Meilleures pratiques pour la confidentialité et la sécurité

Chez Sage Intacct, nous comprenons les besoins de nos clients en matière de confidentialité et de sécurité. À mesure que la législation sur la protection de la vie privée évolue et que les besoins en matière de sécurité deviennent plus complexes, Sage Intacct se développe pour répondre à ces besoins.

Abonnement Société
Disponibilité régionale

Toutes les régions
Type d’utilisateur Entreprise utilisateur avec privilèges d’administrateur

Confidentialité

Les directives de confidentialité se concentrent sur la limitation de l’accès et du stockage des données personnelles.

Les données personnelles comprennent :

  • Noms
  • Adresses
  • Dates (date de début, date de fin, date de naissance, etc.)
  • Numéros de téléphone
  • Numéros de fax
  • Adresses e-mail
  • Numéros de sécurité sociale
  • Numéros de compte (carte de crédit, ACH, banque, etc.)
  • URLS
  • Adresses IP

Activer le masquage du SSN

Limitez les personnes qui voient collaborateur numéros SSN lorsqu’elles consultent ou modifient un collaborateur fiche. Sélectionnez l’icône Masquage du numéro de sécurité sociale des collaborateurs dans les paramètres de votre Société.

Définir les permissions appropriées

Assurez-vous d’être sélectif lorsque vous donnez Permissions aux éléments qui ont tendance à contenir des données personnelles sensibles. Parmi les articles notables, citons :

  • fournisseurs

  • clients

  • collaborateurs

  • contacts

  • Cartes de crédit

  • Comptes bancaires

  • flux bancaires

Limiter le stockage des données personnelles

Dans la mesure du possible, évitez de stocker des données personnelles dans Sage Intacct. Lorsque vous stockez des données personnelles à des fins professionnelles ou financières, utilisez toujours des champs et des objets désignés conçus pour traiter des informations sensibles. Évitez d’utiliser des champs personnalisés génériques ou des objets qui ne pourraient pas avoir les mesures de sécurité nécessaires en place. Par exemple, stockez les informations sur le client uniquement dans l’objet client. Enfin, évitez de faire des fiches en dupliqué.

En savoir plus sur données personnelles dans Sage Intacct.

Ne stockez pas de pièces jointes contenant des données sensibles

Éliminez les données personnelles sensibles des pièces jointes avant de les stocker dans Sage Intacct. Si vous avez besoin de ces données personnelles, chiffrez vos PDF avec un mot de passe pour les protéger ou envisagez d’utiliser un système de gestion de fichiers distinct conçu pour répondre à vos besoins.

En savoir plus sur Meilleures pratiques pour les pièces jointes.

Sécurité

Les directives de sécurité se concentrent sur ce que les utilisateurs peuvent faire dans votre société, la sécurité de leurs comptes et la sécurité de votre société et des fiches financières en général.

Définir le mot de passe et les options de connexion

Par défaut, tous les Mots de passe sont complexes, c’est-à-dire qu’ils contiennent au moins un numéro, une lettre minuscule, une lettre majuscule et un caractère spécial. De plus, les mots de passe sont vérifiés pour s’assurer qu’ils ne contiennent pas d’expressions courantes telles que « mot de passe ».

Le tableau ci-dessous décrit les options de connexion par mot de passe supplémentaires disponibles. Vous pouvez les définir sur le Section des paramètres de connexion dans l’onglet Sécurité dans Informations sur la Société ou dans la Préférences utilisateur d’un utilisateur individuel. Les préférences utilisateur l’emportent sur les paramètres de la société.

Option Description Meilleures pratiques

Durée d’inactivité par défaut

Maximum

 Définit la durée pendant laquelle un utilisateur peut rester inactif avant d’être automatiquement déconnecté.

