une séparation des tâches pour la conformité SOX, vous devez maîtriser quelques fondamentaux.

Comprendre les rôles des utilisateurs

NetSuite dispose d'un système de contrôle d'accès basé sur les rôles. Cela signifie que chaque utilisateur a besoin d'un rôle qui lui est attribué pour obtenir l'accès, et ce rôle détermine ce qu'ils peuvent voir et faire dans le système.

Il y a 636 permissions distinctes régissant 4923 tâches, recherches et enregistrements séparés. De plus, chaque rôle peut avoir une vue de liste ou un formulaire préféré ou requis pour chaque type d'enregistrement et de transaction. Et par-dessus tout, il y a tous les paramètres contextuels qui déterminent quelles données un utilisateur voit de différents segments et filiales. Selon la nature de votre compte, cela pourrait représenter des centaines de milliers de combinaisons potentielles.

Cependant, la réalité est rarement aussi complexe. En termes simples, les rôles sont constitués de trois éléments :

• Permissions : donnez aux utilisateurs le droit de voir les données et d'interagir avec.
• Restrictions : limitez l'utilisation d'une autorisation aux données concernant votre filiale, département ou classe.
• Interfaces : telles que les formulaires, les vues en liste et les tableaux de bord, ainsi que le thème de navigation général connu sous le nom de ‘centre’, définissent comment les utilisateurs voient les choses.

Comprendre les permissions des utilisateurs

Chaque rôle d'utilisateur (à l'exception de l'Administrateur) nécessite au moins une permission. Essentiellement, une permission est un ensemble de droits qui détermine ce qu'un utilisateur peut et ne peut pas faire dans le système.

La plupart des permissions ont également une gamme de niveaux de permission, de Afficher à Complet. Elles sont :

• Affichage: L'utilisateur peut voir les données mais ne peut pas les modifier
• Créer: L'utilisateur peut AUSSI créer un enregistrement ou une transaction, mais ne peut pas le modifier
• Modifier: L'utilisateur peut AUSSI changer un enregistrement ou une transaction après sa création
• Complet: L'utilisateur peut AUSSI SUPPRIMER un enregistrement ou une transaction

Soyez extrêmement prudent lorsque vous accordez des niveaux de permission Complet à presque n'importe qui, pour presque n'importe quoi. Presque aucun rôle opérationnel ne devrait avoir un ensemble de permissions transactionnelles défini sur Complet.

Quatre questions fréquentes sur les autorisations des utilisateurs

Quelles permissions le rôle Admin possède-t-il ?

Les administrateurs disposent de toutes les autorisations ET de la capacité d'accorder l'accès à n'importe qui ET de la capacité de supprimer votre compte entier. Vous devriez donc être très prudent quant à qui vous donnez l'accès Admin. Une chose importante à retenir est que presque toutes les capacités incluses dans le rôle d'Administrateur sont disponibles en tant que permissions séparées. La meilleure façon de penser à une permission est comme un raccourci qui permet aux Administrateurs de donner à un rôle un groupe de capacités en une seule étape.

Qu'est-ce qu'une tâche ?

De nombreuses permissions sont décrites en relation avec une tâche. Cette relation est l'une des principales sources de confusion concernant les permissions. Alors, qu'est-ce qu'une tâche ?

Une tâche est essentiellement un chemin pour faire quelque chose dans NetSuite. Elle est toujours représentée par un ou plusieurs éléments d'interface. Ces éléments peuvent être quelque chose dans la navigation ou dans une interface d'enregistrement ou de transaction.

Par exemple, la permission d'approbation de commande de vente active et désactive la tâche d'approbation de commande de vente. Sans cette permission, un utilisateur ne peut pas approuver une commande de vente.

Comment les permissions affectent-elles la navigation ?

Le niveau de permission « Afficher » contrôle la navigation et, dans certains cas, la capacité d'ajouter un rappel à un tableau de bord. Les autres niveaux contrôlent la capacité de créer, modifier ou supprimer des données dans des enregistrements, des transactions ou des paramètres, ce qui à son tour peut changer la fonctionnalité d'une interface en ajoutant un bouton ou en activant un statut d'approbation.

