Vad är Kontroll 5.3 Uppdelning av arbetsuppgifter?
Motstridiga skyldigheter och ansvarsområden förklaras
Varje organisation har en uppsättning policyer och procedurer (P&P) som styr dess interna arbete. P&P ska dokumenteras, men ofta är de inte det.
Om dessa P&P inte är tydliga eller väl kommunicerade, blir resultatet förvirring bland anställda om deras ansvarsområden. Detta kan bli ännu värre när anställda har överlappande ansvarsområden eller motstridiga ansvarsområden.
Konflikter kan uppstå när två eller flera anställda har liknande eller olika ansvar för en viss uppgift. När detta händer kan det sluta med att de anställda gör samma sak två gånger, eller gör olika saker som slår ut varandras ansträngningar. Detta slöser företagets resurser och minskar produktiviteten, vilket påverkar både företagets resultat och moral.
För att säkerställa att din organisation inte lider av detta problem är det viktigt att förstå vilka ansvarsområden som är motstridiga, varför de inträffar och hur du kan förhindra att de uppstår i din organisation. För det mesta innebär detta att separera arbetsuppgifter så att olika personer hanterar olika roller i organisationen.
Attributtabell för kontroll 5.3
Kontroller klassificeras enligt deras egenskaper. Attribut hjälper dig att anpassa ditt kontrollval till industristandarder och språk. I kontroll 5.3 är dessa:
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Governance | #Styrelse och ekosystem |
| #Integritet | #Identitets- och åtkomsthantering | |||
| #Tillgänglighet |
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Vad är syftet med kontroll 5.3?
Syftet med kontroll 5.3 Uppdelning av arbetsuppgifter i ISO 27002 är att minska risken för bedrägerier, fel och kringgående av informationssäkerhetskontroller genom att se till att motstridiga uppgifter separeras.
Kontroll 5.3 Förklarat
Kontroll 5.3 omfattar implementeringsvägledningen för segregationsuppgifter och uppgifter i en organisation i linje med ramarna för ISO 27001 .
Principen går ut på att bryta ner nyckeluppgifter i deluppgifter och tilldela dem till olika personer. Detta skapar ett system av kontroller och avvägningar som kan minska risken för fel eller bedrägerier.
Kontrollen är utformad för att förhindra att en enskild person kan begå, dölja och motivera otillbörliga handlingar och på så sätt minska risken för bedrägerier eller fel. Det förhindrar också att en enskild person kan åsidosätta informationssäkerhetskontroller.
Om en anställd har alla rättigheter som krävs för en viss uppgift så finns det en högre risk för bedrägeri eller fel eftersom en person kan göra allt utan några kontroller och balanser. Men om ingen enskild person har alla åtkomsträttigheter som krävs för en viss uppgift, minskar detta risken för att en anställd kan orsaka betydande skada eller ekonomisk förlust.
Vad är inblandat och hur man uppfyller kraven
Arbetsuppgifter och ansvarsområden som inte är åtskilda kan leda till bedrägeri, missbruk, olämplig åtkomst och annat säkerhetsincidenter.
Dessutom behövs åtskillnad av arbetsuppgifter för att minska riskerna förknippade med risken för samverkan mellan individer. Dessa risker ökar när det inte finns tillräckliga kontroller för att förhindra eller upptäcka maskopi.
För att uppfylla kraven för kontroll 5.3 i ISO 27002:2022 bör organisationen bestämma vilka uppgifter och ansvarsområden som behöver vara åtskilda och handlingsbara segregationskontroller införas.
Där sådana kontroller inte är möjliga, särskilt för små organisationer med minimal personalstyrka, aktivitetsövervakning, revisionsspår och ledningstillsyn kan användas. För större organisationer kan automatiserade verktyg användas för att identifiera och separera roller så att motstridiga roller inte tilldelas personer.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Skillnader mellan ISO 27002:2013 och ISO 27002:2022
Kontrollnumret 5.3 Segregation of Duties i ISO 27002:2022 är ingen ny kontroll. Det är helt enkelt en förbättrad version av kontroll 6.1.2 Uppdelning av uppgifter som finns i ISO 27002:2013.
Grunderna i arbetsuppdelningen är desamma i både kontroll 5.3 ISO 27002:2022 och kontroll 6.1.2 ISO 27002:2013. Den nya versionen beskriver dock en uppsättning aktiviteter som kräver segregering vid implementering av denna kontroll.
Dessa aktiviteter är:
a) initiera, godkänna och verkställa en förändring;
b) begära, godkänna och implementera åtkomsträttigheter;
c) designa, implementera och granska kod;
d) utveckla mjukvara och administrera produktionssystem;
e) använda och administrera applikationer;
f) använda applikationer och administrera databaser;
g) designa, granska och säkerställa informationssäkerhetskontroller.
Vem är ansvarig för denna process?
Det finns flera personer som är ansvariga för åtskillnad av arbetsuppgifter i ISO 27002. Först bör en senior medlem av ledningsgruppen involveras för att säkerställa att den initiala riskbedömning har slutförts.
Sedan bör de processer som täcker olika delar av organisationen fördelas på olika grupper av kvalificerade medarbetare. För att förhindra att oseriösa anställda undergräver företagets säkerhet görs detta vanligtvis genom att tilldela uppgifter till olika arbetsenheter och avdelningarisera den IT-relaterade driften och underhållsverksamheten.
Slutligen kan åtskillnad av arbetsuppgifter inte fastställas korrekt utan ett lämpligt IT-revisionsprogram, en effektiv riskhanteringsstrategi samt en lämplig kontrollmiljö.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
Den nya ISO 27002:2022-standarden kräver inte att du gör mycket annat än uppgradera ditt ISMS processer för att återspegla de förbättrade kontrollerna. Och om ditt team inte kan hantera detta, ISMS.online kan hjälpa dig.
ISMS.online effektiviserar implementeringsprocessen för ISO 27002 genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.
När du använder ISMS.online kommer du att kunna:
- skapa ett ISMS som är kompatibelt med ISO 27001-standarderna.
- utföra uppgifter och lämna in bevis för att de har uppfyllt kraven i standarden.
- fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
- få tillgång till ett specialiserat team av rådgivare som hjälper dig hela vägen mot efterlevnad.
Tack vare vår molnbaserade plattform är det nu möjligt att centralt hantera dina checklistor, interagera med kollegor och använda en omfattande uppsättning verktyg för att hjälpa din organisation att skapa och driva ett ISMS i enlighet med världsomspännande bästa praxis.
Hör av dig idag för att boka en demo.
