ISO 27001:2022 Bilag A Kontrol 5.3

Hvad er formålet med ISO 27001:2022 Annex A 5.3?

I ISO 27001 sigter Kontrol 5.3 Opdeling af pligter mod at adskille modstridende pligter. Dette reducerer risikoen for svindel og fejl og omgår informationssikkerhed kontroller.

Bilag A Kontrol 5.3 Forklaret

I overensstemmelse med ISO 27001, Bilag A Kontrol 5.3 beskriver implementeringsretningslinjerne for adskillelse af organisatoriske opgaver og pligter.

Ved at uddelegere delopgaver til forskellige individer skaber dette princip et system af checks and balances, der kan reducere sandsynligheden for, at fejl og svig opstår.

Kontrollen er designet til at forhindre, at en enkelt person er i stand til at begå, skjule og retfærdiggøre upassende handlinger og derved reducere risikoen for svindel og fejl. Det forhindrer også en enkelt person i at tilsidesætte informationssikkerhedskontrol.

I tilfælde, hvor én medarbejder har alle de rettigheder, der kræves til opgaven, er der større sandsynlighed for, at der opstår svindel og fejl. Dette skyldes, at én person kan udføre alt uden nogen form for checks og balances. Der er dog en reduceret risiko for betydelig skade eller økonomisk tab fra en medarbejder, når ingen enkelt person har alle de adgangsrettigheder, der kræves til en bestemt opgave.

Hvad er involveret og krav i bilag A 5.3

I mangel af korrekt adskillelse af opgaver og ansvar kan der opstå svindel, misbrug, uautoriseret adgang og andre sikkerhedsproblemer.

Derudover er adskillelse af opgaver påkrævet for at mindske risikoen for samarbejde mellem enkeltpersoner. Disse risici øges, når utilstrækkelige kontroller forhindrer eller opdager hemmeligt samarbejde.

Som en del af ISO 27001:2022 organisationen bør bestemme, hvilke pligter og ansvarsområder der er behov for at blive adskilt og implementere handlingsrettede adskillelseskontroller.

Når sådanne kontroller ikke er mulige, især for små organisationer med et begrænset antal ansatte, skal aktivitetsovervågning, revisionsspor, og ledelsestilsyn kan anvendes. Ved hjælp af automatiserede værktøjer kan større organisationer identificere og adskille roller for at forhindre modstridende roller i at blive tildelt.

Hvad er ændringerne og forskellene fra ISO 27001:2013?

ISO 27001:2022's bilag A kontrol 5.3 Opdeling af opgaver er en revideret version af ISO 27001:2013's bilag A kontrol 6.1.2 Opdeling af opgaver.

Bilag A 5.3 ISO 27001:2022 og Bilag A 6.1.2 ISO 27001:2013 beskriver de samme grundlæggende egenskaber ved kontrollen "Opdeling af opgaver". Den seneste version definerer dog en række aktiviteter, der kræver adskillelse under implementeringen.

Blandt disse aktiviteter er:

a) igangsætte, godkende og udføre en ændring;

b) anmode om, godkende og implementere adgangsrettigheder;

c) designe, implementere og gennemgå kode;

d) udvikling af software og administration af produktionssystemer;

e) brug og administration af applikationer;

f) brug af applikationer og administration af databaser;

g) design, revision og sikring af informationssikkerhedskontroller.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.

Hvem har ejerskab til bilag A 5.3?

Flere personer er ansvarlige for adskillelsen af ​​opgaver i ISO 27001, begyndende med et medlem af seniorledelsen. Denne person er ansvarlig for at sikre, at den indledende risikovurdering har fundet sted.

Som følge heraf bør andre grupper af kvalificerede medarbejdere tildeles processer, der gælder for forskellige dele af organisationen. Ordre for at forhindre useriøse medarbejdere i at underminere virksomhedens sikkerhed sker normalt ved at tildele opgaver til andre arbejdsenheder og afdelingsfordeling af it-relaterede drift- og vedligeholdelsesaktiviteter.

Funktionsadskillelsen kan ikke etableres korrekt uden en effektiv risikostyring strategi, et passende kontrolmiljø og et passende it-revisionsprogram.

Brug ISMS.online til din fordel

ISO 27001:2022 kræver kun, at du opdaterer dine ISMS-processer, så de afspejler de forbedrede Annex A-kontroller, og hvis dit team ikke kan administrere dette, kan ISMS.online det.

Foruden DPIA og andre relaterede persondatavurderinger, ligesom LIA'er, giver ISMS.online enkle, praktiske rammer og skabeloner til informationssikkerhed.

Med ISMS.online, kan du dokumentere procedurer og tjeklister for informationssikkerhedsstyringssystem for at sikre overholdelse af ISO 27001, hvilket automatiserer implementeringsprocessen.

ISMS.online giver dig mulighed for:

• Opret en ISMS, der er kompatibel med ISO 27001 standarder.
• Udfør opgaver og indsend bevis for, at de har opfyldt standardens krav.
• Tildel opgaver og spor fremskridt hen imod overholdelse af loven.
• Få adgang til et specialiseret team af rådgivere til at hjælpe dig hele vejen mod overholdelse.

Ved at bruge vores cloud-baserede platform kan du centralt administrere tjeklister, interagere med kolleger og bruge et omfattende sæt værktøjer til at hjælpe din organisation med at skabe og vedligeholde en ismer.

Kontakt i dag for book en demo.