Cela est vrai non seulement pour les données et les transactions, mais aussi pour toutes les permissions de configuration mentionnées ci-dessus. De plus, cela n'a pas vraiment d'importance que la capacité soit appelée une tâche ou un enregistrement — la relation fonctionnelle avec la permission est la même.

Quelles sont les différentes catégories pour les rôles et les permissions NetSuite ?

• Transactions : Ces autorisations contrôlent l'accès aux enregistrements de transactions NetSuite et la capacité de les approuver. Il est important d'attribuer des autorisations limitées en fonction de rôles spécifiques pour garantir une ségrégation adéquate des tâches. Réfléchissez si certains rôles nécessitent des autorisations pour configurer les workflows SuiteFlow liés aux transactions.
• Rapports : Ces autorisations déterminent l'accès aux rapports financiers plus larges au sein de NetSuite. Les rôles impliqués dans la création de rapports financiers ont généralement la plupart de ces autorisations qui leur sont attribuées.
• Listes : Cette catégorie couvre l'accès à tous les enregistrements non transactionnels dans NetSuite, tels que les clients, les fournisseurs et les employés. Gardez à l'esprit que toutes les permissions dans cette catégorie peuvent ne pas être nommées de manière intuitive, donc examinez attentivement chaque permission pour comprendre son but. Certaines permissions administratives, comme les « Mises à jour en masse », devraient être restreintes à un petit sous-ensemble d'utilisateurs.
• Configuration : Ces autorisations sont principalement de nature administrative. Cependant, certaines autorisations dans cette catégorie peuvent être pertinentes pour un éventail plus large de rôles. Par exemple, l'autorisation « Importer un fichier CSV » permet aux utilisateurs finaux de traiter leurs propres importations CSV pour les enregistrements auxquels ils ont accès. De plus, l'autorisation « SAML Single Sign-on » est essentielle pour les rôles utilisant l'authentification par connexion unique.
• Enregistrement personnalisé : Cette catégorie concerne les SuiteApps ou les enregistrements personnalisés au sein de NetSuite. L'accès à des enregistrements spécifiques ou à des groupes d'enregistrements peut être accordé aux utilisateurs en fonction de leurs rôles. Lors de la mise en œuvre d'une nouvelle SuiteApp, ces permissions sont souvent ajustées pour permettre aux utilisateurs d'interagir avec la solution selon les besoins.

Surveillance du comportement des administrateurs

Dans NetSuite, le rôle d'Administrateur confère aux utilisateurs de larges pouvoirs transactionnels — et avec cela vient le potentiel de fraude. Dans un monde idéal, aucun utilisateur ne serait capable de créer, modifier et supprimer des transactions dans un compte de production.

La surveillance et la révision régulières de tous les changements transactionnels effectués par les utilisateurs disposant de privilèges d'administration constituent une partie clé de la préparation à la conformité SOX — sans parler d'une meilleure pratique pour rester en sécurité. Cependant, détecter ces changements est plus difficile que vous ne pourriez l'imaginer. En conséquence, même si vous avez entièrement confiance en votre équipe, être prêt pour un audit peut représenter un défi.

La racine du problème est que dans NetSuite, certains scripts et workflows s'exécutent en tant qu'administrateur, même s'ils ne sont pas déclenchés par un utilisateur disposant de privilèges d'admin. Le résultat est des centaines, voire des milliers de faux positifs lorsque vous effectuez une recherche de notes système pour une activité transactionnelle.

Nettoyage des rôles inutilisés

La gestion des accès dans NetSuite est bien plus difficile lorsque vous avez des rôles inutilisés dans votre système. Comme d'autres formes de dette technique, les rôles utilisés rendent chaque décision concernant le contrôle d'accès plus compliquée. Et plus vous retardez un projet de nettoyage, plus le problème s'aggrave.

Deux types de rôles sont candidats pour le nettoyage :

• Rôles non attribués qui ne sont attribués à personne
• Rôles inutilisés qui sont attribués mais pas utilisés

Pour trouver les rôles non attribués, il suffit d'effectuer une recherche dans le dossier de l'employé et de grouper les résultats par rôle. Tout rôle d'utilisateur qui n'est pas sur la liste n'est attribué à personne.

Pour trouver les rôles inutilisés, exécutez une recherche dans le Login Audit Trail (Setup>Manage Users>View User Login Audit Trail) pour tous les logins des six derniers mois. Si le rôle n'est pas sur cette liste, il n'est pas utilisé.

Dans un compte très sollicité, ces recherches peuvent expirer. Pour contourner le problème, limitez votre recherche uniquement aux rôles qui vous préoccupent.

Pourquoi c'est plus facile avec Netwrix Platform Governance (anciennement Netwrix Strongpoint)

Netwrix Platform Governance (anciennement Netwrix Strongpoint) est fourni avec des recherches prédéfinies pour identifier les rôles inutilisés et non attribués dans NetSuite.

Netwrix Platform Governance offre un niveau supplémentaire de sécurité et de tranquillité d'esprit, en stockant automatiquement les rôles supprimés dans une archive permanente qui peut être restaurée à tout moment.

Comme nous l'avons mentionné ci-dessus, Netwrix Platform Governance est la seule solution qui trouve les scripts qui s'exécutent en tant que rôle spécifique.

Examen de l'utilisation des permissions

Chaque fois qu'un enregistrement est modifié, NetSuite crée une note système qui décrit ce qui a été changé, quand cela a changé, par qui et par quel rôle. En utilisant cela, nous pouvons remonter le fil pour découvrir quelles permissions sont utilisées pour modifier les données.

Si l'enregistrement contient des notes système et qu'il n'y a pas de notes système concernant les utilisateurs qui créent ou modifient l'enregistrement pertinent, la permission n'est pas activement utilisée (c'est-à-dire qu'elle n'est pas utilisée pour saisir ou modifier des données/paramètres).

Toutefois, une autorisation qui n'est pas activement utilisée peut inclure des éléments de navigation qui ne sont pas capturés dans les notes du système. Donc, si vous utilisez cette méthode pour nettoyer les permissions NetSuite, tout candidat identifié devrait être réglé sur Affichage — pas supprimé — pour éviter des problèmes de navigation. 

Enfin, si vous constatez que vous devez définir une permission pour Voir (ou pour retirer une permission) d'un groupe de rôles personnalisés, vous pouvez effectuer cette modification en utilisant une mise à jour en masse. Cependant, soyez TRÈS PRUDENT pour vous assurer que vous sélectionnez les bons rôles.

Rapports clés de Netwrix Platform Governance :

Netwrix Platform Governance est livré avec trois rapports prêts à l'emploi pour vous aider à examiner l'utilisation des permissions :

• Activité transactionnelle par rôle : Le rapport ‘Activité transactionnelle par rôle’ couvre toutes les transactions, y compris les transactions personnalisées
• Activité de l'entreprise par rôle : Le rapport ‘Activité de l'entreprise par rôle’ couvre les Leads, Clients, Prospects, Fournisseurs, Partenaires et Autres Entreprises
• Activité d'autres enregistrements par rôle : Le rapport ‘Activité d'autres enregistrements par rôle’ couvre tous les enregistrements et paramètres qui ont des notes système

Appliquer le principe du moindre privilège à NetSuite

Pour garantir la sécurité des données et minimiser le risque d'accès non autorisé, il est crucial d'appliquer le principe du moindre privilège lors de la configuration des privilèges et des rôles des utilisateurs dans NetSuite. En accordant aux utilisateurs les privilèges minimaux nécessaires pour effectuer leurs fonctions, les organisations peuvent réduire le potentiel d'abus et d'actions non autorisées au sein du système.

Le principe du moindre privilège préconise d'accorder aux utilisateurs le niveau de privilège le plus bas nécessaire pour qu'ils puissent exécuter leurs responsabilités professionnelles efficacement. Il décourage la pratique d'attribuer des privilèges ou des rôles excessifs, en particulier pendant les premières étapes d'une organisation où la rapidité et l'agilité sont privilégiées. Accorder des privilèges non nécessaires peut laisser le système vulnérable à des abus et compromettre la sécurité. Un examen régulier des privilèges des utilisateurs est essentiel pour s'assurer qu'ils correspondent aux responsabilités professionnelles actuelles.