Niveau de la société : Une heure ou moins

Pour les administrateurs : Durée : 15 minutes

Durée de session par défaut

Maximum

 Définit la durée pendant laquelle un utilisateur peut être connecté pour n’importe quelle session avant d’être automatiquement déconnecté, quelle que soit son activité. 5-10 heures
Réinitialiser le mot de passe Définit la fréquence à laquelle les mots de passe doivent être modifiés. Défini sur trimestriel
Longueur minimale Définit le minimum numéro de caractères requis dans un mot de passe. Réglé sur 9 ou plus
Empêcher la réutilisation des précédents mots de passe Interdit la réutilisation des précédents mots de passe en fonction du numéro que vous avez défini. Réglé sur 12
Nombre maximal de tentatives de connexion par jour Définit le maximum numéro de tentatives de connexion autorisées sur une période de 24 heures avant que le utilisateur ne soit verrouillé. Réglé sur 5 ou moins
Appliquer des filtres d’adresse IP Restreint l’accès à Sage Intacct en fonction d’une liste d’adresses IP, telle qu’une plage d’adresses IP de votre siège social.

Appliquez-les au niveau utilisateur pour les administrateurs et les utilisateurs des services Web qui utilisent l’API

Pensez également à les mettre en œuvre pour les utilisateurs ayant accès à des données financières sensibles.
Activer la vérification en deux étapes

Un autre nom commun pour cela est authentification multifacteur (MFA). Cette option est activée par défaut.

La vérification en deux étapes atténue le risque de compromission des mots de passe, ce qui peut entraîner un accès non autorisé à Sage Intacct.

 N’autorisez pas l’utilisation de dispositifs de confiance par les administrateurs et d’autres utilisateurs ayant accès à des données personnelles et financières sensibles.
Activer la connexion unique

Si vous avez un fournisseur SSO, Sage Intacct offre une connexion centralisée avec SAML 2.0.

Si vous choisissez l’authentification unique pour l’authentification, Sage Intacct dirigera les utilisateurs vers votre fournisseur d’authentification unique et ne contestera pas les utilisateurs avec des identifiants Sage Intacct et la vérification en 2 étapes.

Cela dépend de votre société.

Si votre société utilise un fournisseur SSO, vous devez également activer l’authentification multifacteur pour votre connexion SSO.

Utiliser des permissions basées sur les rôles

Les permissions vous permettent de décider ce qu’un utilisateur peut faire et voir dans Sage Intacct. Nous vous recommandons vivement de prendre le temps de Comprendre les permissions afin que vous puissiez décider du niveau d’accès approprié pour chaque utilisateur en ce qui concerne Sage Intacct et les données de votre société.

Bien que Sage Intacct prenne en charge les deux Permissions basées sur les rôles et les utilisateurs, nous vous recommandons d’utiliser Permissions basées sur les rôles. Avec les permissions basées sur les rôle, la meilleure pratique consiste à identifier des rôles utilisateur spécifiques, à attribuer des permissions à ce rôle, puis à attribuer des rôles aux utilisateurs. Si vous attribuez plusieurs rôles à un utilisateur, celui-ci hérite de toutes les permissions de chaque rôle attribué.

Les permissions s’appliquent également aux intégrations qui dépendent de l’accès à l’API. La meilleure pratique consiste à créer des rôles spécifiques pour toutes les intégrations que vous pouvez utiliser, telles que bill.com, et à lui accorder uniquement les permissions dont il a besoin pour fonctionner.

Assurez-vous que chaque rôle ne dispose que des permissions requises pour accomplir des tâches.

Utiliser les utilisateurs et les autorisations des services Web pour les appels d’API

Sage Intacct fournit un API (API) robuste qui permet à d’autres applications, telles que bill.com, d’interagir avec Sage Intacct par programmation. Cette flexibilité s’accompagne de risques associés, alors suivez ces consignes de sécurité.

  • Créez un utilisateur de services Web pour toute utilisateur qui n’effectue que des demandes d’API

    Utilisateurs des services Web sont utilisateur comptes qui ne peuvent effectuer des appels d’API que vers votre société Sage Intacct. Ces types d’utilisateurs ne peuvent pas se connecter à Sage Intacct via un navigateur Web.

  • Gérer vos autorisations de services Web

    Utilisation Autorisations des services Web pour contrôler quelles intégrations et quels utilisateurs sont autorisés à envoyer des demandes d’API à votre société Sage Intacct. N’autorisez que les ID d’expéditeur identifiés et approuvés et assurez-vous de maintenir la liste à jour.

Gérer votre politique de sécurité du contenu

A Politique de sécurité du contenu est une couche de sécurité supplémentaire qui permet de détecter et d’atténuer certains types d’attaques d’applications, notamment les scripts intersites (XSS) et l’injection de données.

