ISO 27001:2022 Bilaga A 5.3 – Uppdelning av arbetsuppgifter

Motstridiga skyldigheter och ansvarsområden förklaras

Nästan varje organisation har en uppsättning policyer och rutiner som styr dess interna verksamhet. Dessa policyer och procedurer är tänkta att dokumenteras, men så är inte alltid fallet.

Det finns en risk att anställda blir förvirrade om sina ansvarsområden om P&P:erna inte är transparenta eller väl kommunicerade. Detta blir ännu mer problematiskt när anställda har överlappande eller motstridiga ansvarsområden.

Ibland kan konflikter uppstå när anställda har ansvar som är relaterade till en viss uppgift som är liknande eller olika. Som ett resultat kan anställda göra samma sak två gånger eller utföra olika funktioner som tar bort andras ansträngningar. Detta slöser företagets resurser och minskar produktiviteten, vilket påverkar företagets resultat och moral negativt.

Det här problemet kan undvikas genom att säkerställa att din organisation inte upplever motstridiga ansvarsområden och att veta varför och vad du kan göra för att förhindra dem. För det mesta innebär detta att separera arbetsuppgifter så att olika personer sköter olika organisatoriska roller.

Vad är syftet med ISO 27001:2022 bilaga A 5.3?

I ISO 27001 syftar Control 5.3 Segregation of Duties till att skilja motstridiga uppgifter åt. Detta minskar risken för bedrägerier och fel och kringgår informationssäkerhet kontroller.

Bilaga A Kontroll 5.3 Förklaras

I enlighet med ISO 27001, bilaga A Kontroll 5.3 beskriver implementeringsriktlinjerna för åtskillnad av organisatoriska uppgifter och uppgifter.

Genom att delegera deluppgifter till olika individer skapar denna princip ett system av kontroller och avvägningar som kan minska sannolikheten för att fel och bedrägerier ska inträffa.

Kontrollen är utformad för att förhindra en enskild person från att kunna begå, dölja och motivera otillbörliga handlingar och därigenom minska risken för bedrägerier och fel. Det förhindrar också att en enda person åsidosätter informationssäkerhetskontroller.

I de fall en anställd har alla de rättigheter som krävs för uppgiften är det mer sannolikt att bedrägerier och fel uppstår. Detta beror på att en person kan utföra allt utan några kontroller. Det finns dock en minskad risk för betydande skada eller ekonomisk förlust från en anställd när ingen enskild person har alla de rättigheter som krävs för en viss uppgift.

Vad som är inblandat och kraven i bilaga A 5.3

I avsaknad av korrekt åtskillnad av uppgifter och ansvar kan bedrägeri, missbruk, obehörig åtkomst och andra säkerhetsproblem uppstå.

Dessutom krävs åtskillnad av arbetsuppgifter för att minska riskerna för samarbete mellan individer. Dessa risker ökar när otillräckliga kontroller förhindrar eller upptäcker maskopi.

Som en del av ISO 27001:2022 organisationen bör avgöra vilka uppgifter och ansvarsområden som behövs att separeras och implementera åtgärdsbara separationskontroller.

Närhelst sådana kontroller inte är möjliga, särskilt för små organisationer med ett begränsat antal anställda, kan aktivitetsövervakning, revisionsspår, och ledningstillsyn kan användas. Med hjälp av automatiserade verktyg kan större organisationer identifiera och separera roller för att förhindra att motstridiga roller tilldelas.

Vilka är ändringarna och skillnaderna från ISO 27001:2013?

ISO 27001:2022:s bilaga A-kontroll 5.3 Uppdelning av uppgifter är en reviderad version av ISO 27001:2013:s bilaga A kontroll 6.1.2 Uppdelning av uppgifter.

Bilaga A 5.3 ISO 27001:2022 och bilaga A 6.1.2 ISO 27001:2013 beskriver samma grundläggande egenskaper hos kontrollen "Segregation of duties". Den senaste versionen definierar dock ett antal aktiviteter som kräver segregering under implementeringen.

Bland dessa aktiviteter finns:

a) initiera, godkänna och verkställa en förändring;

b) begära, godkänna och implementera åtkomsträttigheter;

c) designa, implementera och granska kod;

d) utveckla mjukvara och administrera produktionssystem;

e) använda och administrera applikationer;

f) använda applikationer och administrera databaser;

g) designa, granska och säkerställa informationssäkerhetskontroller.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Vem har äganderätten till bilaga A 5.3?

Flera personer är ansvariga för åtskillnaden av arbetsuppgifter i ISO 27001, till att börja med en ledande befattningshavare. Denna person ansvarar för att den initiala riskbedömning har ägt rum.

Som ett resultat av detta bör andra grupper av kvalificerade medarbetare tilldelas processer som gäller olika delar av organisationen. Ordning för att förhindra att oseriösa anställda undergräver företagets säkerhet sker vanligtvis genom att tilldela uppgifter till andra arbetsenheter och avdelningsfördelning av IT-relaterad drift och underhållsverksamhet.

Arbetsfördelningen kan inte fastställas korrekt utan en effektiv riskhantering strategi, en lämplig kontrollmiljö och ett lämpligt IT-revisionsprogram.

Använd ISMS.online till din fördel

ISO 27001:2022 kräver bara att du uppdaterar dina ISMS-processer för att återspegla de förbättrade Annex A-kontrollerna, och om ditt team inte kan hantera detta kan ISMS.online göra det.

Utöver DPIA och andra relaterade bedömningar av personuppgifter, liksom LIA, tillhandahåller ISMS.online enkla, praktiska ramverk och mallar för informationssäkerhet.

Med ISMS.online, kan du dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa överensstämmelse med ISO 27001, vilket automatiserar implementeringsprocessen.

ISMS.online låter dig:

• Skapa ett ISMS som är kompatibelt med ISO 27001 standarder.
• Utför uppgifter och skicka in bevis som visar att de har uppfyllt standardens krav.
• Fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
• Få tillgång till ett specialiserat team av rådgivare som hjälper dig hela vägen mot efterlevnad.

Genom att använda vår molnbaserade plattform kan du centralt hantera checklistor, interagera med kollegor och använda en omfattande uppsättning verktyg för att hjälpa din organisation att skapa och underhålla en ISMS.

Hör av dig idag för att boka en demo.