ISO 27002: 2022 kontroll 5.3 — Segregation of Duties, tidigare känd som kontroll 6.1.2 i ISO 27002:2013 definierar systemet genom vilket motstridiga uppgifter och motstridiga ansvarsområden separeras.
Varje organisation har en uppsättning policyer och procedurer (P&P) som styr dess interna arbete. P&P ska dokumenteras, men ofta är de inte det.
Om dessa P&P inte är tydliga eller väl kommunicerade, blir resultatet förvirring bland anställda om deras ansvarsområden. Detta kan bli ännu värre när anställda har överlappande ansvarsområden eller motstridiga ansvarsområden.
Konflikter kan uppstå när två eller flera anställda har liknande eller olika ansvar för en viss uppgift. När detta händer kan det sluta med att de anställda gör samma sak två gånger, eller gör olika saker som slår ut varandras ansträngningar. Detta slöser företagets resurser och minskar produktiviteten, vilket påverkar både företagets resultat och moral.
För att säkerställa att din organisation inte lider av detta problem är det viktigt att förstå vilka ansvarsområden som är motstridiga, varför de inträffar och hur du kan förhindra att de uppstår i din organisation. För det mesta innebär detta att separera arbetsuppgifter så att olika personer hanterar olika roller i organisationen.
Kontroller klassificeras enligt deras egenskaper. Attribut hjälper dig att anpassa ditt kontrollval till industristandarder och språk. I kontroll 5.3 är dessa:
Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
---|---|---|---|---|
#Förebyggande | #Konfidentialitet #Integritet #Tillgänglighet | #Skydda | #Governance #Identitets- och åtkomsthantering | #Styrelse och ekosystem |
Syftet med kontroll 5.3 Uppdelning av arbetsuppgifter i ISO 27002 är att minska risken för bedrägerier, fel och kringgående av informationssäkerhetskontroller genom att se till att motstridiga uppgifter separeras.
Kontroll 5.3 omfattar implementeringsvägledningen för segregationsuppgifter och uppgifter i en organisation i linje med ramarna för ISO 27001 .
Principen går ut på att bryta ner nyckeluppgifter i deluppgifter och tilldela dem till olika personer. Detta skapar ett system av kontroller och avvägningar som kan minska risken för fel eller bedrägerier.
Kontrollen är utformad för att förhindra att en enskild person kan begå, dölja och motivera otillbörliga handlingar och på så sätt minska risken för bedrägerier eller fel. Det förhindrar också att en enskild person kan åsidosätta informationssäkerhetskontroller.
Om en anställd har alla rättigheter som krävs för en viss uppgift så finns det en högre risk för bedrägeri eller fel eftersom en person kan göra allt utan några kontroller och balanser. Men om ingen enskild person har alla åtkomsträttigheter som krävs för en viss uppgift, minskar detta risken för att en anställd kan orsaka betydande skada eller ekonomisk förlust.
Arbetsuppgifter och ansvarsområden som inte är åtskilda kan leda till bedrägeri, missbruk, olämplig åtkomst och annat säkerhetsincidenter.
Dessutom behövs åtskillnad av arbetsuppgifter för att minska riskerna förknippade med risken för samverkan mellan individer. Dessa risker ökar när det inte finns tillräckliga kontroller för att förhindra eller upptäcka maskopi.
För att uppfylla kraven för kontroll 5.3 i ISO 27002:2022 bör organisationen bestämma vilka uppgifter och ansvarsområden som behöver vara åtskilda och handlingsbara segregationskontroller införas.
Där sådana kontroller inte är möjliga, särskilt för små organisationer med minimal personalstyrka, aktivitetsövervakning, revisionsspår och ledningstillsyn kan användas. För större organisationer kan automatiserade verktyg användas för att identifiera och separera roller så att motstridiga roller inte tilldelas personer.
Vi ger dig ett försprång på 81 %
från det ögonblick du loggar in
Boka din demo
Kontrollnumret 5.3 Segregation of Duties i ISO 27002:2022 är ingen ny kontroll. Det är helt enkelt en förbättrad version av kontroll 6.1.2 Uppdelning av uppgifter som finns i ISO 27002:2013.
Grunderna i arbetsuppdelningen är desamma i både kontroll 5.3 ISO 27002:2022 och kontroll 6.1.2 ISO 27002:2013. Den nya versionen beskriver dock en uppsättning aktiviteter som kräver segregering vid implementering av denna kontroll.
Dessa aktiviteter är:
a) initiera, godkänna och verkställa en förändring;
b) begära, godkänna och implementera åtkomsträttigheter;
c) designa, implementera och granska kod;
d) utveckla mjukvara och administrera produktionssystem;
e) använda och administrera applikationer;
f) använda applikationer och administrera databaser;
g) designa, granska och säkerställa informationssäkerhetskontroller.
Det finns flera personer som är ansvariga för åtskillnad av arbetsuppgifter i ISO 27002. Först bör en senior medlem av ledningsgruppen involveras för att säkerställa att den initiala riskbedömning har slutförts.
Sedan bör de processer som täcker olika delar av organisationen fördelas på olika grupper av kvalificerade medarbetare. För att förhindra att oseriösa anställda undergräver företagets säkerhet görs detta vanligtvis genom att tilldela uppgifter till olika arbetsenheter och avdelningarisera den IT-relaterade driften och underhållsverksamheten.
Slutligen kan åtskillnad av arbetsuppgifter inte fastställas korrekt utan ett lämpligt IT-revisionsprogram, en effektiv riskhanteringsstrategi samt en lämplig kontrollmiljö.
Den nya ISO 27002:2022-standarden kräver inte att du gör mycket annat än uppgradera ditt ISMS processer för att återspegla de förbättrade kontrollerna. Och om ditt team inte kan hantera detta, ISMS.online kan hjälpa dig.
ISMS.online effektiviserar implementeringsprocessen för ISO 27002 genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.
När du använder ISMS.online kommer du att kunna:
Tack vare vår molnbaserade plattform är det nu möjligt att centralt hantera dina checklistor, interagera med kollegor och använda en omfattande uppsättning verktyg för att hjälpa din organisation att skapa och driva ett ISMS i enlighet med världsomspännande bästa praxis.
Hör av dig idag för att boka en demo.
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
5.7 | Nya | Hot intelligens |
5.23 | Nya | Informationssäkerhet för användning av molntjänster |
5.30 | Nya | ICT-beredskap för kontinuitet i verksamheten |
7.4 | Nya | Fysisk säkerhetsövervakning |
8.9 | Nya | Konfigurationshantering |
8.10 | Nya | Radering av information |
8.11 | Nya | Datamaskering |
8.12 | Nya | Förebyggande av dataläckage |
8.16 | Nya | Övervakningsaktiviteter |
8.23 | Nya | Webbfiltrering |
8.28 | Nya | Säker kodning |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
6.1 | 07.1.1 | Screening |
6.2 | 07.1.2 | Anställningsvillkor |
6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
6.4 | 07.2.3 | Disciplinär process |
6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
6.7 | 06.2.2 | Fjärrbearbetning |
6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
---|---|---|
7.1 | 11.1.1 | Fysiska säkerhetsområden |
7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
7.4 | Nya | Fysisk säkerhetsövervakning |
7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
7.6 | 11.1.5 | Arbeta i säkra områden |
7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
7.8 | 11.2.1 | Utrustningsplacering och skydd |
7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
7.11 | 11.2.2 | Stöd till verktyg |
7.12 | 11.2.3 | Kabelsäkerhet |
7.13 | 11.2.4 | Utrustningsunderhåll |
7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |