Zacznij od odpowiedzialności
Sprzedawca, osoba przyjmująca dostawę i właściciel nie muszą wykonywać tych samych działań. Najpierw spisz zadania, a dopiero potem przypisz odpowiadające im uprawnienia.
Sprawdź odmowę, nie tylko sukces
Test roli powinien obejmować czynność dozwoloną oraz próbę wejścia do danych lub funkcji, których użytkownik nie powinien widzieć. Sama poprawna sprzedaż nie potwierdza granic dostępu.
Odbieraj dostęp od razu
Zmiana stanowiska lub odejście pracownika powinna mieć prostą procedurę. Współdzielenie jednego hasła utrudnia jej wykonanie i zaciera odpowiedzialność za operacje.
