Die doel van ISO 27001:2022 Bylae A 5.3 – skeiding van pligte in die vorm van funksionele skeiding is om 'n bestuursraamwerk daar te stel wat gebruik sal word om die implementering en werking van inligtingsekuriteit binne 'n maatskappy te inisieer en te beheer.
Volgens ISO 27001:2022 Aanhangsel A beheer 5.3, voorheen bekend as 6.1.2 in ISO 27001:2013, word botsende pligte en botsende verantwoordelikheidsareas geskei.
'n Organisasie moet toepaslike skeiding van pligte oorweeg en implementeer as deel van die risiko-evaluering en behandelingsproses. Alhoewel kleiner organisasies probleme hiermee kan ondervind, moet die beginsel soveel as moontlik toegepas word en behoorlike bestuur en kontroles in plek gestel word vir inligtingsbates met 'n hoër risiko/hoër waarde.
Om die waarskynlikheid van ongemagtigde of onbedoelde wysiging of misbruik van die organisasie se bates te verminder, moet botsende pligte en verantwoordelikheidsareas geskei word.
Byna elke organisasie het 'n stel beleide en prosedures wat sy interne bedrywighede beheer. Hierdie beleide en prosedures is veronderstel om gedokumenteer te word, maar dit is nie altyd die geval nie.
Daar bestaan 'n gevaar dat werknemers verward sal raak oor hul areas van verantwoordelikheid as die P&P's nie deursigtig of goed gekommunikeer word nie. Dit word selfs meer problematies wanneer werknemers oorvleuelende of botsende verantwoordelikheidsareas het.
Soms kan konflikte ontstaan wanneer werknemers verantwoordelikhede het wat verband hou met 'n spesifieke taak wat soortgelyk of verskillend is. Gevolglik kan werknemers dieselfde ding twee keer doen of verskillende funksies verrig wat die pogings van ander kanselleer. Dit mors korporatiewe hulpbronne en verminder produktiwiteit, wat die maatskappy se winspunt en moraal nadelig beïnvloed.
Hierdie probleem kan vermy word deur te verseker dat jou organisasie nie teenstrydige areas van verantwoordelikheid ervaar nie en weet hoekom en wat jy kan doen om dit te voorkom. Vir die grootste deel beteken dit dat pligte geskei word sodat verskillende mense verskillende organisatoriese rolle hanteer.
In ISO 27001 het Beheer 5.3 Segregasie van Pligte ten doel om botsende pligte te skei. Dit verminder die risiko van bedrog en foute en inligtingsekuriteit omseil kontroles.
In ooreenstemming met ISO 27001, beskryf Bylae A Beheer 5.3 die implementeringsriglyne vir die skeiding van organisatoriese take en pligte.
Deur sub-take aan verskillende individue te delegeer, skep hierdie beginsel 'n stelsel van kontrole en teenwigte wat die waarskynlikheid van foute en bedrog kan verminder.
Die beheer is ontwerp om te verhoed dat 'n enkele persoon onbehoorlike optrede kan pleeg, verberg en regverdig, en sodoende die risiko van bedrog en foute verminder. Dit verhoed ook dat 'n enkele persoon oorheers inligtingsekuriteitskontroles.
In gevalle waar een werknemer al die regte het wat vir die taak vereis word, is dit meer geneig om bedrog en foute te voorkom. Dit is omdat een persoon alles kan uitvoer sonder enige kontrole en teenwigte. Daar is egter 'n verminderde risiko van aansienlike skade of finansiële verlies van 'n werknemer wanneer geen enkele persoon al die toegangsregte het wat vir 'n spesifieke taak vereis word nie.
In die afwesigheid van behoorlike skeiding van pligte en verantwoordelikhede kan bedrog, misbruik, ongemagtigde toegang en ander sekuriteitskwessies ontstaan.
Boonop word skeiding van pligte vereis om die risiko's van samewerking tussen individue te versag. Hierdie risiko's word verhoog wanneer onvoldoende beheermaatreëls samespanning voorkom of opspoor.
As deel van ISO 27001:2022, die organisasie moet bepaal watter pligte en verantwoordelikhede nodig is geskei te word en uitvoerbare skeidingskontroles te implementeer.
