ISO 27002:2022 – Kontrol 5.3 – Opdeling af opgaver

Hvad er Kontrol 5.3 Funktionsadskillelse?

Forklaret modstridende pligter og ansvarsområder

Hver organisation har et sæt politikker og procedurer (P&P'er), der styrer dens interne arbejde. P&P'er formodes at være dokumenteret, men ofte er de det ikke.

Hvis disse P&P'er ikke er klare eller velkommunikerede, er resultatet forvirring blandt medarbejderne om deres ansvarsområder. Dette kan blive endnu værre, når medarbejderne har overlappende ansvarsområder eller modstridende ansvarsområder.

Konflikter kan opstå, når to eller flere medarbejdere har lignende eller forskellige ansvar over for en bestemt opgave. Når dette sker, kan medarbejderne ende med at gøre det samme to gange, eller gøre forskellige ting, der ophæver hinandens indsats. Dette spilder virksomhedens ressourcer og reducerer produktiviteten, hvilket påvirker både virksomhedens bundlinje og moral.

For at sikre, at din organisation ikke lider af dette problem, er det vigtigt at forstå, hvilke ansvarsområder der er modstridende, hvorfor de sker, og hvordan du kan forhindre dem i at opstå i din organisation. For det meste betyder det at adskille opgaver, så forskellige mennesker håndterer forskelligt roller i organisationen.

Attributter Kontroltabel 5.3

Kontroller er klassificeret efter deres egenskaber. Attributter hjælper dig med at tilpasse dit kontrolvalg til industristandarder og sprog. I kontrol 5.3 er disse:

Hvad er formålet med kontrol 5.3?

Formålet med kontrol 5.3 Opdeling af opgaver i ISO 27002 er at reducere risikoen for svig, fejl og omgåelse af informationssikkerhedskontroller ved at sikre, at modstridende opgaver adskilles.

Kontrol 5.3 Forklaret

Kontrol 5.3 dækker implementeringsvejledningen for adskillelsesopgaver og pligter i en organisation i tråd med rammerne for ISO 27001.

Princippet går ud på at nedbryde nøgleopgaver i underopgaver og tildele dem til forskellige personer. Dette skaber et system af checks og balancer, der kan reducere risikoen for fejl eller svindel.

Kontrollen er designet til at forhindre, at en enkelt person kan begå, skjule og retfærdiggøre upassende handlinger og dermed mindske risikoen for svindel eller fejl. Det forhindrer også en enkelt person i at kunne tilsidesætte informationssikkerhedskontroller.

Hvis én medarbejder har alle rettigheder, der kræves til en bestemt opgave, er der en højere risiko for svindel eller fejl, da én person kan gøre alt uden nogen form for checks og balances. Men hvis ingen enkelt person har alle adgangsrettigheder, der kræves til en bestemt opgave, reducerer dette risikoen for, at en medarbejder kan forårsage betydelig skade eller økonomisk tab.

Hvad er involveret, og hvordan man opfylder kravene

Pligter og ansvarsområder, der ikke er adskilte, kan føre til svindel, misbrug, upassende adgang og andre sikkerhedshændelser.

Derudover er adskillelse af opgaver nødvendig for at mindske de risici, der er forbundet med potentialet for samordning mellem enkeltpersoner. Disse risici øges, når der ikke er tilstrækkelig kontrol til at forhindre eller opdage hemmeligt samarbejde.

For at opfylde kravene til kontrol 5.3 i ISO 27002:2022 bør organisationen bestemme, hvilke opgaver og ansvarsområder der skal adskilles, og handlingsegnede adskillelseskontroller skal indføres.

Hvor sådanne kontroller ikke er mulige, især for små organisationer med minimal personalestyrke, aktivitetsovervågning, revisionsspor og ledelsestilsyn Kan bruges. For større organisationer kan automatiserede værktøjer bruges til at identificere og adskille roller, så modstridende roller ikke tildeles personer.

Forskelle mellem ISO 27002:2013 og ISO 27002:2022

Kontrolnummeret 5.3 Opdeling af opgaver i ISO 27002:2022 er ikke en ny kontrol. Det er simpelthen en forbedret version af kontrol 6.1.2 Opdeling af opgaver fundet i ISO 27002:2013.

Det grundlæggende i funktionsadskillelse er det samme i både kontrol 5.3 ISO 27002:2022 og kontrol 6.1.2 ISO 27002:2013. Den nye version beskriver dog en række aktiviteter, der kræver adskillelse ved implementering af denne kontrol.

Disse aktiviteter er:

a) igangsætte, godkende og udføre en ændring;

b) anmode om, godkende og implementere adgangsrettigheder;

c) designe, implementere og gennemgå kode;

d) udvikling af software og administration af produktionssystemer;

e) brug og administration af applikationer;

f) brug af applikationer og administration af databaser;

g) designe, revidere og sikre informationssikkerhedskontrol.

Hvem er ansvarlig for denne proces?

Der er flere personer, der er ansvarlige for adskillelse af opgaver i ISO 27002. For det første bør et højtstående medlem af ledelsesteamet involveres for at sikre, at den indledende risikovurdering er afsluttet.

Derefter bør de processer, der dækker forskellige dele af organisationen, allokeres til forskellige grupper af kvalificerede medarbejdere. For at forhindre useriøse medarbejdere i at underminere virksomhedens sikkerhed, gøres dette normalt ved at tildele opgaver til forskellige arbejdsenheder og afdelingalisere de IT-relaterede drift- og vedligeholdelsesaktiviteter.

Endelig kan adskillelse af opgaver ikke etableres korrekt uden et passende IT-revisionsprogram, en effektiv risikostyringsstrategi samt et passende kontrolmiljø.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Den nye ISO 27002:2022 standard kræver ikke, at du skal gøre meget andet end opgrader dit ISMS processer for at afspejle de forbedrede kontroller. Og hvis dit team ikke kan klare dette, ISMS.online kan hjælpe dig.

ISMS.online strømliner ISO 27002 implementeringsprocessen ved at levere en sofistikeret cloud-baseret ramme til dokumentation af procedurer og tjeklister for informationssikkerhedsstyringssystem for at sikre overholdelse af anerkendte standarder.

Når du bruger ISMS.online, vil du være i stand til at:

• oprette et ISMS, der er kompatibelt med ISO 27001 standarder.
• udføre opgaver og fremlægge bevis for, at de har opfyldt standardens krav.
• fordele opgaver og spore fremskridt hen imod overholdelse af loven.
• få adgang til et specialiseret team af rådgivere, der vil hjælpe dig hele vejen mod overholdelse.

Takket være vores cloud-baserede platform er det nu muligt centralt at administrere dine tjeklister, interagere med kolleger og bruge et omfattende sæt værktøjer til at hjælpe din organisation med at skabe og drive et ISMS i overensstemmelse med verdensomspændende bedste praksis.

Kontakt i dag for book en demo.