Prácticas recomendadas para la privacidad y la seguridad

En Sage Intacct, entendemos las necesidades de privacidad y seguridad de nuestros clientes. A medida que se desarrolla la legislación sobre privacidad y las necesidades de seguridad se vuelven más complejas, Sage Intacct crece para satisfacer estas necesidades.

Suscripción Sociedad
Disponibilidad por región

Todas las regiones
Tipo de usuario Usuario empresarial con privilegios de administrador

Privacidad

Las directrices de privacidad se centran en limitar el acceso y el almacenamiento de datos personales.

Los datos personales incluyen:

  • Nombres
  • Direcciones
  • Fechas (fecha de inicio, fecha de finalización, fecha de nacimiento, etc.)
  • Números de teléfono
  • Números de fax
  • Direcciones de correo electrónico
  • Números de la Seguridad Social
  • Números de cuenta (tarjeta de crédito, ACH, banco, etc.)
  • URLS
  • Direcciones IP

Habilitar el enmascaramiento de SSN

Limita quién ve los números de Seguro Social de los empleados cuando ven o editan un registro de empleado. Seleccione la opción Enmascaramiento del número de Seguro Social del empleado en la configuración de la sociedad.

Establecer los permisos adecuados

Asegúrese de ser selectivo cuando dé Permisos a elementos que tienden a contener datos personales confidenciales. Los elementos notables incluyen:

  • proveedores

  • clientes

  • empleados

  • Contactos

  • Tarjetas de crédito

  • Cuentas bancarias

  • Feeds bancarios

Limitar el almacenamiento de datos personales

Siempre que sea posible, evita almacenar datos personales en Sage Intacct. Al almacenar datos personales con fines comerciales o financieros, utilice siempre los campos y objetos designados que están diseñados para manejar información confidencial. Evite el uso de campos personalizados genéricos u objetos que no puedan contar con las medidas de seguridad necesarias. Por ejemplo, almacene la información del cliente solo en el objeto customer. Por último, evite hacer registros duplicados.

Más información sobre Datos personales en Sage Intacct.

No almacenes archivos adjuntos con datos confidenciales

Elimina los datos personales confidenciales de los archivos adjuntos antes de almacenarlos en Sage Intacct. Si necesita esos datos personales, cifre sus archivos PDF con una contraseña para protegerlos o considere la posibilidad de utilizar un sistema de gestión de archivos independiente creado para satisfacer sus necesidades.

Más información sobre Prácticas recomendadas para los archivos adjuntos.

Seguridad

Las directrices de seguridad se centran en lo que los usuarios pueden hacer en su empresa, la seguridad de sus cuentas y la seguridad de su empresa y los registros financieros en general.

Establecer la contraseña y las opciones de inicio de sesión

De forma predeterminada, todos los Contraseñas son complejos, lo que significa que contienen al menos un número, una letra minúscula, una letra mayúscula y un carácter especial. Además, las contraseñas se comprueban para asegurarse de que no contengan frases comunes como "contraseña".

En la siguiente tabla se describen las opciones adicionales de inicio de sesión con contraseña disponibles. Puede configurarlos en la carpeta Sección de configuración de inicio de sesión en la pestaña Seguridad de la información de la empresa o en la pestaña Preferencias del usuario de un usuario individual. Las preferencias del usuario anulan la configuración de la sociedad.

Opción Descripción Práctica recomendada

Duración de inactividad predeterminada

Máximo

 Define cuánto tiempo puede permanecer inactivo un usuario antes de cerrar la sesión automáticamente.

