Sprawdzanie dostępu do danych kadrowych: Dla każdej roli określ uprawnienia do odczytu, zmiany i eksportu danych.; Użyj testowych danych do weryfikacji dostępu jako pracownika, przełożonego i kadr.; Zapisz wyniki sprawdzenia dostępu i zidentyfikuj luki w konfiguracji systemu.
Zdjęcie: Narzędzia Firm

Bezpieczeństwo narzędzi

Sprawdzenie dostępu do danych wrażliwych

Jak sprawdzić role, raporty, eksporty i odebranie dostępu do danych pracowników w systemie kadrowym.

Redakcja Bezpieczeństwa · · 3 minuty minuty czytania

Dostęp do danych kadrowych sprawdź na kontach odpowiadających rzeczywistym rolom. Dla każdej roli zobacz, co można wyszukać, otworzyć, zmienić, wyeksportować i otrzymać w powiadomieniu. Sama obecność ustawienia „uprawnienia” nie pokazuje skutku jego konfiguracji.

Rozróżnij poufne informacje i szczególne kategorie danych

Potoczne określenie „dane wrażliwe” bywa używane dla wszystkich poufnych informacji kadrowych. W przepisach szczególne kategorie danych mają określony zakres; należą do nich między innymi dane dotyczące zdrowia. Wynagrodzenie również wymaga ochrony, lecz nie staje się przez to automatycznie szczególną kategorią danych.

UODO opisał przypadek, w którym byłemu pracownikowi pozostawiono dostęp do profilu płatnika PUE ZUS. Profil umożliwiał dostęp między innymi do informacji o zwolnieniach lekarskich, stanowiących dane dotyczące zdrowia. To przykład ryzyka w usłudze powiązanej z pracą kadr.

Rozróżnienie danych poufnych a szczególnych kategorii danych w kontekście pracy kadrowej

  • Dane poufne (ogólnie)Informacje dotyczące wynagrodzenia, nieobecności, dat zatrudnienia – wymagają ochrony, ale nie są automatycznie danymi szczególnymi.
  • Szczególne kategorie danych (przepisy UODO)Dane dotyczące zdrowia, np. zwolnienia lekarskie, informacje genetyczne, dane o wyznawanych religijach – podlegają dodatkowym ograniczeniom.

Zapisz uprawnienia dla każdej roli

Dla pracownika, przełożonego, kadr, płac, księgowości i administratora określ osobno odczyt, zmianę, eksport i nadawanie dostępu. Uwzględnij zakres osób oraz typy dokumentów. Każdy wyjątek powinien mieć uzasadnienie związane z zadaniem danej roli.

Przełożony może potrzebować informacji o nieobecności w zespole bez wglądu w dokument dotyczący jej przyczyny. Sprawdź także wyszukiwanie, raporty, eksporty i powiadomienia: ukryte pole może nadal pojawić się poza podstawowym ekranem.

Wykonaj próbę na bezpiecznych danych

Na danych testowych zaloguj się kolejno jako pracownik, przełożony, osoba z kadr i administrator. Spróbuj otworzyć kartotekę, dokument, raport, historię zmian i eksport. Zapisz zarówno poprawnie udzielony dostęp, jak i oczekiwaną odmowę. Do demonstracji nie są potrzebne rzeczywiste dane o zdrowiu.

Jeżeli system ma prowadzić elektroniczną dokumentację pracowniczą, należy zadbać między innymi o ochronę przed nieuprawnionym dostępem, identyfikację osób mających dostęp oraz rejestrowanie zmian w dokumentacji i metadanych. Sprawdź możliwości oferowanej konfiguracji i ustawione role; deklaracja dostawcy nie zastępuje takiej próby.

Kontrola dostępu do danych wrażliwych – krok po kroku

  • Zaloguj się jako pracownikSpróbuj otworzyć kartotekę, raport, eksportować dane – sprawdź, co jest dostępne.
  • Zaloguj się jako przełożonySprawdź dostęp do informacji o nieobecności bez szczegółów przyczyny.
  • Zaloguj się jako kadr / płacSprawdź możliwość zmiany danych, eksportu i nadawania uprawnień.
  • Zaloguj się jako administratorZapewnij pełny dostęp do konfiguracji, rejestru zmian i metadanych.
  • Zapisz wyniki testówZaznacz poprawnie udzielone uprawnienia i oczekiwane blokady.

Sprawdź zmianę roli i odejście z firmy

Zasymuluj przeniesienie pracownika do innego zespołu i zakończenie współpracy. Sprawdź dostęp w systemie kadrowym oraz usługach powiązanych. Ustal również, gdzie są przechowywane wcześniej pobrane pliki: odebranie konta nie usuwa już wykonanych eksportów.

Wynik zapisz jako konkretne luki, poprawki i osoby odpowiedzialne. Przed pracą na pełnych danych firma powinna wiedzieć, kto widzi dokumentację i jakie działania może na niej wykonać.

Proces obsługi zmiany roli i odejścia pracownika z firmy

  1. Zasymuluj przeniesienie do innego zespołuSprawdź, czy nowe uprawnienia są prawidłowo przypisane.
  2. Zakończ współpracę pracownikaOdbierz dostęp w systemie kadrowym i usługach powiązanych.
  3. Sprawdź lokalizację pobranych plikówUpewnij się, że eksportowane dane nie pozostają w niekontrolowanym miejscu.
  4. Dokumentuj luki i odpowiedzialnychZapisz znalezione problemy i osoby odpowiadające za ich naprawę.

Więcej z: Bezpieczeństwo narzędzi