Wanneer sulke kontroles nie moontlik is nie, veral vir klein organisasies met 'n beperkte aantal werknemers, aktiwiteitsmonitering, ouditroetes, en bestuurstoesig kan gebruik word. Deur geoutomatiseerde gereedskap te gebruik, kan groter organisasies rolle identifiseer en skei om te verhoed dat botsende rolle toegeken word.
ISO 27001:2022 se Bylae A beheer 5.3 Segregasie van Pligte is 'n hersiene weergawe van ISO 27001:2013 se Bylae A beheer 6.1.2 Segregasie van Pligte.
Bylae A 5.3 ISO 27001:2022 en Bylae A 6.1.2 ISO 27001:2013 beskryf dieselfde basiese kenmerke van die beheer "Segregasie van pligte". Die mees onlangse weergawe definieer egter 'n aantal aktiwiteite wat segregasie vereis tydens implementering.
Onder hierdie aktiwiteite is:
a) die inisieer, goedkeuring en uitvoering van 'n verandering;
b) die versoek, goedkeuring en implementering van toegangsregte;
c) ontwerp, implementering en hersiening van kode;
d) ontwikkeling van sagteware en administrasie van produksiestelsels;
e) gebruik en administreer van toepassings;
f) gebruik van toepassings en administrasie van databasisse;
g) ontwerp, oudit en verseker inligtingsekuriteitskontroles.
In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 Bylae A Beheer vind.
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Organisatoriese kontroles | Bylae A 5.1 | Bylae A 5.1.1 Bylae A 5.1.2 | Beleide vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.2 | Bylae A 6.1.1 | Rolle en verantwoordelikhede vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.3 | Bylae A 6.1.2 | Skeiding van pligte |
| Organisatoriese kontroles | Bylae A 5.4 | Bylae A 7.2.1 | Bestuursverantwoordelikhede |
| Organisatoriese kontroles | Bylae A 5.5 | Bylae A 6.1.3 | Kontak met owerhede |
| Organisatoriese kontroles | Bylae A 5.6 | Bylae A 6.1.4 | Kontak met spesiale belangegroepe |
| Organisatoriese kontroles | Bylae A 5.7 | NUWE | Bedreiging Intelligensie |
| Organisatoriese kontroles | Bylae A 5.8 | Bylae A 6.1.5 Bylae A 14.1.1 | Inligtingsekuriteit in projekbestuur |
| Organisatoriese kontroles | Bylae A 5.9 | Bylae A 8.1.1 Bylae A 8.1.2 | Inventaris van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.10 | Bylae A 8.1.3 Bylae A 8.2.3 | Aanvaarbare gebruik van inligting en ander geassosieerde bates |
| Organisatoriese kontroles | Bylae A 5.11 | Bylae A 8.1.4 | Teruggawe van bates |
| Organisatoriese kontroles | Bylae A 5.12 | Bylae A 8.2.1 | Klassifikasie van inligting |
| Organisatoriese kontroles | Bylae A 5.13 | Bylae A 8.2.2 | Etikettering van inligting |
| Organisatoriese kontroles | Bylae A 5.14 | Bylae A 13.2.1 Bylae A 13.2.2 Bylae A 13.2.3 | Inligtingsoordrag |
| Organisatoriese kontroles | Bylae A 5.15 | Bylae A 9.1.1 Bylae A 9.1.2 | Toegangsbeheer |
| Organisatoriese kontroles | Bylae A 5.16 | Bylae A 9.2.1 | Identiteitsbestuur |
| Organisatoriese kontroles | Bylae A 5.17 | Bylae A 9.2.4 Bylae A 9.3.1 Bylae A 9.4.3 | Verifikasie inligting |
| Organisatoriese kontroles | Bylae A 5.18 | Bylae A 9.2.2 Bylae A 9.2.5 Bylae A 9.2.6 | Toegangsregte |
| Organisatoriese kontroles | Bylae A 5.19 | Bylae A 15.1.1 | Inligtingsekuriteit in Verskaffersverhoudings |
