Entonces, recapitulando, hasta el momento tenemos.
La matriz de roles y perfiles de la empresa.
El listado de empleados de recursos humanos.
Y los accesos de los usuarios en el sistema.
Con la información del departamento y el puesto de trabajo que tiene cada usuario registrado en el sistema
por igual.
Entonces, luego de obtenida de esta información, la siguiente fase que vamos a realizar es completar
nuestra matriz de validación de Access.
Una matriz de validación de accesos es una plantilla que vamos a utilizar para comprobar si existen
usuarios que tienen accesos otorgados que no están acorde a lo establecido en la matriz de roles y perfiles.
La plantilla sencillamente es esta tabla donde colocamos la información que obtuvimos de la matriz de
roles y perfiles.
Tenemos la matriz de roles y perfiles.
Es esta donde tenemos el departamento.
El puesto.
Y los accesos?
Entonces la plantilla de validacion tenemos, tenemos el departamento, el puesto y los accesos, solo
que esta plantilla le agregamos a este a ese puesto.
Cual es el usuario que lo soporta?
O cual es el usuario que lo tiene?
Es información.
La completamos con el estado de recursos humanos.
En el estado de recursos humanos tenemos las personas con su con su cargo, su puesto de trabajo y con
ese listado podemos completar esta parte.
Aquí esta columna.
Tonce.
Esto corresponde, toda esta parte de acá corresponde a la información, contuvimos de la matriz de
soles y perfiles y del listado de recursos humanos.
Entonces en esta parte de acá en negro, porque es donde vamos a colocar los roles y acceso a las actividades
que tiene este usuario en el sistema para poder hacer una comparación entre la matriz de roles y perfiles
y el sistema.
Aquí en este campo, vamos a colocar si está apropiado el acceso o no, en base a lo que observemos.
Si el usuario tiene los mismos accesos definidos acá en la matriz de roles y perfiles, entonces el
acceso sería apropiado y podemos agregar un comentario en caso de que aplique, vamos a colocar que
si es apropiado, pero si no es apropiado, si os llevamos algún algún privilegio adicional o alguna
actividad adicional.
Podemos poner el comentario acá de cuál es ese acceso que no está acorde a la matriz de roles y perfiles
y colocáramos que no es apropiado acá.
Bien, vamos a ver un ejemplo.
Ok, vamos a ver, vamos a empezar con este primer usuario, María del Monte, vamos a ver cuáles accesos
tiene María del Monte.
Si vamos al sistema.
O la información que obtuvimos del sistema vemos que María del Monte sólo tiene Herron de acceso a caja.
Con?
Las primeras siete actividades desde cambiar fecha de venta hasta gastos.
Esa fue la información que colocamos aquí en nuestro reporte.
María Monte tiene el rol de caja y con las primeras siete actividades, desde cambiar fecha de venta
hasta gastos, esta información la vamos a colocar aquí rol caja.
Vamos a copiar esta información acá.
Cuáles son esos accesos?
Todos estos?
Y ahora vamos a comparar de acuerdo a la matriz de roles y perfiles.
Entonces hacemos la comparación.
El rol.
Gaja con K tiene el mismo rol.
Vamos a ver las actividades cambiar fechas de venta, cambiar fecha de venta, apertura de cajón de
monedas, apertura de cajón de monedas, opciones de K Opciones de K caja inicia k inicia observaciones
de evento del día.
Observaciones de venta del día.
Devoluciones de ventas ya cobradas.
Gastos.
Entonces, como son los mismos accesos?
Esto es apropiado?
Y aquí le podemos poner este comentario.
Los accesos son apropiados de acuerdo a lo establecido para su puesto.
Muy bien, entonces seguimos con el siguiente caso.
Ariel Paredes Vamos a ver cuáles son los accesos que tiene Ariel Paredes.
Ariel Paredes tiene caja.
Es supervisor de k tiene K.
Y tiene estas actividades muy de.
Vamos a comparar.
Si Ariel Paredes de operaciones.
Supervisor de caja tiene los accesos adecuados.
El rol caja tiene el mismo rol.
Muy bien.
Y las actividades, modificaciones de venta, modificaciones de venta.
Borrar ventas ya cobradas.
Borrar ventas ya cobradas, nuevo cliente, nuevo cliente.
Y aquí tenemos.
Una actividad que tiene Ariel Paredes.
La cual no está en su perfil, no está indicada en la matriz de roles y perfiles.
Soy acaso colocábamos que no?
E indicamos que el acceso no es apropiado por la actividad K inicia.
De acuerdo a lo que leímos en la normativa de gestión de accesos de esta empresa, los accesos adicionales
deben ser solicitados formalmente y autorizados.
Entonces, luego de completar esta matriz para los accesos adicionales que identificamos, debemos de
solicitar o indagar si existe alguna autorización referente a estos accesos.
Todos seguimos con el siguiente caso y sería la misma dinámica completar acá cada uno de los.
De los accesos que obtuvimos, lo que vamos a hacer es.
Vamos a abrir esta pestaña donde ya tengo la tabla matriz llena.
Okay, aquí tenemos la matriz completa.
El tercer caso es hallar a Jimenez del área de contabilidad.
Ella es encargada de inventario.
Debe tener los roles stop.
Y las actividades pedido a proveedores, entrada de stock, inventario, movimiento de stock de evolución
de proveedores.
Tiene el mismo rol Stok y tiene un rol adicional, el cual no está definido en su matriz de roles y
perfiles.
Y si vamos a las actividades, hay una actividad.
Regulación.
Regulación de stop.
Que tampoco está definida.
Este usuario tiene un rol y una actividad adicional.
Colocábamos no?
Y aquí agregamos la nota.
En el caso de Ángel Salvador, encargado de tienda.
Observamos que tiene el mismo rol.
Pero en cuanto a las actividades, hay una de ellas.
Mantenimiento de secciones que no la tienen, el sistema de acuerdo a la matriz de roles debería de
tenerla, pero en el sistema no la tiene.
En este escenario podemos concluir que sí es apropiado, porque el hecho de que el usuario tenga menos
accesos del cual se indica en la matriz de roles, no necesariamente representa un riesgo para nosotros.
Más bien, mientras menos accesos tenga los usuarios en el sistema para nosotros, mejor.
Así que en este caso no es necesario que indiquemos que no es apropiado el acceso.
Es muy posible que ya ese privilegio no lo necesite o que por algún motivo no sea necesario.
Y por esa razón el usuario no lo tenga.
Seguimos con el siguiente caso Laura Espaillat, de contabilidad oficial de cobros.
O sea, el rol clientes con deuda y tres actividades de acceso es apropiado en el siguiente caso Manuel
Moreno, de Contabilidad.
Debe de poseer un rol y tres actividades.
Posee ese rol clientes con deuda?
Tres actividades.
Y eso le causa una parte importante que debemos de comparar.
Es el puesto de trabajo oficial de cobro.
Manuel Moreno de acuerdo a Recursos Humanos.
Es oficial de cobro del puesto de contabilidad.
Si observamos la información que registramos del sistema.
Manuel Moreno.
Dice acá que es del departamento de contabilidad y tiene la posición de cajero.
Entonces, aquí tenemos una discrepancia entre el puesto de trabajo que tiene el sistema registrado
y el puesto de trabajo real que sustenta ese usuario o es empleado.
Esto entonces, es muy posible que esa discrepancia haya provocado el acceso inadecuado, ya que aparentemente
este empleado haya sido inicialmente cajero y haya tenido los privilegios de cajero.
Luego fue ascendido a oficial de cobro y le hayan agregado los acceso del oficial de cobro sin haberle
eliminado los accesos anteriores.
Esto suele pasar en la gestión de acceso a las emociones de los usuarios.
Pueden generar que se le agreguen accesos adicionales, pero si no existe un procedimiento de mantenimiento
y actualización de privilegios, los privilegios anteriores se le pueden quedar provocando un riesgo.
Entonces, en el caso de Manuel Moreno.
No tenía su puesto actualizado en el sistema.
Eso es algo que se puede reportar como un hallazgo y se puede recomendar que que sea revisado los puestos
de trabajo de las informaciones de los empleados en el sistema de forma tal que se mantenga actualizada.
Esa revisión debe de realizarse periódicamente.
Entonces tiene un rol que no es apropiado de acuerdo a su perfil.
Lo indicamos acá no acceso no apropiado por el rol K.
El siguiente es de Urizar García.
Quedas encargada de marketing?
Y tiene exactamente los mismos privilegios que debería de tener.
Por eso es apropiada.
Tenemos nuestro siguiente caso Edward Castillo.
Que también tiene un rol.
Un rol adicional?
Y otro último caso.
Y es Abraham Castro encargado de contabilidad.
Tiene los privilegios apropiados.
Completada esta matriz, podemos ya observar cuantos usuarios tienen acceso adicionales que no son apropiados
1, 2, 3, 4.
Tenemos cuatro usuarios con acceso no apropiado.
Muy bien.
Luego de completar esta matriz, lo que hacemos es para los casos que identificamos que tienen acceso
no apropiado, que fueron cuatro casos.
Solicitamos al área, en este caso el área de tecnología, que de acuerdo al portal, que de acuerdo
a la normativa de gestión de accesos.
Ellos guardan las solicitudes de acceso adicionales y son quienes otorgan dichos accesos.
Entonces a ellos les solicitamos los formularios de solicitud de acceso de estos usuarios.
Entonces, luego de esta solicitud, ellos solamente nos enviaron un formulario que es este que tenemos
acá.
Formulario de solicitud de acceso a los sistemas aveses minimarket no tenemos la fecha.
El nombre del empleado Ariel Paredes corresponde a este empleado Ariel Paredes.
El cual tiene una actividad adicional.
Entonces, formulario formularios indica que es un acceso para el sistema TPV, un 2 3, que es el sistema
que estamos auditando.
El error caja y la actividad keynesiano para este usuario se solicitó la actividad caja iniciada ronca
y dice La nota se requiere para la comprobación de las modificaciones de venta.
Confirmamos que la firma del dueño de los datos o de la persona autorizada para otorgar acceso.
Y entonces corroboramos que es la misma actividad que fue requerida, tomando en cuenta que solamente
recibimos el formulario de solicitud de acceso para el caso de Ariel Paredes y está debidamente completado
de acuerdo a lo definido en la normativa de la empresa.
Entonces este caso está justificado.
Podemos podemos tomar como que este caso está justificado, pero para los demás.
Casos no obtuvimos formulario de autorización de acceso, así que éstos debemos de reportarlo en el
informe de auditoría, donde se indicaría que estos usuarios tienen accesos inapropiados o de acuerdo
a la matriz de roles y perfiles.
Entonces, ya con esta plantilla completada y luego de validar que no existe formulario de autorización
de accesos adicionales, podemos dar como terminada esta revisión.