Struktura uprawnień i mechanizmy ochrony danych w Comarch ERP Optima

Wdrożenie oprogramowania biznesowego w firmie wiąże się z koniecznością rozdzielenia kompetencji pomiędzy poszczególnych pracowników. W środowisku Comarch ERP Optima mechanizm kontroli dostępu działa dwupoziomowo. Pierwszy poziom opiera się na warstwie aplikacji, gdzie poszczególnym kontom przypisuje się określone role, profile oraz dostęp do konkretnych modułów, rejestrów czy magazynów. Drugi poziom stanowi silnik relacyjnej bazy danych, który odpowiada za fizyczne przechowywanie rekordów, uwierzytelnianie połączeń sieciowych oraz wykonywanie operacji odczytu i zapisu. Gdy użytkownik loguje się do programu, aplikacja weryfikuje jego tożsamość w bazie konfiguracyjnej, a następnie odpytuje bazę firmową o zakres przysługujących mu praw. Każda próba otwarcia dokumentu, zmiany cennika czy wygenerowania raportu płacowego jest sprawdzana pod kątem przypisanych restrykcji.

Bezpieczeństwo danych w systemie Comarch ERP Optima nie ogranicza się wyłącznie do blokowania widoczności poszczególnych zakładek w interfejsie. Prawidłowo zaprojektowana architektura obejmuje również szyfrowanie transmisji sieciowej pomiędzy stanowiskami roboczymi a serwerem bazy danych, separację uprawnień administracyjnych od operacyjnych oraz mechanizmy uniemożliwiające bezpośredni odczyt plików bazy poza aplikacją. Zdarzają się sytuacje, w których nieprawidłowe nadanie praw prowadzi do przestojów w pracy działu handlowego, przypadkowego ujawnienia stawek wynagrodzeń lub nadpisania wrażliwych kartotek kontrahentów przez osoby niepowołane.

Typowe objawy problemów z uprawnieniami zgłaszane przez firmy

Nieprawidłowości związane z autoryzacją i prawami dostępu objawiają się na różne sposoby podczas codziennej pracy na stanowiskach komputerowych. Osoby kontaktujące się z pomocą techniczną najczęściej opisują sytuację prostymi słowami:

  • Pracownik po zalogowaniu widzi wyszarzone przyciski dodawania faktur lub otrzymuje informację o braku prawa do edycji dokumentu w danym rejestrze.
  • Nowo zatrudniona osoba nie może zatwierdzić dokumentu magazynowego, mimo że została przypisana do grupy handlowców.
  • Kierownik działu traci wgląd w zestawienia finansowe po standardowej aktualizacji struktur danych lub restarcie bazy.
  • Podczas próby podejrzenia listy płac pojawia się komunikat o odmowie dostępu, mimo wcześniejszych ustaleń z administratorem.
  • Po wdrożeniu nowego stanowiska komputerowego program zgłasza błąd połączenia z serwerem i odrzuca dane logowania użytkownika.
  • Użytkownik ma dostęp do kartotek, których zgodnie z polityką firmy nie powinien przeglądać, na przykład cen zakupu towarów lub danych osobowych pracowników.

Przyczyny błędów autoryzacji i luk w bezpieczeństwie systemu

Źródła problemów z prawami dostępu oraz integralnością danych w programie Comarch ERP Optima można usystematyzować od tych występujących najczęściej po kwestie bardziej złożone:

  • Konflikty w dziedziczeniu uprawnień grupowych — przypisanie operatora do kilku grup jednocześnie, z których jedna nadaje uprawnienie, a druga wprowadza jawną blokadę. W strukturach logicznych zakaz ma zazwyczaj pierwszeństwo przed pozwoleniem, co powoduje zablokowanie funkcji.
  • Brak uprawnień do obiektów powiązanych — operator otrzymuje prawo do wystawiania dokumentu, ale nie ma prawa odczytu serii numeracji, konkretnego magazynu, rejestru kasowo-bankowego lub cennika przypisanego do danej transakcji.
  • Praca na domyślnym koncie administracyjnym — częstym błędem organizacyjnym jest logowanie się wielu pracowników na jedno konto o najwyższych uprawnieniach. Uniemożliwia to prowadzenie dziennika zdarzeń i rodzi ryzyko przypadkowego usunięcia istotnych konfiguracji.
  • Niespójność kont w silniku bazy danych — uprawnienia na poziomie aplikacji Comarch ERP Optima nie pokrywają się z uprawnieniami użytkownika łączącego się z instancją bazy. Użytkownik systemowy może nie mieć wystarczających praw do zapisu tabel tymczasowych.
  • Zbyt szerokie uprawnienia sieciowe do folderów serwera — udostępnienie katalogu z kopiami zapasowymi lub plikami bazy danych wszystkim użytkownikom sieci lokalnej bez autoryzacji, co umożliwia ich skopiowanie na zewnętrzny nośnik pamięci.
  • Brak wymuszenia złożoności haseł — stosowanie prostych lub pustych haseł przez operatorów, co ułatwia nieautoryzowany dostęp do bazy z innych komputerów pracujących w tej samej podsieci.

Diagnoza i wdrażanie bezpiecznych reguł dostępu

Podczas prac serwisowych koncentrujemy się na uporządkowaniu struktury logicznej użytkowników oraz zabezpieczeniu całego środowiska, w którym pracuje baza danych. W pierwszej kolejności wykonujemy audyt istniejących kont operatorów i grup. Sprawdzamy, które konta są aktywne, jakie role pełnią oraz czy w systemie nie pozostały aktywne profile byłych pracowników. Weryfikujemy matrycę uprawnień, eliminując nakładające się reguły i wprowadzając zasadę najmniejszych uprawnień (ang. least privilege) — każdy pracownik otrzymuje wyłącznie taki zakres dostępu, jaki jest niezbędny do wykonywania jego codziennych obowiązków.

Kolejnym etapem jest kontrola bezpieczeństwa na poziomie serwera bazy danych. Weryfikujemy konta dostępowe do instancji bazodanowej, oddzielając uprawnienia właściciela bazy od zwykłych połączeń aplikacyjnych. Sprawdzamy konfigurację zapory sieciowej (ang. firewall) na komputerze pełniącym funkcję serwera, upewniając się, że porty komunikacyjne są otwarte wyłącznie dla zaufanych adresów z sieci lokalnej. Zabezpieczamy proces tworzenia kopii zapasowych (backupów), ustawiając automatyczne harmonogramy archiwizacji do odizolowanych lokalizacji, do których zwykli użytkownicy komputerów nie mają bezpośredniego dostępu przez sieć.

Weryfikacji podlega także rejestr operacji i logów. Sprawdzamy, czy system prawidłowo odnotowuje próby logowania oraz operacje edycyjne na kluczowych dokumentach. W razie potrzeby konfigurujemy bezpieczne połączenia dla stanowisk pracujących zdalnie, wykorzystując szyfrowane tunele sieciowe, co zapobiega podsłuchiwaniu transmisji danych pomiędzy bazą a stacją roboczą.

Czego unikać we własnym zakresie i co sprawdzić przed wezwaniem pomocy

Próby samodzielnego rozwiązywania problemów z uprawnieniami na poziomie bazy danych mogą prowadzić do uszkodzenia jej integralności. Istnieje kilka zasad, których warto przestrzegać:

  • Nie należy modyfikować tabel systemowych ani danych operatorów bezpośrednio za pomocą zapytań bazodanowych bez pełnej znajomości powiązań relacyjnych. Taka ingerencja może trwale uszkodzić bazę konfiguracyjną programu Comarch ERP Optima.
  • Nie należy nadawać uprawnień administratora każdemu użytkownikowi tylko po to, aby ominąć błąd przy wystawianiu dokumentu. Jest to prosta droga do utraty kontroli nad spójnością ewidencji magazynowej i finansowej.
  • Nie wolno wyłączać zapory sieciowej na serwerze jako metody na rozwiązanie problemu z połączeniem, ponieważ wystawia to bazę danych na potencjalne zagrożenia z sieci lokalnej.
  • Przed wezwaniem serwisu warto sprawdzić, czy problem dotyczy tylko jednego stanowiska komputerowego, czy wszystkich maszyn w biurze.
  • Można zweryfikować, czy po zalogowaniu na profil innego pracownika o podobnym zakresie obowiązków problem również występuje — pozwala to ustalić, czy usterka tkwi w konfiguracji konta, czy w ustawieniach modułu.
  • Warto upewnić się, czy stacja robocza ma stabilne połączenie z siecią lokalną i czy widzi w otoczeniu sieciowym komputer z bazą danych.

Co przygotować przed przyjazdem serwisu

Sprawne przeprowadzenie audytu i konfiguracji uprawnień wymaga odpowiedniego przygotowania ze strony firmy. Zgłaszając potrzebę interwencji, warto przygotować:

  • Listę pracowników z podziałem na działy oraz wykazem funkcji, do których poszczególne osoby powinny mieć dostęp (np. tylko wystawianie faktur sprzedaży, brak wglądu w koszty zakupu, dostęp do kasy, wgląd w kadry).
  • Wskazanie komputera, który pełni rolę serwera bazy danych oraz stanowisk roboczych, na których występują błędy autoryzacji.
  • Informację o planowanym oknie serwisowym, jeśli konieczne będzie chwilowe wylogowanie pozostałych pracowników z programu Comarch ERP Optima w celu reorganizacji struktury grup.
  • Zalecamy również wykonanie kopii zapasowej istotnych danych firmowych na zewnętrzny nośnik, jeśli stan techniczny sprzętu i uprawnienia na to pozwalają. W przypadku braku takiej możliwości zabezpieczenie bazy przeprowadzamy w ramach pierwszego kroku naszych prac.

Organizacja pomocy technicznej i zasady współpracy

Nasz serwis realizuje usługi informatyczne wyłącznie z dojazdem do siedziby klienta, biura lub wskazanego lokalu na terenie Warszawy oraz okolicznych powiatów podwarszawskich. Nie prowadzimy punktu przyjęć sprzętu — nasi technicy docierają pod wskazany adres wyposażeni w niezbędne narzędzia diagnostyczne i oprogramowanie administracyjne. W przypadku nagłych awarii, które blokują funkcjonowanie sprzedaży lub rozliczeń w przedsiębiorstwie, pozostajemy do dyspozycji przez całą dobę, siedem dni w tygodniu, również w dni świąteczne.

Przed przystąpieniem do jakichkolwiek modyfikacji w strukturze Comarch ERP Optima lub systemie operacyjnym przeprowadzamy wstępną diagnozę i przedstawiamy jasną wycenę prac. Dopiero po jej akceptacji rozpoczynamy działania. Standardowo dążymy do wykonania wszystkich prac konfiguracyjnych bezpośrednio na miejscu w biurze. Jeżeli jednak problem wynika z poważniejszej usterki sprzętowej komputera pełniącego funkcję serwera (np. awaria dysku, uszkodzenie sekcji zasilania płyty głównej), odbieramy jednostkę do naszego warsztatu za pokwitowaniem i odwozimy ją po zakończonej naprawie. Wszelkie naprawy podzespołów realizujemy wyłącznie przy użyciu fabrycznie nowych części, udzielając na wykonane prace gwarancji do 12 miesięcy. Na życzenie klienta bezpłatnie podpisujemy umowę o zachowaniu poufności (NDA), co zapewnia pełne bezpieczeństwo przetwarzanych informacji biznesowych, a za wykonaną usługę wystawiamy fakturę bez VAT.

W celu zamówienia wizyty serwisanta i bezpiecznego skonfigurowania uprawnień w programie Comarch ERP Optima zachęcamy do kontaktu pod numerem telefonu 22 257 87 54.