Meilleures pratiques pour la confidentialité et la sécurité

Chez Sage Intacct, nous comprenons les besoins de nos clients en matière de confidentialité et de sécurité. À mesure que la législation sur la protection de la vie privée évolue et que les besoins en matière de sécurité deviennent plus complexes, Sage Intacct évolue pour répondre à ces besoins.

Abonnement Société
Disponibilité régionale

Toutes les régions
Type d’utilisateur Utilisateur professionnel disposant de privilèges d’administrateur

Vie privée

Les directives de confidentialité se concentrent sur la limitation de l’accès et du stockage des données personnelles.

Les données personnelles comprennent :

  • Prénoms
  • Adresses
  • Dates (date de début, date de fin, date de naissance, etc.)
  • Numéros de téléphone
  • Numéros de fax
  • Adresses e-mail
  • Numéros de sécurité sociale
  • Numéros de compte (carte de crédit, ACH, banque, etc.)
  • URLS
  • Adresses IP

Activer le masquage du SSN

Limitez les personnes qui voient les numéros de numéro de sécurité sociale des collaborateurs lorsqu’elles consultent ou modifient une fiche de collaborateur. Sélectionnez l’icône Masquage du numéro de sécurité sociale des collaborateurs dans les paramètres de votre société.

Définir les permissions appropriées

Assurez-vous d’être sélectif lorsque vous donnez Autorisations aux éléments qui ont tendance à contenir des données personnelles sensibles. Les articles notables incluent :

  • fournisseurs

  • clients

  • collaborateurs

  • contacts

  • Cartes de crédit

  • Comptes bancaires

  • flux bancaires

Limiter le stockage des données personnelles

Dans la mesure du possible, évitez de stocker des données personnelles dans Sage Intacct. Lorsque vous stockez des données personnelles à des fins professionnelles ou financières, utilisez toujours des champs et des objets désignés conçus pour traiter des informations sensibles. Évitez d’utiliser des champs personnalisés génériques ou des objets qui ne pourraient pas avoir les mesures de sécurité nécessaires en place. Par exemple, stockez les informations client uniquement dans l’objet client. Enfin, évitez de faire des enregistrements en double.

En savoir plus sur données personnelles dans Sage Intacct.

Ne stockez pas de pièces jointes contenant des données sensibles

Éliminez les données personnelles sensibles des pièces jointes avant de les stocker dans Sage Intacct. Si vous avez besoin de ces données personnelles, chiffrez vos PDF avec un mot de passe pour les protéger ou envisagez d’utiliser un système de gestion de fichiers distinct conçu pour répondre à vos besoins.

En savoir plus sur Meilleures pratiques pour les pièces jointes.

Sécurité

Les directives de sécurité se concentrent sur ce que les utilisateurs peuvent faire dans votre société, la sécurité de leurs comptes et la sécurité de votre société et de vos dossiers financiers en général.

Définir le mot de passe et les options de connexion

Par défaut, tous Passe sont complexes, ce qui signifie qu’ils contiennent au moins un chiffre, une lettre minuscule, une lettre majuscule et un caractère spécial. De plus, les mots de passe sont vérifiés pour s’assurer qu’ils ne contiennent pas d’expressions courantes telles que « mot de passe ».

Le tableau ci-dessous décrit les options de connexion par mot de passe supplémentaires disponibles. Vous pouvez les définir sur le Section Paramètres de connexion dans l’onglet Sécurité dans Informations sur la société ou dans la Préférences utilisateur d’un utilisateur individuel. Les préférences utilisateur remplacent les paramètres de la société.

Option Description Meilleures pratiques

Durée d’inactivité par défaut

Maximum

 Définit la durée pendant laquelle un utilisateur peut rester inactif avant d’être automatiquement déconnecté.

