ISO 27002:2022 – Kontroll 5.3 – Uppdelning av arbetsuppgifter

Vad är Kontroll 5.3 Uppdelning av arbetsuppgifter?

Motstridiga skyldigheter och ansvarsområden förklaras

Varje organisation har en uppsättning policyer och procedurer (P&P) som styr dess interna arbete. P&P ska dokumenteras, men ofta är de inte det.

Om dessa P&P inte är tydliga eller väl kommunicerade, blir resultatet förvirring bland anställda om deras ansvarsområden. Detta kan bli ännu värre när anställda har överlappande ansvarsområden eller motstridiga ansvarsområden.

Konflikter kan uppstå när två eller flera anställda har liknande eller olika ansvar för en viss uppgift. När detta händer kan det sluta med att de anställda gör samma sak två gånger, eller gör olika saker som slår ut varandras ansträngningar. Detta slöser företagets resurser och minskar produktiviteten, vilket påverkar både företagets resultat och moral.

För att säkerställa att din organisation inte lider av detta problem är det viktigt att förstå vilka ansvarsområden som är motstridiga, varför de inträffar och hur du kan förhindra att de uppstår i din organisation. För det mesta innebär detta att separera arbetsuppgifter så att olika personer hanterar olika roller i organisationen.

Attributtabell för kontroll 5.3

Kontroller klassificeras enligt deras egenskaper. Attribut hjälper dig att anpassa ditt kontrollval till industristandarder och språk. I kontroll 5.3 är dessa:

Vad är syftet med kontroll 5.3?

Syftet med kontroll 5.3 Uppdelning av arbetsuppgifter i ISO 27002 är att minska risken för bedrägerier, fel och kringgående av informationssäkerhetskontroller genom att se till att motstridiga uppgifter separeras.

Kontroll 5.3 Förklarat

Kontroll 5.3 omfattar implementeringsvägledningen för segregationsuppgifter och uppgifter i en organisation i linje med ramarna för ISO 27001 .

Principen går ut på att bryta ner nyckeluppgifter i deluppgifter och tilldela dem till olika personer. Detta skapar ett system av kontroller och avvägningar som kan minska risken för fel eller bedrägerier.

Kontrollen är utformad för att förhindra att en enskild person kan begå, dölja och motivera otillbörliga handlingar och på så sätt minska risken för bedrägerier eller fel. Det förhindrar också att en enskild person kan åsidosätta informationssäkerhetskontroller.

Om en anställd har alla rättigheter som krävs för en viss uppgift så finns det en högre risk för bedrägeri eller fel eftersom en person kan göra allt utan några kontroller och balanser. Men om ingen enskild person har alla åtkomsträttigheter som krävs för en viss uppgift, minskar detta risken för att en anställd kan orsaka betydande skada eller ekonomisk förlust.

Vad är inblandat och hur man uppfyller kraven

Arbetsuppgifter och ansvarsområden som inte är åtskilda kan leda till bedrägeri, missbruk, olämplig åtkomst och annat säkerhetsincidenter.

Dessutom behövs åtskillnad av arbetsuppgifter för att minska riskerna förknippade med risken för samverkan mellan individer. Dessa risker ökar när det inte finns tillräckliga kontroller för att förhindra eller upptäcka maskopi.

För att uppfylla kraven för kontroll 5.3 i ISO 27002:2022 bör organisationen bestämma vilka uppgifter och ansvarsområden som behöver vara åtskilda och handlingsbara segregationskontroller införas.

Där sådana kontroller inte är möjliga, särskilt för små organisationer med minimal personalstyrka, aktivitetsövervakning, revisionsspår och ledningstillsyn kan användas. För större organisationer kan automatiserade verktyg användas för att identifiera och separera roller så att motstridiga roller inte tilldelas personer.

Skillnader mellan ISO 27002:2013 och ISO 27002:2022

Kontrollnumret 5.3 Segregation of Duties i ISO 27002:2022 är ingen ny kontroll. Det är helt enkelt en förbättrad version av kontroll 6.1.2 Uppdelning av uppgifter som finns i ISO 27002:2013.

Grunderna i arbetsuppdelningen är desamma i både kontroll 5.3 ISO 27002:2022 och kontroll 6.1.2 ISO 27002:2013. Den nya versionen beskriver dock en uppsättning aktiviteter som kräver segregering vid implementering av denna kontroll.

Dessa aktiviteter är:

a) initiera, godkänna och verkställa en förändring;

b) begära, godkänna och implementera åtkomsträttigheter;

c) designa, implementera och granska kod;

d) utveckla mjukvara och administrera produktionssystem;

e) använda och administrera applikationer;

f) använda applikationer och administrera databaser;

g) designa, granska och säkerställa informationssäkerhetskontroller.

Vem är ansvarig för denna process?

Det finns flera personer som är ansvariga för åtskillnad av arbetsuppgifter i ISO 27002. Först bör en senior medlem av ledningsgruppen involveras för att säkerställa att den initiala riskbedömning har slutförts.

Sedan bör de processer som täcker olika delar av organisationen fördelas på olika grupper av kvalificerade medarbetare. För att förhindra att oseriösa anställda undergräver företagets säkerhet görs detta vanligtvis genom att tilldela uppgifter till olika arbetsenheter och avdelningarisera den IT-relaterade driften och underhållsverksamheten.

Slutligen kan åtskillnad av arbetsuppgifter inte fastställas korrekt utan ett lämpligt IT-revisionsprogram, en effektiv riskhanteringsstrategi samt en lämplig kontrollmiljö.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Den nya ISO 27002:2022-standarden kräver inte att du gör mycket annat än uppgradera ditt ISMS processer för att återspegla de förbättrade kontrollerna. Och om ditt team inte kan hantera detta, ISMS.online kan hjälpa dig.

ISMS.online effektiviserar implementeringsprocessen för ISO 27002 genom att tillhandahålla ett sofistikerat molnbaserat ramverk för att dokumentera procedurer och checklistor för informationssäkerhetshanteringssystem för att säkerställa efterlevnad av erkända standarder.

När du använder ISMS.online kommer du att kunna:

• skapa ett ISMS som är kompatibelt med ISO 27001-standarderna.
• utföra uppgifter och lämna in bevis för att de har uppfyllt kraven i standarden.
• fördela uppgifter och spåra framstegen mot efterlevnad av lagen.
• få tillgång till ett specialiserat team av rådgivare som hjälper dig hela vägen mot efterlevnad.

Tack vare vår molnbaserade plattform är det nu möjligt att centralt hantera dina checklistor, interagera med kollegor och använda en omfattande uppsättning verktyg för att hjälpa din organisation att skapa och driva ett ISMS i enlighet med världsomspännande bästa praxis.

Hör av dig idag för att boka en demo.