Dans Sage Intacct, les administrateurs peuvent modifier certaines pages de leur société pour inclure du contenu tiers. Pour permettre cette flexibilité dans un souci de sécurité, les administrateurs modifient et appliquent une politique de sécurité du contenu à leur société afin d’atténuer les risques d’attaques d’applications liées à l’utilisation de contenu tiers.

Configurez la sécurité de votre messagerie si vous autorisez Sage Intacct à envoyer des e-mails en votre nom

Vous pouvez configurer Sage Intacct de sorte que les factures, relevés et autres informations envoyés par e-mail semblent provenir de votre société et non de Sage Intacct.

Si vous configurez Sage Intacct de cette manière, veillez à configurer votre Sender Policy Framework (SPF) et à ajouter votre clé d’expéditeur d’e-mails (également connue sous le nom de DKIM) aux enregistrements TXT de votre domaine. Cette pratique permet de réduire la probabilité que vos e-mails soient traités comme du spam par vos clients ou d’autres destinataires.

Découvrez comment configurer les paramètres de votre domaine du service de livraison d’e-mails amélioré.

Restreindre les contacts dans les applications Comptes fournisseurs et Comptes clients

Dans Comptes fournisseurs ou Comptes clients, sélectionnez l’icône Restreindre aux contacts liés au fournisseur sélectionné ou Restreindre aux contacts liés au client sélectionné respectivement. Ces options empêchent l’utilisation de contacts qui ne sont pas associés au client ou à la fournisseur fiche.

Restreindre les contacts dans Ventes et Achats

Si vous utilisez Ventes ou Achats, sélectionnez l’icône Limiter aux contacts liés au client uniquement ou Limiter aux contacts liés au fournisseur uniquement respectivement. Ces options empêchent l’utilisation de contacts qui ne sont pas associés au client ou à la fournisseur fiche.

Rapports et outils

Utilisez les rapports et outils suivants pour vous aider à surveiller la confidentialité et la sécurité dans votre société Sage Intacct. Nous vous recommandons d’examiner les rapports sur une base trimestrielle.

rapport d’accès utilisateur

Le rapport d’accès utilisateur Répertorie tous les utilisateurs qui ont tenté d’accéder à votre société, y compris ceux qui sont actuellement connectés.

Rapports relatifs aux permissions

Il y a Plusieurs rapports de permissions que vous pouvez utiliser pour analyser utilisateur permissions. Ces rapports vous aident à voir les permissions au sein de la société, pour des utilisateurs spécifiques, ou à suivre l’évolution des permissions des utilisateurs.

Piste d’audit d’objet

Tout dans Sage Intacct peut avoir un impact sur vos relevés financiers, c’est pourquoi les parties prenantes internes et externes doivent savoir comment les choses ont changé et qui a effectué ces changements. Le Piste d’audit Conserve une fiche indiquant qui a apporté des modifications à une fiche particulière et à quel moment.

Autres rapports personnalisés

Vous pouvez toujours créer des rapports personnalisés supplémentaires qui fournissent des informations historiques en fonction de votre utilisation de Sage Intacct. Voici quelques rapports supplémentaires que vous pouvez créer :

  • Historique d’approbation de factures

  • Historique d’approbation des achats

  • Historique d’approbation des feuilles de temps

  • Traçabilité des objets personnalisés

  • Historique de l’achat à la commande

  • Historique des modifications de coûts

  • Historique des coûts

  • Historique de livraison directe

  • Historique des transactions du grand livre

  • Historique des frais d’approche

  • Journal de synchronisation des partenaires

  • Historique des modifications de reconnaissance des revenus

Événements intelligents

Vous pouvez utiliser Événements intelligents pour vous aider à identifier les activités légitimes et suspectes au sein de votre société. Par exemple, vous pouvez créer un événement intelligent pour vous avertir lorsqu’un nouveau fournisseur est créé ou lorsqu’une transaction dépassant un certain montant est comptabilisée. Vous pouvez également créer un événement intelligent pour vous avertir lorsqu’un utilisateur se voit accorder des privilèges d’administrateur ou qu’un nouvel utilisateur de services Web est créé.