Moindre privilège

Le moindre privilège est une règle simple. Chaque personne reçoit seulement les écrans et les boutons dont son travail a besoin, rien de plus. Le livreur voit les adresses du jour. Le comptable voit les factures. Aucun des deux ne peut ouvrir l'écran de l'autre. Dit à voix haute, cela paraît dur. Au quotidien, c'est la façon la plus discrète d'éviter les ennuis.

Prenez une caissière qui peut annuler une vente. L'annulation fait partie d'une journée normale. Un client change d'avis, un article passe deux fois, un prix est faux. Le bouton doit donc exister. Les vraies questions sont de savoir qui d'autre l'a et si quelqu'un vérifie un jour. Linkysoft est entré dans des magasins où tout le monde pouvait annuler, où personne ne savait qui avait appuyé, et où l'écart n'apparaissait qu'à l'inventaire. Le moindre privilège traite les deux moitiés. Donnez le bouton aux deux personnes qui en ont besoin, et inscrivez un nom à côté de chaque annulation.

La deuxième raison, c'est le vol d'un compte, pas le vol d'argent. Un mot de passe est deviné, copié sur un téléphone ou tapé sur une fausse page de connexion. Le voleur entre alors sous le nom de cette personne. La suite dépend entièrement de ce que ce compte avait le droit de toucher. Un magasinier avec trois écrans vous coûte trois écrans. Un compte responsable partagé par toute l'équipe vous coûte l'entreprise entière en une seule étape.

L'erreur la plus fréquente n'est pas d'être généreux le premier jour. C'est de ne jamais rien reprendre. Quelqu'un remplace un collègue en congé, obtient des droits en plus pour deux semaines, et les garde quatre ans. Les droits ne font que grandir. Une application web sur mesure doit montrer sur un seul écran tout ce qu'une personne peut atteindre, et permettre d'en retirer un morceau en un clic.

Storek arrive avec des rôles déjà dessinés autour des vrais métiers du magasin, si bien qu'une nouvelle caissière commence avec les bons écrans plutôt qu'avec tous. Quand Linkysoft construit un système à partir de zéro, nous posons tôt une question gênante. Si ce compte était volé ce soir, que pourrait en faire un inconnu d'ici demain matin ? La réponse raccourcit souvent la liste des droits de quelqu'un avant la première ligne de code. Posez la même question à votre prestataire. S'il ne répond pas en une minute, c'est qu'il ne sait pas non plus.