Nivel de empresa: Una hora o menos

Para administradores: 15 minutos

Duración predeterminada de la sesión

Máximo

 Define cuánto tiempo puede iniciar sesión un usuario en cualquier sesión antes de que se cierre automáticamente, independientemente de su actividad. 5-10 horas
Restablecer contraseña Define la frecuencia con la que se deben cambiar las contraseñas. Establecer en Trimestral
Longitud mínima Define el número mínimo de caracteres necesarios en una contraseña. Establecer en 9 o más
Evitar la reutilización de contraseñas anteriores Prohíbe la reutilización de contraseñas anteriores en función del número que establezca. Establecer en 12
Número máximo de intentos de inicio de sesión por día Define el número máximo de intentos de inicio de sesión permitidos en un período de 24 horas antes de que se bloquee el usuario. Establecer en 5 o menos
Aplicar filtros de direcciones IP Restringe el acceso de inicio de sesión a Sage Intacct en función de una lista de direcciones IP, como un rango de direcciones IP de tu oficina corporativa.

Aplicación a nivel de usuario para administradores y usuarios de servicios web que utilizan la API

Considere también la posibilidad de aplicar medidas para los usuarios con acceso a datos financieros confidenciales.
Habilitar la verificación en dos pasos

Otro nombre común para esto es autenticación multifactor (MFA). Esta opción está habilitada de forma predeterminada.

La verificación en dos pasos mitiga el riesgo de que las contraseñas se vean comprometidas, lo que puede dar lugar a un acceso no autorizado a Sage Intacct.

 No permitas dispositivos de confianza para administradores y otros usuarios con acceso a datos financieros y personales confidenciales.
Habilitar el inicio de sesión único

Si tienes un proveedor de SSO, Sage Intacct ofrece un inicio de sesión centralizado con SAML 2.0.

Si eliges SSO para la autenticación, Sage Intacct dirigirá a los usuarios a tu proveedor de SSO y no desafiará a los usuarios con las credenciales de Sage Intacct y la verificación en dos pasos.

Depende de tu empresa.

Si tu empresa utiliza un proveedor de SSO, también debes habilitar la autenticación multifactor para tu inicio de sesión de SSO.

Usar permisos basados en funciones

Los permisos te permiten decidir lo que un usuario puede hacer y ver en Sage Intacct. Recomendamos encarecidamente dedicar tiempo a Descripción de los permisos para que puedas decidir cuál es el nivel de acceso adecuado para cada usuario con respecto a Sage Intacct y los datos de tu empresa.

Aunque Sage Intacct es compatible con ambos Permisos basados en usuarios y funciones, te recomendamos que utilices Permisos basados en funciones. Con los permisos basados en roles, la práctica recomendada es identificar roles de usuario específicos, asignar permisos a ese rol y, a continuación, asignar roles a los usuarios. Si asigna varias funciones a un usuario, heredará todos los permisos de todas las funciones asignadas.

Los permisos también se aplican a las integraciones que dependen del acceso a la API. La práctica recomendada es crear roles específicos para cualquier integración que pueda usar, como bill.com, y otorgarle solo los permisos que necesita para funcionar.

Asegúrese de que cada rol solo tenga los permisos necesarios para completar tareas.

Uso de usuarios y autorizaciones de servicios web para llamadas a la API

Sage Intacct proporciona una sólida interfaz de programación de aplicaciones (API) que permite que otras aplicaciones, como bill.com, interactúen con Sage Intacct mediante programación. Esta flexibilidad conlleva un riesgo asociado, por lo que debe seguir estas directrices de seguridad.

  • Crear un usuario de servicios web para cualquier usuario que solo realice solicitudes de API

    Usuarios de servicios web son cuentas de usuario que solo pueden realizar llamadas API a tu sociedad de Sage Intacct. Este tipo de usuarios no pueden iniciar sesión en Sage Intacct a través de un navegador web.

  • Administrar las autorizaciones de servicios web

    Uso Autorizaciones de servicios web para controlar qué integraciones y usuarios pueden realizar solicitudes de API a tu empresa de Sage Intacct. Autoriza solo los identificadores de remitente identificados y aprobados, y asegúrate de mantener la lista actualizada.

Administra tu política de seguridad de contenido

Un Política de seguridad de contenido es una capa adicional de seguridad que ayuda a detectar y mitigar ciertos tipos de ataques a aplicaciones, incluidos los scripts entre sitios (XSS) y la inyección de datos.

En Sage Intacct, los administradores pueden modificar determinadas páginas de su empresa para incluir contenido de terceros. Para permitir esta flexibilidad teniendo en cuenta la seguridad, los administradores modifican y aplican una política de seguridad de contenido a su empresa para mitigar los riesgos de ataques a aplicaciones relacionados con el uso de contenido de terceros.

Configura la seguridad de tu correo electrónico si permites que Sage Intacct envíe correos electrónicos en tu nombre

Puedes configurar Sage Intacct para que las facturas, los extractos de cuenta y otra información enviada por correo electrónico parezcan enviados desde tu sociedad en lugar de desde Sage Intacct.

Si configuras Sage Intacct de esta manera, asegúrate de configurar tu Sender Policy Framework (SPF) y añadir tu clave de remitente de correo electrónico (también conocida como DKIM) a los registros TXT de tu dominio. Esta práctica ayuda a mitigar la probabilidad de que sus correos electrónicos sean tratados como correo no deseado por sus clientes u otras partes receptoras.

Más información sobre cómo Configura los ajustes de tu dominio de servicio de entrega de correo electrónico mejorado.

Restricción de contactos en Cuentas a pagar y Cuentas a cobrar

En Cuentas a pagar o Cuentas a cobrar, seleccione el botón Restringir a contactos relacionados con el proveedor seleccionado o Restringir a contactos relacionados con el cliente seleccionado respectivamente. Estas opciones evitan el uso de contactos que no están asociados a la ficha de cliente o proveedor.

Restringir contactos en Pedidos y Compras

Si usas Pedidos o Adquisitivo, seleccione el botón Restringir solo a contactos relacionados con el cliente o Restringir solo a contactos relacionados con el proveedor respectivamente. Estas opciones evitan el uso de contactos que no están asociados a la ficha de cliente o proveedor.

Informes y herramientas

Utiliza los siguientes informes y herramientas para supervisar la privacidad y la seguridad en tu sociedad de Sage Intacct. Recomendamos revisar los informes trimestralmente.

Informe de acceso de usuarios

El Informe de acceso de usuarios Enumera todos los usuarios que intentaron acceder a tu sociedad, incluidos los que han iniciado sesión actualmente.

Informes de permisos

Hay Informes de varios permisos Se puede utilizar para analizar los permisos de usuario. Estos informes te ayudan a ver los permisos en toda la sociedad, para usuarios específicos, o a realizar un seguimiento de cómo han cambiado los permisos de los usuarios.

Pista de auditoría de objetos

Todo en Sage Intacct puede afectar a tus estados financieros, por lo que tanto las partes interesadas internas como las externas necesitan saber cómo han cambiado las cosas y quién ha realizado esos cambios. El Auditoría Mantiene un registro de quién realizó cambios en un registro en particular y cuándo.

Otros informes personalizados

Siempre puedes crear informes personalizados adicionales que proporcionen información histórica en función del uso que hagas de Sage Intacct. Algunos informes adicionales que puedes crear son:

  • Historial de aprobación de facturas

  • Historial de aprobación de compras

  • Historial de aprobaciones de la plantilla horaria

  • Pista de actividad para objetos personalizados

  • Historial de compras por encargo

  • Historial de cambio en los costes

  • Historial de costes

  • Historial de envíos directos

  • Historial de transacciones del Libro Mayor

  • Historial de costes en destino

  • Registro de sincronización de socios

  • Historial de cambios en el reconocimiento de ingresos

Eventos inteligentes

Puedes usar Eventos inteligentes para ayudarte a identificar actividades legítimas y sospechosas en tu empresa. Por ejemplo, puedes crear un evento inteligente para que te notifique cuando se cree un nuevo proveedor o cuando se contabilice una transacción superior a un determinado importe. También puedes crear un evento inteligente para que te notifique cuando se concedan privilegios de administrador a un usuario o se cree un nuevo usuario de servicios web.