Lors de la configuration des privilèges et des rôles des utilisateurs dans NetSuite, il est crucial de respecter le principe du moindre privilège pour maintenir un environnement sécurisé. Voici quelques considérations clés :

1. Permissions basées sur les rôles : Alignez les permissions pour des rôles similaires afin d'assurer la cohérence et de faciliter la maintenance continue. En regroupant les utilisateurs ayant des fonctions similaires sous les rôles appropriés, vous pouvez simplifier l'attribution des permissions et réduire le risque d'accorder un accès excessif.
2. Création de rôles réfléchie : Lors de la création de nouveaux rôles, évaluez soigneusement les permissions requises pour chaque rôle. Prenez en compte le principe du moindre privilège et attribuez uniquement les privilèges nécessaires en fonction des fonctions spécifiques des utilisateurs au sein de ces rôles.
3. Maintenance continue : Révisez et mettez à jour régulièrement les privilèges et les rôles des utilisateurs à mesure que les responsabilités professionnelles évoluent. Cette pratique aide à garantir que les utilisateurs disposent des privilèges nécessaires pour effectuer leurs tâches efficacement sans accès inutile à des données sensibles ou à des fonctions du système.
4. Migration contrôlée des rôles d'utilisateur : Lors de migrations de rôles d'utilisateur à grande échelle au sein de NetSuite, envisagez des alternatives à la migration manuelle. Évaluez les options qui permettent des transitions de rôles efficaces et sécurisées tout en minimisant le potentiel d'erreurs ou d'escalades de privilèges non intentionnelles.

Risques des processus d'affaires : Assurer les permissions NetSuite correctes

L'attribution des autorisations de rôle et des niveaux d'autorisation dans NetSuite est cruciale pour contrôler l'accès des utilisateurs et maintenir la sécurité du système. Cependant, accorder des autorisations incorrectes ou des niveaux inappropriés peut introduire des risques dans les processus commerciaux. Par exemple, des permissions excessives sans contrôles adéquats peuvent conduire à la fraude ou à des erreurs, tandis que des autorisations inadéquates peuvent entraver des tâches critiques comme les processus de clôture financière. En évaluant soigneusement et en alignant les autorisations de rôle avec le principe du moindre privilège, les organisations peuvent atténuer les risques et assurer un environnement NetSuite sécurisé.

NetSuite propose différents types de restrictions qui peuvent être définies au sein des rôles pour contrôler l'accès à différents types d'enregistrements. Cela inclut les Restrictions des Employés, Restrictions des Départements, Restrictions des Classes, Restrictions des Lieux, et Restrictions des Filiales. Chaque restriction limite l'accès à des types d'enregistrements spécifiques basés sur certaines valeurs de champs, assurant que les utilisateurs avec des rôles assignés ne peuvent voir ou modifier que les enregistrements pertinents.

Toutefois, lorsque les permissions et les niveaux de permission ne sont pas attribués correctement, il existe des risques potentiels pour les processus commerciaux. Accorder des permissions excessives, telles que permettre à un rôle d'utilisateur de créer des enregistrements de fournisseurs, des factures de fournisseurs et des paiements de fournisseurs sans contrôles appropriés, peut introduire des risques significatifs pour l'organisation. Il est crucial d'évaluer et de mettre en œuvre les mesures d'atténuation des risques nécessaires pour éviter la fraude potentielle ou les erreurs.

Gestion de la séparation des tâches dans NetSuite

La séparation des tâches est le concept selon lequel la même personne ne devrait pas pouvoir effectuer des étapes consécutives sur la même chaîne de transactions. Par exemple, une personne qui pourrait émettre des chèques et également équilibrer le compte bancaire pourrait dissimuler ses traces dans une fraude.

La ségrégation des tâches est évidemment une grande préoccupation lors de l'examen des rôles et des permissions NetSuite. C'est une partie cruciale de la conformité SOX, et c'est également de plus en plus demandé dans les entreprises privées.

La pratique standard pour maintenir la séparation des fonctions consiste à diviser les responsabilités entre différentes personnes ayant différents rôles. Elle peut également être obtenue en ajoutant une étape de contrôle, telle qu'une revue ou une approbation secondaire, sur une partie d'une transaction.

