Začnite tým, čo človek potrebuje dokončiť
Otázka „koľko rolí potrebujeme?“ prichádza často priskoro. Najprv opíšte bežný pracovný deň: kto prijíma požiadavku, kto ju priraďuje, kto dopĺňa výsledok a kto schvaľuje uzavretie. Pri každej úlohe označte informácie a činnosti potrebné na jej dokončenie.
Rovnaká pracovná pozícia nemusí znamenať rovnaký rozsah údajov. Dvaja koordinátori môžu vykonávať rovnaké činnosti, každý však pre inú prevádzku. Do zadania preto zapíšte aj hranicu prístupu: vlastné prípady, pridelený tím, pobočka alebo celá firma. Takto sa dá pravidlo overiť na konkrétnom zázname.
Oddeľte zobrazenie, úpravu, schválenie a export
Veta „má prístup k zákazkám“ je nepresná. Môže znamenať čítanie zoznamu, úpravu termínu, zmenu ceny aj stiahnutie celej evidencie. Tieto činnosti zapíšte samostatne. Pri citlivých krokoch určte aj podmienku: napríklad úprava do odoslania na schválenie alebo export iba pre pridelenú prevádzku.
Praktický podklad tvorí jednoduchá matica. Riadky predstavujú činnosti, stĺpce pracovné roly a pri povolení je uvedený rozsah dát. Začnite hlavným procesom; výnimky zapisujte vedľa konkrétneho pravidla, nie do neurčitej poznámky „podľa potreby“.
- Zobraziť detail a vyhľadávať záznamy.
- Vytvoriť prípad a meniť vybrané údaje.
- Priradiť zodpovednú osobu alebo zmeniť stav.
- Schváliť, zamietnuť alebo vrátiť na doplnenie.
- Exportovať údaje a sťahovať prílohy.
- Spravovať používateľov a prideľovať oprávnenia.
Schvaľovanie potrebuje aj pravidlá zastupovania
Pri každom schvaľovaní si prejdite situáciu, keď zodpovedný človek nie je dostupný. Kto môže rozhodnúť namiesto neho, od kedy a pre ktoré prípady? Zastupovanie má vyriešiť konkrétnu prevádzkovú potrebu, nie automaticky sprístupniť celý účet neprítomného kolegu.
Dohodnite aj správanie po zmene už schválených údajov. Ak pracovník upraví sumu alebo rozsah práce, má pôvodné schválenie ďalej platiť? Odpoveď patrí vlastníkovi procesu a do zadania sa zapíše spolu s príkladom. Zrozumiteľné pravidlo uľahčí vývoj aj rozhodovanie pri výnimke.
Skryté tlačidlo samo osebe prístup nechráni
Prihlásenie potvrdzuje identitu; oprávnenie určuje povolené konanie. Kontrola musí prebehnúť pri spracovaní požiadavky na serveri, aj keď človek použije priamy odkaz. Nová funkcia nemá sprístupniť chránené údaje automaticky: povolenie musí vychádzať z pravidla.
Od vývojového tímu žiadajte overenie povolených aj zakázaných situácií. Nestačí ukázať, že technik otvorí svoj zásah. Test má potvrdiť, že neotvorí cudzí prípad, nestiahne jeho prílohu ani nezmení neprístupné pole.
Dohľadajte dôležité rozhodnutia bez kopírovania všetkého
Pre prevádzku býva užitočné vedieť, kto priradil prípad, zmenil cenu, schválil výnimku alebo upravil oprávnenia. Vyberte udalosti, pri ktorých potrebujete vysvetliť rozhodnutie, a určte, kto ich môže kontrolovať. História zmien má pomáhať riešiť konkrétnu otázku, nie iba hromadiť záznamy.
Do technických logov nepatria heslá, prístupové tokeny ani zbytočné osobné údaje. Prístup k záznamom a dobu ich uchovania dohodnite podľa účelu. Pri návrhu rozlišujte používateľskú históriu prípadu a technické podklady na diagnostiku; nemusia mať rovnakých čitateľov ani rovnaký obsah.
Zmena pracovnej úlohy je aj zmena prístupu
Určte, kto žiada, kto schvaľuje a kto vykonáva pridelenie oprávnení. Rovnaký postup má pokryť nástup, presun medzi tímami, dočasnú výpomoc aj odchod. Pri presune nestačí pridať novú rolu; treba rozhodnúť, ktoré staré prístupy už človek nepotrebuje.
Na kontrolu si pripravte zoznam používateľov s dôvodom prideleného prístupu a vlastníkom rozhodnutia. Pri dočasnom oprávnení evidujte aj koniec platnosti. Pred spustením systému nech zástupcovia jednotlivých rolí prejdú skutočné pracovné úlohy aj situácie, ktoré im majú byť odmietnuté.
- Kto schvaľuje prístup k jednotlivým skupinám dát?
- Čo sa zmení pri presune človeka na inú pobočku?
- Ako sa ukončí dočasné zastupovanie?
- Ktoré rozpracované prípady treba pri odchode odovzdať?
- Ako sa preveria oprávnenia po pridaní novej funkcie?
Pravidlá prístupu patria do návrhu procesu
Dobré zadanie oprávnení pomáha tímu pracovať bez neustálych žiadostí o výnimku a zároveň pomenúva hranice zodpovednosti. Nemusíte vopred poznať technický spôsob implementácie. Potrebujete konkrétne pracovné úlohy, rozsah údajov a človeka, ktorý vie rozhodnúť o sporných prípadoch.
Ak pripravujete interný systém, prineste na konzultáciu hlavný pracovný tok a príklady toho, čo jednotliví ľudia smú a nesmú vykonať. V DAVOND môžeme tieto pravidlá prejsť spolu s návrhom systému, aby sa oprávnenia dopĺňali podľa prevádzky a overiteľných situácií.