Niveau de la société : Une heure ou moins

Pour les administrateurs : Durée : 15 minutes

Durée de session par défaut

Maximum

 Définit la durée pendant laquelle un utilisateur peut être connecté pour n’importe quelle session avant d’être automatiquement déconnecté, quelle que soit son activité. 5-10 heures
Réinitialiser le mot de passe Définit la fréquence à laquelle les mots de passe doivent être modifiés. Définir sur Trimestriel
Longueur minimale Définit le nombre minimum de caractères requis dans un mot de passe. Réglé sur 9 ou plus
Empêcher la réutilisation des précédents mots de passe Interdit la réutilisation des précédents mots de passe en fonction du nombre que vous avez défini. Réglé sur 12
Nombre maximal de tentatives de connexion par jour Définit le nombre maximal de tentatives de connexion autorisées sur une période de 24 heures avant que l’utilisateur ne soit verrouillé. Réglé sur 5 ou moins
Appliquer des filtres d’adresse IP Restreint l’accès à Sage Intacct en fonction d’une liste d’adresses IP, par exemple une plage d’adresses IP depuis votre siège social.

Appliquez-les au niveau de l’utilisateur pour les administrateurs et les utilisateurs des services Web qui utilisent l’API

Envisagez également de les mettre en œuvre pour les utilisateurs ayant accès à des données financières sensibles.
Activer la vérification en deux étapes

Un autre nom commun pour cela est l’authentification multifacteur (MFA). Cette option est activée par défaut.

La vérification en deux étapes réduit le risque de compromission des mots de passe, ce qui peut entraîner un accès non autorisé à Sage Intacct.

 Veillez à ne pas autoriser l’utilisation de dispositifs de confiance par les administrateurs et d’autres utilisateurs ayant accès à des données financières et personnelles sensibles.
Activer la connexion unique

Si vous disposez d’un fournisseur SSO, Sage Intacct offre une connexion centralisée avec SAML 2.0.

Si vous choisissez l’authentification unique pour l’authentification, Sage Intacct dirigera les utilisateurs vers votre fournisseur d’authentification unique et ne contestera pas les utilisateurs avec des identifiants Sage Intacct et la vérification en 2 étapes.

Cela dépend de votre société.

Si votre société utilise un fournisseur SSO, vous devez également activer l’authentification multifacteur pour votre connexion SSO.

Utiliser des permissions basées sur les rôles

Les permissions vous permettent de décider ce qu’un utilisateur peut faire et voir dans Sage Intacct. Nous vous recommandons vivement de prendre le temps de Comprendre les permissions afin que vous puissiez déterminer le niveau d’accès approprié pour chaque utilisateur en ce qui concerne Sage Intacct et les données de votre société.

Bien que Sage Intacct prenne en charge les deux Permissions basées sur les utilisateurs et les rôles, nous vous recommandons d’utiliser Permissions basées sur les rôles. Les permissions basées sur les rôles vous permettent d’identifier des rôles d’utilisateur spécifiques, d’attribuer des permissions à ce rôle, puis d’attribuer des rôles aux utilisateurs. Si vous attribuez plusieurs rôles à un utilisateur, celui-ci hérite de toutes les permissions de chaque rôle attribué.

Les autorisations s’appliquent également aux intégrations qui dépendent de l’accès aux API. La meilleure pratique consiste à créer des rôles spécifiques pour toutes les intégrations que vous pouvez utiliser, telles que bill.com, et à ne leur accorder que les permissions dont elles ont besoin pour fonctionner.

Assurez-vous que chaque rôle ne dispose que des permissions requises pour effectuer des tâches.

Utiliser les utilisateurs et les autorisations des services Web pour les appels d’API

Sage Intacct fournit une interface de programmation d’application (API) robuste qui permet à d’autres applications, telles que bill.com, d’interagir avec Sage Intacct par programmation. Cette flexibilité s’accompagne de risques associés, alors suivez ces directives de sécurité.

  • Créez un utilisateur des services Web pour tout utilisateur qui effectue uniquement des demandes d’API

    Utilisateurs des services Web sont des comptes d’utilisateur qui ne peuvent effectuer des appels d’API qu’à votre société Sage Intacct. Ces types d’utilisateurs ne peuvent pas se connecter à Sage Intacct via un navigateur Web.

  • Gérer vos autorisations de services Web

    Utiliser Autorisations des services Web pour contrôler quelles intégrations et quels utilisateurs sont autorisés à envoyer des demandes d’API à votre société Sage Intacct. N’autorisez que les identifiants d’expéditeur identifiés et approuvés, et assurez-vous de maintenir la liste à jour.

Gérer votre politique de sécurité du contenu

Un Politique de sécurité du contenu est une couche de sécurité supplémentaire qui permet de détecter et d’atténuer certains types d’attaques d’applications, notamment le cross-site scripting (XSS) et l’injection de données.

Dans Sage Intacct, les administrateurs peuvent modifier certaines pages de leur société afin d’inclure du contenu tiers. Pour permettre cette flexibilité dans un souci de sécurité, les administrateurs modifient et appliquent une politique de sécurité du contenu à leur entreprise afin d’atténuer les risques d’attaques d’applications liées à l’utilisation de contenu tiers.

Configurez la sécurité de vos e-mails si vous autorisez Sage Intacct à envoyer des e-mails en votre nom

Vous pouvez configurer Sage Intacct de sorte que les factures, relevés et autres informations envoyés par e-mail semblent provenir de votre société et non de Sage Intacct.

Si vous configurez Sage Intacct de cette manière, assurez-vous de configurer votre Sender Policy Framework (SPF) et d’ajouter votre clé d’expéditeur d’e-mails (également appelée DKIM) aux enregistrements TXT de votre domaine. Cette pratique permet de réduire la probabilité que vos e-mails soient traités comme du spam par vos clients ou d’autres destinataires.

Découvrez comment Configurer les paramètres de votre domaine du service de livraison d’e-mails amélioré.

Restreindre les contacts dans les applications Comptes fournisseurs et Comptes clients

Dans Comptes fournisseurs ou Comptes clients, sélectionnez l’icône Restreindre aux contacts liés au fournisseur sélectionné ou Restreindre aux contacts liés au client sélectionné respectivement. Ces options empêchent l’utilisation de contacts qui ne sont pas associés à la fiche du client ou du fournisseur.

Restreindre les contacts dans Ventes et Achats

Si vous utilisez Commandes clients ou Achat, sélectionnez l’icône Limiter aux contacts liés au client uniquement ou Limiter aux contacts liés au fournisseur uniquement respectivement. Ces options empêchent l’utilisation de contacts qui ne sont pas associés à la fiche du client ou du fournisseur.

Rapports et outils

Utilisez les rapports et outils suivants pour vous aider à surveiller la confidentialité et la sécurité au sein de votre société Sage Intacct. Nous vous recommandons d’examiner les rapports sur une base trimestrielle.

Rapport d’accès utilisateurs

Le Rapport d’accès utilisateurs Répertorie tous les utilisateurs qui ont tenté d’accéder à votre société, y compris ceux qui sont actuellement connectés.

Rapports relatifs aux permissions

Il y a Plusieurs rapports de permissions que vous pouvez utiliser pour analyser les permissions des utilisateurs. Ces rapports vous aident à voir les permissions à l’échelle de la société, pour des utilisateurs spécifiques, ou à suivre l’évolution des permissions des utilisateurs.

Piste d’audit d’objet

Tout dans Sage Intacct peut avoir un impact sur vos états financiers. Les parties prenantes internes et externes doivent donc savoir comment les choses ont changé et qui a effectué ces changements. Le Piste d’audit Conserve une trace de l’auteur des modifications apportées à une fiche particulière et du moment où elle a été apportée.

Autres rapports personnalisés

Vous pouvez toujours créer des rapports personnalisés supplémentaires qui fournissent des informations historiques en fonction de votre utilisation de Sage Intacct. Voici quelques rapports supplémentaires que vous pouvez créer :

  • Historique d’approbation des factures

  • Historique d’approbation des achats

  • Historique d’approbation des feuilles de temps

  • Traçabilité des objets personnalisés

  • Historique de la commande sur achat

  • Historique des modifications de coûts

  • Historique des coûts

  • Historique de livraison directe

  • Historique des transactions du grand livre

  • Historique des frais d’approche

  • Journal de synchronisation des partenaires

  • Historique des modifications de reconnaissance des revenus

Événements intelligents

Vous pouvez utiliser Événements intelligents pour vous aider à identifier les activités légitimes et suspectes au sein de votre société. Par exemple, vous pouvez créer un événement intelligent pour vous avertir lorsqu’un nouveau fournisseur est créé ou lorsqu’une transaction d’un certain montant est comptabilisée. Vous pouvez également créer un événement intelligent pour vous avertir lorsqu’un utilisateur se voit accorder des privilèges d’administrateur ou qu’un nouvel utilisateur des services Web est créé.