La plus grande erreur que font les entreprises lors de la mise en œuvre de SoD est qu'elles ne nettoient pas d'abord leurs rôles d'utilisateur. La deuxième plus grande erreur est qu'elles se compliquent trop la vie à nettoyer leurs rôles. Avec cela à l'esprit, nous pouvons tracer un chemin beaucoup plus simple pour mettre en œuvre SoD :

1. Trouvez et désactivez tous les rôles inutilisés et non attribués
2. Trouvez et supprimez toutes les attributions de rôles inutilisées
3. Vérifiez les conflits de séparation des devoirs (SoD) au sein des rôles en utilisant la bibliothèque de règles de Netwrix Platform Governance
4. Vérifiez si les permissions conflictuelles sont activement utilisées ; si ce n'est pas le cas, réglez-les sur « Affichage » pour résoudre le conflit.
5. Résolvez les conflits restants en construisant des contrôles intelligents à l'aide de l'Agent Netwrix Platform Governance.
6. Vérifiez les conflits de rôles multiples et résolvez-les à l'aide d'Agent.

La ségrégation des tâches (SoD) est cruciale pour maintenir des contrôles internes efficaces et prévenir les erreurs et la fraude au sein d'une organisation. Il y a trois domaines principaux qui doivent être séparés : l'autorisation, la conservation sécurisée et la tenue des registres.

La mise en œuvre de la séparation des fonctions atténue le risque de fraude. La fraude survient généralement lorsque trois conditions sont réunies : motif, rationalisation et opportunité. En séparant les tâches clés, telles que la création de fournisseurs et le paiement des factures, la création de clients et l'émission de notes de crédit, ou la création d'écritures comptables et leur approbation, l'opportunité de fraude est réduite.

La ségrégation des tâches est importante car elle empêche une seule personne d'avoir un contrôle excessif et la capacité d'abuser de ce contrôle à des fins non autorisées. Elle aide à protéger contre les activités frauduleuses telles que le détournement de fonds, l'espionnage industriel, les campagnes de vengeance ou la falsification des registres financiers.

Dans le contexte de NetSuite, la gestion des accès et l'application de la ségrégation des tâches peuvent être complexes en raison de la multitude de permissions et de tâches impliquées. NetSuite contient de nombreuses permissions régissant diverses tâches, recherches et enregistrements. Une gestion efficace des accès nécessite du temps et des ressources qui ne sont pas toujours facilement disponibles pour les administrateurs et les équipes financières. De plus, l'automatisation peut introduire des conflits inattendus que les auditeurs peuvent considérer comme des lacunes de contrôle, rendant encore plus difficile le maintien d'une ségrégation adéquate des tâches.

Conformité SOX et contrôles d'accès

Comme mentionné ci-dessus, la séparation des tâches (SoD) — et la révision des accès en général — est une grande partie de la conformité SOX. Les auditeurs veulent voir que les contrôles de prévention de la fraude sont intégrés dans le système et soutenus par des rôles bien définis et des attributions de permissions.

Le problème est que les contrôles d'accès traditionnels de séparation des devoirs (SoD) ne sont que des instantanés dans le temps. Les équipes NetSuite préparent leurs rôles et permissions pour un examen trimestriel, souvent à grands frais. Cette approche nécessite un examen manuel approfondi des changements liés et des heures de travail pour enquêter sur les faux positifs. De plus, cela ne vous donne — ni à vos auditeurs — aucune confiance que les conflits survenant entre les audits seront détectés et traités.

Le résultat est que les coûts d'audit augmentent considérablement, le niveau de stress est élevé et les déficiences matérielles, qui aggravent encore les deux problèmes, sont courantes. De plus, il n'y a pas de protection réelle intégrée dans le système, donc même si vous pouvez vous débattre lors d'un audit, vous n'êtes pas vraiment protégé contre la fraude, ce qui est le but initial de SOX.

L'approche de conformité continue pour la gestion des accès

Netwrix Platform Governance est la seule solution native de SoD pour NetSuite. Basée sur notre approche de 'conformité continue' pour SOX, elle surveille les rôles et les changements de permissions de manière continue, vous offrant une vue prête pour l'audit sur l'accès, à tout moment.

Netwrix Platform Governance peut également bloquer des modifications particulièrement dangereuses, telles que l'octroi de droits Admin sans approbation préalable. Il s'implémente rapidement, vous permettant ainsi de démarrer avec moins de stress.

Des bibliothèques préconstruites de règles et d'outils intégrées au dossier de l'employé vous donnent la capacité de mettre en œuvre rapidement des contrôles de détection, de blocage et d'atténuation qui aident à contrôler l'accès aux rôles et permissions critiques — et à le prouver aux auditeurs.