| Organisatoriese kontroles | Bylae A 5.20 | Bylae A 15.1.2 | Aanspreek van inligtingsekuriteit binne verskaffersooreenkomste |
| Organisatoriese kontroles | Bylae A 5.21 | Bylae A 15.1.3 | Bestuur van inligtingsekuriteit in die IKT-voorsieningsketting |
| Organisatoriese kontroles | Bylae A 5.22 | Bylae A 15.2.1 Bylae A 15.2.2 | Monitering, hersiening en veranderingsbestuur van verskafferdienste |
| Organisatoriese kontroles | Bylae A 5.23 | NUWE | Inligtingsekuriteit vir gebruik van wolkdienste |
| Organisatoriese kontroles | Bylae A 5.24 | Bylae A 16.1.1 | Beplanning en voorbereiding van inligtingsekuriteitsinsidentbestuur |
| Organisatoriese kontroles | Bylae A 5.25 | Bylae A 16.1.4 | Assessering en besluit oor inligtingsekuriteitsgebeurtenisse |
| Organisatoriese kontroles | Bylae A 5.26 | Bylae A 16.1.5 | Reaksie op inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.27 | Bylae A 16.1.6 | Leer uit inligtingsekuriteitsinsidente |
| Organisatoriese kontroles | Bylae A 5.28 | Bylae A 16.1.7 | Versameling van bewyse |
| Organisatoriese kontroles | Bylae A 5.29 | Bylae A 17.1.1 Bylae A 17.1.2 Bylae A 17.1.3 | Inligtingsekuriteit tydens ontwrigting |
| Organisatoriese kontroles | Bylae A 5.30 | NUWE | IKT-gereedheid vir besigheidskontinuïteit |
| Organisatoriese kontroles | Bylae A 5.31 | Bylae A 18.1.1 Bylae A 18.1.5 | Wetlike, statutêre, regulatoriese en kontraktuele vereistes |
| Organisatoriese kontroles | Bylae A 5.32 | Bylae A 18.1.2 | Intellektuele eiendomsregte |
| Organisatoriese kontroles | Bylae A 5.33 | Bylae A 18.1.3 | Beskerming van rekords |
| Organisatoriese kontroles | Bylae A 5.34 | Bylae A 18.1.4 | Privaatheid en beskerming van PII |
| Organisatoriese kontroles | Bylae A 5.35 | Bylae A 18.2.1 | Onafhanklike oorsig van inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.36 | Bylae A 18.2.2 Bylae A 18.2.3 | Voldoening aan beleide, reëls en standaarde vir inligtingsekuriteit |
| Organisatoriese kontroles | Bylae A 5.37 | Bylae A 12.1.1 | Gedokumenteerde bedryfsprosedures |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Mense beheer | Bylae A 6.1 | Bylae A 7.1.1 | Screening |
| Mense beheer | Bylae A 6.2 | Bylae A 7.1.2 | Terme en diensvoorwaardes |
| Mense beheer | Bylae A 6.3 | Bylae A 7.2.2 | Bewusmaking, onderwys en opleiding van inligtingsekuriteit |
| Mense beheer | Bylae A 6.4 | Bylae A 7.2.3 | Dissiplinêre Proses |
| Mense beheer | Bylae A 6.5 | Bylae A 7.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| Mense beheer | Bylae A 6.6 | Bylae A 13.2.4 | Vertroulikheid of nie-openbaarmakingsooreenkomste |
| Mense beheer | Bylae A 6.7 | Bylae A 6.2.2 | Afstand werk |
| Mense beheer | Bylae A 6.8 | Bylae A 16.1.2 Bylae A 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Fisiese beheer | Bylae A 7.1 | Bylae A 11.1.1 | Fisiese sekuriteitsgrense |
| Fisiese beheer | Bylae A 7.2 | Bylae A 11.1.2 Bylae A 11.1.6 | Fisiese toegang |
| Fisiese beheer | Bylae A 7.3 | Bylae A 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| Fisiese beheer | Bylae A 7.4 | NUWE | Fisiese sekuriteitsmonitering |
