Meilleures pratiques pour la confidentialité et la sécurité

Chez Sage Intacct, nous comprenons les besoins de nos clients en matière de confidentialité et de sécurité. À mesure que la législation sur la protection de la vie privée évolue et que les besoins en matière de sécurité deviennent plus complexes, Sage Intacct se développe pour répondre à ces besoins.

Abonnement Société
Disponibilité régionale

Toutes les régions
Type d’utilisateur Utilisateur professionnel disposant de privilèges d’administrateur

Confidentialité

Les directives de confidentialité se concentrent sur la limitation de l’accès et du stockage des données personnelles.

Les données personnelles comprennent :

  • Noms
  • Adresses
  • Dates (date de début, date de fin, date de naissance, etc.)
  • Numéros de téléphone
  • Numéros de télécopieur
  • Adresses e-mail
  • Numéros de sécurité sociale
  • Numéros de compte (carte de crédit, ACH, banque, etc.)
  • URLS
  • Adresses IP

Activer le masquage SSN

Limitez le nombre de personnes qui voient les numéros de numéro de sécurité sociale d’un collaborateur lorsqu’ils consultent ou modifient une fiche d’collaborateur. Sélectionnez l’icône Masquage du numéro de sécurité sociale des employés dans les paramètres de votre Société.

Définir les autorisations appropriées

Assurez-vous d’être sélectif lorsque vous donnez Autorisations à des articles qui ont tendance à contenir des données personnelles sensibles. Parmi les articles notables, citons :

  • fournisseurs

  • clients

  • collaborateurs

  • contacts

  • Cartes de crédit

  • comptes bancaires

  • flux bancaires

Limiter le stockage des données personnelles

Dans la mesure du possible, évitez de stocker des données personnelles dans Sage Intacct. Lorsque vous stockez des données personnelles à des fins professionnelles ou financières, utilisez toujours des champs et des objets conçus pour le traitement d’informations sensibles. Évitez d’utiliser des champs personnalisés génériques ou des objets qui n’ont pas pu disposer des mesures de sécurité nécessaires. Par exemple, stockez les informations client uniquement dans l’objet client. Enfin, évitez de faire des enregistrements en dupliqué.

En savoir plus sur données personnelles dans Sage Intacct.

Ne stockez pas de pièces jointes contenant des données sensibles

Caviardez les données personnelles sensibles des pièces jointes avant de les stocker dans Sage Intacct. Si vous avez besoin de ces données personnelles, cryptez vos PDF avec un mot de passe pour les protéger ou envisagez d’utiliser un système de gestion de fichiers distinct conçu pour répondre à vos besoins.

En savoir plus sur Bonnes pratiques pour les pièces jointes.

Sécurité

Les directives de sécurité se concentrent sur ce que les utilisateurs peuvent faire dans votre société, la sécurité de leurs comptes et la sécurité de votre société et de vos dossiers financiers en général.

Définir le mot de passe et les options de connexion

Par défaut, tous les Mots de passe sont complexes, c’est-à-dire qu’ils contiennent au moins un numéro, une lettre minuscule, une lettre majuscule et un caractère spécial. De plus, les mots de passe sont vérifiés pour s’assurer qu’ils ne contiennent pas d’expressions courantes telles que « mot de passe ».

Le tableau ci-dessous décrit les autres options de connexion par mot de passe disponibles. Vous pouvez les définir sur le Section des paramètres de connexion dans l’onglet Sécurité des informations sur la Société ou dans le Préférences de l’utilisateur d’un utilisateur individuel. Les préférences de l’utilisateur remplacent les paramètres de la société.

Option Description Meilleures pratiques

Durée d’inactivité par défaut

Maximum

 Définit la durée pendant laquelle un utilisateur peut rester inactif avant d’être automatiquement déconnecté.

