Роли и права в новой CRM: матрица доступа до разработки

Кому и когда это нужно

Владельцу или руководителю, который заказывает CRM, учёт или приложение для сотрудников и клиентов и не может ответить на три вопроса: что увидит менеджер, видит ли исполнитель прибыль, что увидит клиент. Обычно вспоминают после случая: менеджер заметил чужие зарплаты, сотрудник унёс клиентскую базу, клиенту открылся чужой заказ. Бывает и наоборот: человеку не дали нужное, и он пишет вам по каждой мелочи. Если вопрос не решить заранее, его решит разработчик, и чаще всего решит «всем всё», потому что так быстрее.

Как это делается: 7 шагов

1. Начните с трёх ролей: владелец, сотрудник, клиент. Остальные добавляйте, когда этих станет мало. Иерархию с отделами и филиалами на старте не строят.
2. Давайте права роли. Человеку назначается роль. Тогда при смене сотрудника не придётся вспоминать, какие галочки стояли у прежнего.
3. До разработки составьте страницу «кто что видит»: разделы системы в строках, роли в столбцах, в клетках действия: смотреть, создавать, менять, удалять, согласовывать, выгружать. Страницу подтверждают те, кто будет работать.
4. Исходите из минимальных прав: закрыто по умолчанию, открываете по необходимости.
5. Особые права выдавайте отдельно: видеть финансы, выгружать базу клиентов, удалять записи, менять цены. Это отдельные галочки, а не часть роли «руководитель».
6. Клиентский кабинет проверяйте на утечку. Войдите клиентом А, подставьте в адрес номер заказа клиента Б. Должно прийти «не найдено» или отказ. То же проверьте для файлов и выгрузок.
7. Перед запуском пройдите по странице под каждой ролью: что видно лишнее, чего не хватает.

Формулировка на странице может быть такой: «Менеджер по продажам видит свои заявки и клиентов, создаёт и меняет их, цены продажи видит, финансы и выгрузку базы не видит». Одно такое предложение на роль снимает споры на приёмке. Отдельно решите, что пишет журнал: кто, что и когда менял. В споре он отвечает, кто поменял цену или удалил запись.

Пример матрицы прав

Пример условный, строки и роли у вас будут другие. В CRM для подрядной компании я делал пять ролей: собственник, руководитель, менеджер по продажам, сотрудник и клиент. Собственнику доступно всё. Остальным права включаются галочками в настройке «Права ролей», по колонке на роль. «Видит финансы» и «ставит и меняет задачи» отдельные галочки, их можно выдать менеджеру без остального. Клиент видит только свои объекты и действует в них ограниченно: согласует акт, пишет вопрос. Отказ приходит от сервера, а не только прячется кнопка. В проверках системы клиент по чужому объекту получает «не найдено», а сотрудник по базе клиентов отказ. Значения прав лежат в настройках, собственник меняет их без разработчика.

Законы и документы

Не юридическая консультация, нормы сверены по тексту закона. По 152-ФЗ, ст. 19, ч. 2, п. 8, безопасность персональных данных в информационной системе обеспечивается в том числе установлением правил доступа и регистрацией и учётом всех действий с данными. По ст. 18.1 оператор-юридическое лицо назначает ответственного за обработку, издаёт документы с политикой и ведёт внутренний контроль. Проще говоря, круг людей с доступом ограничен и описан, действия учитываются. Относится ли это к вашей системе, решайте с юристом, разбор в статье про мифы о 152-ФЗ.

Коммерческая тайна, 98-ФЗ, ст. 10, ч. 1: среди мер указаны ограничение доступа порядком обращения с контролем соблюдения и учёт лиц, получивших доступ. По ст. 11 работодатель знакомит работника под расписку с перечнем информации и режимом. Это работает, если вы режим ввели. Нормы ТК РФ о персональных данных работников я не проверял, спросите юриста или кадровика.

Где ошибаются чаще всего

Один общий вход на всех: журнал покажет «менеджер», кто именно, неизвестно. Подробнее для 1С в статье про права доступа в 1С.

«Сделаем всех админами, потом ограничим»: потом не наступает, а выданное отбирать неприятно.

Клиентский кабинет не проверили на чужие данные. Лучше найти это самим, а не по звонку клиента.

Права зашиты в код: каждая смена роли идёт через разработчика и ждёт очереди.

Нет порядка отзыва доступа. При уходе сотрудника на один день хватает списка: система, почта, облако, мессенджеры, ссылки для входа. Карточку отключайте, а не удаляйте, история действий останется. Чек-лист в статье про увольнение и доступы, а если что-то записано на бывшего, смотрите эту статью.

Выгрузка без ограничений: экран закрыли, а файл со всей базой выгружается. Выгрузка должна быть отдельным правом.

Где здесь поможет автоматизация

Шаблоны ролей: готовый набор галочек под типовые должности, который правится под вас. Проверка прав: сценарий, который заходит под каждой ролью и проверяет, что чужое закрыто, его запускают после каждого обновления. Журнал: у меня в проекте ведётся история действий по объектам с автором, изменение самих прав я в нём не нашёл, при заказе это стоит добавить. Вход по ссылке для клиентов и сотрудников: в моём проекте она живёт семь дней и перестаёт работать, когда карточка отключена. Личные кабинеты клиентов в статье про кабинет клиента.

Я могу спроектировать роли и права под ваш процесс и собрать кабинеты в рамках автоматизации бизнеса. На старте не нужны сложная иерархия и права на каждое поле: хватит трёх-пяти ролей и одной страницы с матрицей.

Частые вопросы

Сколько ролей нужно на старте?

Три: владелец, сотрудник, клиент. Менеджера по продажам или руководителя добавляйте, когда видите, что сотрудникам нужны разные права.

Можно ли дать сотруднику только часть данных?

Да, правилом «видит только свои» или отдельной галочкой. Чем мельче правила, тем больше проверять, поэтому дробите по необходимости.

Что делать с общим ИИ-помощником в команде?

Права для него строят так же, от роли. Схема в статье про общего ассистента на отдел.

Коротко о главном

Права выдаются роли. Начните с трёх ролей и одной страницы «кто что видит», особые права вроде финансов и выгрузки выдавайте отдельно, а клиентский кабинет проверяйте на чужие данные. Закон требует описанных правил доступа и учёта действий, детали согласуйте с юристом.

Хотите, чтобы я спроектировал роли и права для вашей системы и проверил кабинеты под каждой ролью? Напишите мне в Telegram слово «КТОВИДИТ».