Uprawnienia i bezpieczeństwo modułu Zasoby

Moduł Zasoby rozdziela dwie warstwy bezpieczeństwa: dostęp do modułu (kto w ogóle widzi zakładkę „Zasoby”) oraz rodzaj operacji, jakie użytkownik może wykonać (odczyt, edycja, przypisywanie, konfiguracja). Artykuł pokazuje typowe profile uprawnień i rekomendowany podział.

Warstwy uprawnień

1. Dostęp do modułu

1. Brak dostępu — użytkownik nie widzi modułu Zasoby w menu.
2. Dostęp z perspektywy pracownika — widzi tylko swoje zasoby (przypisania) i może rezerwować zasoby publicznie dostępne.
3. Dostęp administracyjny — pełny widok modułu: lista wszystkich zasobów, egzemplarzy, przypisań.

2. Operacje

1. Odczyt katalogu — widzi zasoby, ale nie modyfikuje.
2. Edycja zasobów — dodawanie, edycja, usuwanie zasobów i egzemplarzy.
3. Przypisywanie — przypisywanie i zdejmowanie przypisań, generowanie protokołów PDF.
4. Import / eksport — masowe operacje na pliku XLSX.
5. Konfiguracja — zarządzanie magazynami, kategoriami, słownikami.
6. Historia zmian — pełny wgląd w audit log.

Rekomendowane profile

Poniżej rekomendowany podział 4 profili, które pokrywają większość potrzeb organizacji. Realne nazwy ról / grup konfigurujesz zgodnie z własną konwencją.

Profil A: Administrator modułu Zasoby

Kto: IT / dział zaopatrzenia / administracja biurowa.

Uprawnienia:

1. Pełny dostęp do modułu.
2. Dodawanie, edycja, usuwanie zasobów i egzemplarzy.
3. Zmiana statusów (w naprawie, wycofany).
4. Przypisywanie i zdejmowanie przypisań.
5. Generowanie protokołów PDF.
6. Import i eksport XLSX.
7. Konfiguracja magazynów, kategorii, słowników.
8. Pełna historia zmian.

Profil B: Operator (przypisywanie i protokoły)

Kto: HR Business Partner, Office Manager, lider onboardingu.

Uprawnienia:

1. Dostęp do modułu.
2. Odczyt katalogu zasobów.
3. Przypisywanie i zdejmowanie przypisań.
4. Generowanie protokołów PDF.
5. Dostęp do historii przypisań pracowników.
6. Brak dostępu do edycji katalogu, słowników i importu.

Profil przydatny w firmach, gdzie wydawaniem sprzętu zajmuje się inna osoba niż ta, która prowadzi katalog.

Profil C: Audytor / Kontroling

Kto: kontroler finansowy, audytor wewnętrzny, księgowość.

Uprawnienia:

1. Dostęp do modułu w trybie tylko do odczytu.
2. Przeglądanie katalogu, egzemplarzy, przypisań.
3. Eksport XLSX (do raportów).
4. Historia zmian (audit log) — pełny wgląd.
5. Brak możliwości edycji.

Profil D: Pracownik (self‑service)

Kto: każdy pracownik firmy (domyślny profil).

Uprawnienia:

1. Podgląd własnych przypisań („Moje zasoby”).
2. Możliwość zarezerwowania zasobu dostępnego do wynajmu.
3. Możliwość zamknięcia własnej rezerwacji po zwrocie.
4. Brak dostępu do katalogu innych pracowników i administracyjnych operacji.

Perspektywę pracownika szczegółowo opisują artykuły:

1. Moje zasoby — przypisania i zwroty
2. Rezerwacje zasobów — jak zarezerwować i zwrócić sprzęt

Dobre praktyki bezpieczeństwa

Zasada najmniejszych uprawnień

Nadawaj jak najwęższy zakres uprawnień. Każdy dodatkowy przywilej to dodatkowe ryzyko operacyjne (omyłkowa edycja, nieautoryzowane zmiany). Zacznij od Profilu D / C dla większości i dopiero na żądanie zwiększaj zakres.

Przegląd uprawnień co kwartał

Raz na kwartał wykonaj review listy osób z Profilami A i B:

1. Czy każda z nich nadal potrzebuje tych uprawnień w ramach swojej roli?
2. Czy ktoś zmienił stanowisko / odszedł z firmy (uprawnienia powinny zostać odebrane)?

Separacja obowiązków

Rozważ rozdzielenie ról:

1. Osoba A prowadzi katalog (dodawanie, edycja zasobów).
2. Osoba B wydaje sprzęt (przypisania, protokoły).
3. Osoba C audytuje (tylko odczyt + eksport).

Taki podział ogranicza ryzyko jednoosobowego nadużycia (jedna osoba nie może jednocześnie utworzyć fikcyjnego zasobu, przypisać go sobie i ukryć w audycie).

Użytkownicy techniczni / API

Jeśli korzystasz z integracji zasilającej zasoby (np. import z systemu magazynowego), utwórz dedykowane konto techniczne z uprawnieniami tylko niezbędnymi dla integracji. Nie udostępniaj zwykłego konta administratora.

Ochrona danych osobowych (RODO)

Dane osobowe w module Zasoby to przede wszystkim:

1. Imiona i nazwiska pracowników w historii przypisań.
2. Stanowiska, działy, oddziały.
3. Podpisy na protokołach PDF (po wydrukowaniu i zeskanowaniu).

Dostęp do tych danych jest chroniony uprawnieniami modułu i ogólnymi mechanizmami autoryzacji tomHRM. Retencja danych o historycznych przypisaniach zależy od polityki firmy — domyślnie zachowywane są bezterminowo (patrz Historia zmian zasobów).