Société : Une heure ou moins

Pour les administrateurs : 15 minutes

Durée de session par défaut

Maximum

 Définit la durée pendant laquelle un utilisateur peut être connecté pour n’importe quelle session avant d’être automatiquement déconnecté, quelle que soit son activité. 5 à 10 heures
Réinitialiser le mot de passe Définit la fréquence à laquelle les mots de passe doivent être modifiés. Définir sur Trimestriel
Longueur minimale Définit la minimum numéro de caractères requis dans un mot de passe. Réglé sur 9 ou plus
Empêcher la réutilisation des précédents mots de passe Interdit la réutilisation des mots de passe précédents en fonction du numéro que vous avez défini. Réglé sur 12
Nombre maximal de tentatives de connexion par jour Définit le numéro maximum de tentatives de connexion autorisées au cours d’une période de 24 heures avant que le utilisateur ne soit verrouillé. Réglé sur 5 ou moins
Appliquer des filtres d’adresse IP Restreint l’accès à Sage Intacct en fonction d’une liste d’adresses IP, telle qu’une plage d’adresses IP de votre siège social.

Appliquer au niveau de l’utilisateur pour les administrateurs et les utilisateurs des services Web qui utilisent l’API

Envisagez également de l’appliquer pour les utilisateurs ayant accès à des données financières sensibles.
Activer la vérification en deux étapes

Un autre nom courant pour cela est l’authentification multifacteur (MFA). Cette option est activée par défaut.

La vérification en deux étapes atténue le risque que les mots de passe soient compromis, ce qui peut entraîner un accès non autorisé à Sage Intacct.

 N’autorisez pas les administrateurs et autres utilisateurs à utiliser des appareils de confiance ayant accès à des données personnelles et financières sensibles.
Activer la connexion unique

Si vous avez un fournisseur SSO, Sage Intacct propose une connexion centralisée avec SAML 2.0.

Si vous choisissez l’authentification unique pour l’authentification, Sage Intacct dirigera les utilisateurs vers votre fournisseur d’authentification unique et ne contestera pas les utilisateurs avec des informations d’identification Sage Intacct et une vérification en 2 étapes.

Cela dépend de votre société.

Si votre société utilise un fournisseur SSO, vous devez également activer l’authentification multifacteur pour votre connexion SSO.

Utiliser des autorisations basées sur les rôles

Les autorisations vous permettent de décider ce qu’un utilisateur peut faire et voir dans Sage Intacct. Nous vous recommandons vivement de prendre le temps de Comprendre les autorisations afin que vous puissiez décider quel est le bon niveau d’accès pour chaque utilisateur en ce qui concerne Sage Intacct et les données de votre société.

Bien que Sage Intacct prenne en charge les deux Autorisations basées sur l’utilisateur et le rôle, nous vous recommandons d’utiliser Autorisations basées sur les rôles. Avec les autorisations basées sur les rôles, la meilleure pratique consiste à identifier des rôles d’utilisateur spécifiques, à attribuer des autorisations à ce rôle, puis à attribuer des rôles aux utilisateurs. Si vous attribuez plusieurs rôles à un utilisateur, celui-ci hérite de toutes les autorisations de chaque rôle attribué.

Les autorisations s’appliquent également aux intégrations qui reposent sur l’accès à l’API. La meilleure pratique consiste à créer des rôles spécifiques pour toutes les intégrations que vous pouvez utiliser, telles que bill.com, et à lui accorder uniquement les autorisations dont il a besoin pour fonctionner.

Assurez-vous que chaque rôle ne dispose que des autorisations requises pour effectuer des tâches.

Utiliser les utilisateurs et les autorisations des services Web pour les appels d’API

Sage Intacct fournit une API robuste (API) qui permet à d’autres applications, telles que bill.com, d’interagir avec Sage Intacct de manière programmatique. Cette flexibilité s’accompagne de risques associés, alors suivez ces directives de sécurité.

  • Créez un utilisateur de services Web pour tout utilisateur qui effectue uniquement des requêtes d’API

    Utilisateurs des Web Services sont des comptes d’utilisateurs qui ne peuvent effectuer des appels d’API qu’à votre société Sage Intacct. Ces types d’utilisateurs ne peuvent pas se connecter à Sage Intacct par le biais d’un navigateur Web.

  • Gérer vos autorisations de services Web

    Utilisation Autorisations des Web Services pour contrôler quelles intégrations et quels utilisateurs sont autorisés à faire des demandes d’API à votre société Sage Intacct. N’autorisez que les identifiants d’expéditeur identifiés et approuvés, et assurez-vous de garder la liste à jour.

Gérer votre politique de sécurité du contenu

A Politique de sécurité du contenu Il s’agit d’une couche de sécurité supplémentaire qui permet de détecter et d’atténuer certains types d’attaques d’applications, notamment le cross-site scripting (XSS) et l’injection de données.

Dans Sage Intacct, les administrateurs peuvent modifier certaines pages de leur société pour inclure du contenu de tiers. Pour permettre cette flexibilité dans un souci de sécurité, les administrateurs modifient et appliquent une politique de sécurité du contenu à leur société afin d’atténuer les risques d’attaques d’applications liées à l’utilisation de contenu tiers.

Configurez la sécurité de vos courriels si vous autorisez Sage Intacct à envoyer des courriels en votre nom

Vous pouvez configurer Sage Intacct de sorte que les factures, les relevés et autres informations envoyés par e-mail semblent provenir de votre société au lieu de Sage Intacct.

Si vous configurez Sage Intacct de cette façon, assurez-vous de configurer votre cadre de politique de l’expéditeur (SPF) et d’ajouter votre clé d’expéditeur de courriel (également connue sous le nom de DKIM) aux enregistrements TXT de votre domaine. Cette pratique permet de réduire la probabilité que vos e-mails soient traités comme du spam par vos clients ou d’autres destinataires.

Apprenez à configurer les paramètres de domaine du service de distribution d’e-mails amélioré.

Restreindre les contacts dans les Comptes fournisseurs et les Comptes clients

Dans Comptes fournisseurs ou Comptes clients, sélectionnez l’icône Limiter aux contacts liés au fournisseur sélectionné ou Limiter aux contacts liés au client sélectionné respectivement. Ces options empêchent l’utilisation de contacts qui ne sont pas associés à la fiche d’enregistrement du client ou du fournisseur.

Restreindre les contacts dans la saisie des Ventes et les Achats

Si vous utilisez Ventes ou Achats, sélectionnez l’icône Limiter aux contacts liés au client uniquement ou Limiter aux contacts liés au fournisseur uniquement respectivement. Ces options empêchent l’utilisation de contacts qui ne sont pas associés à la fiche d’enregistrement du client ou du fournisseur.

Rapports et outils

Utilisez les rapports et les outils suivants pour vous aider à surveiller la confidentialité et la sécurité dans votre société Sage Intacct. Nous vous recommandons d’examiner les rapports sur une base trimestrielle.

Rapport d’accès utilisateur

L' Rapport d’accès utilisateur Répertorie tous les utilisateurs qui ont tenté d’accéder à votre société, y compris ceux qui sont actuellement connectés.

Rapports sur les autorisations

Il y a Plusieurs rapports d’autorisations Vous pouvez l’utiliser pour analyser les autorisations des utilisateurs. Ces rapports vous permettent de voir les autorisations dans l’ensemble de l’société, pour des utilisateurs spécifiques, ou de suivre l’évolution des autorisations des utilisateurs.

Piste d’audit d’objet

Tout dans Sage Intacct peut avoir une incidence sur vos états financiers, de sorte que les parties prenantes internes et externes doivent savoir comment les choses ont changé et qui a apporté ces changements. L' Piste d’audit Conserve une fiche indiquant qui a apporté des modifications à un fiche particulier et quand.

Autres rapports personnalisés

Vous pouvez toujours créer des rapports personnalisés supplémentaires qui fournissent des informations historiques en fonction de la façon dont vous utilisez Sage Intacct. Voici quelques rapports supplémentaires que vous pouvez créer :

  • Historique de l’approbation des projets de loi

  • Historique d’approbation des achats

  • Historique d’approbation des feuilles de temps

  • Parcours d’activité pour les objets personnalisés

  • Historique des achats sur commande

  • Historique des modifications de coûts

  • Historique des coûts

  • Historique de livraison directe

  • Historique des transactions du grand livre

  • Historique des frais d’approche

  • Journal de synchronisation des partenaires

  • Historique des modifications de reconnaissance des revenus

Événements intelligents

Vous pouvez utiliser Événements intelligents pour vous aider à identifier les activités légitimes et suspectes dans votre société. Par exemple, vous pouvez créer un événement intelligent pour vous avertir lorsqu’un nouveau fournisseur est créé ou lorsqu’une transaction supérieure à un certain montant est enregistrée. Vous pouvez également créer un événement intelligent pour vous avertir lorsqu’un utilisateur se voit accorder des privilèges d’administrateur ou qu’un nouvel utilisateur des services Web est créé.