| Fisiese beheer | Bylae A 7.5 | Bylae A 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| Fisiese beheer | Bylae A 7.6 | Bylae A 11.1.5 | Werk in veilige gebiede |
| Fisiese beheer | Bylae A 7.7 | Bylae A 11.2.9 | Duidelike lessenaar en duidelike skerm |
| Fisiese beheer | Bylae A 7.8 | Bylae A 11.2.1 | Toerustingopstelling en beskerming |
| Fisiese beheer | Bylae A 7.9 | Bylae A 11.2.6 | Sekuriteit van bates buite die perseel |
| Fisiese beheer | Bylae A 7.10 | Bylae A 8.3.1 Bylae A 8.3.2 Bylae A 8.3.3 Bylae A 11.2.5 | Berging media |
| Fisiese beheer | Bylae A 7.11 | Bylae A 11.2.2 | Ondersteunende nutsprogramme |
| Fisiese beheer | Bylae A 7.12 | Bylae A 11.2.3 | Bekabeling sekuriteit |
| Fisiese beheer | Bylae A 7.13 | Bylae A 11.2.4 | Onderhoud van toerusting |
| Fisiese beheer | Bylae A 7.14 | Bylae A 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
| Bylae A Beheertipe | ISO/IEC 27001:2022 Bylae A Identifiseerder | ISO/IEC 27001:2013 Bylae A Identifiseerder | Bylae A Naam |
|---|---|---|---|
| Tegnologiese kontroles | Bylae A 8.1 | Bylae A 6.2.1 Bylae A 11.2.8 | Gebruikerseindpunttoestelle |
| Tegnologiese kontroles | Bylae A 8.2 | Bylae A 9.2.3 | Bevoorregte toegangsregte |
| Tegnologiese kontroles | Bylae A 8.3 | Bylae A 9.4.1 | Inligtingtoegangbeperking |
| Tegnologiese kontroles | Bylae A 8.4 | Bylae A 9.4.5 | Toegang tot bronkode |
| Tegnologiese kontroles | Bylae A 8.5 | Bylae A 9.4.2 | Veilige verifikasie |
| Tegnologiese kontroles | Bylae A 8.6 | Bylae A 12.1.3 | Kapasiteitsbestuur |
| Tegnologiese kontroles | Bylae A 8.7 | Bylae A 12.2.1 | Beskerming teen wanware |
| Tegnologiese kontroles | Bylae A 8.8 | Bylae A 12.6.1 Bylae A 18.2.3 | Bestuur van Tegniese Kwesbaarhede |
| Tegnologiese kontroles | Bylae A 8.9 | NUWE | Konfigurasiebestuur |
| Tegnologiese kontroles | Bylae A 8.10 | NUWE | Inligting skrap |
| Tegnologiese kontroles | Bylae A 8.11 | NUWE | Datamaskering |
| Tegnologiese kontroles | Bylae A 8.12 | NUWE | Voorkoming van datalekkasies |
| Tegnologiese kontroles | Bylae A 8.13 | Bylae A 12.3.1 | Inligting rugsteun |
| Tegnologiese kontroles | Bylae A 8.14 | Bylae A 17.2.1 | Oortolligheid van inligtingsverwerkingsfasiliteite |
| Tegnologiese kontroles | Bylae A 8.15 | Bylae A 12.4.1 Bylae A 12.4.2 Bylae A 12.4.3 | Logging |
| Tegnologiese kontroles | Bylae A 8.16 | NUWE | Moniteringsaktiwiteite |
| Tegnologiese kontroles | Bylae A 8.17 | Bylae A 12.4.4 | Kloksynchronisasie |
| Tegnologiese kontroles | Bylae A 8.18 | Bylae A 9.4.4 | Gebruik van bevoorregte nutsprogramme |
| Tegnologiese kontroles | Bylae A 8.19 | Bylae A 12.5.1 Bylae A 12.6.2 | Installering van sagteware op bedryfstelsels |
| Tegnologiese kontroles | Bylae A 8.20 | Bylae A 13.1.1 | Netwerksekuriteit |
| Tegnologiese kontroles | Bylae A 8.21 | Bylae A 13.1.2 | Sekuriteit van netwerkdienste |
| Tegnologiese kontroles | Bylae A 8.22 | Bylae A 13.1.3 | Skeiding van netwerke |
| Tegnologiese kontroles | Bylae A 8.23 | NUWE | Webfiltrering |
| Tegnologiese kontroles | Bylae A 8.24 | Bylae A 10.1.1 Bylae A 10.1.2 | Gebruik van kriptografie |
| Tegnologiese kontroles | Bylae A 8.25 | Bylae A 14.2.1 | Veilige ontwikkelingslewensiklus |
| Tegnologiese kontroles | Bylae A 8.26 | Bylae A 14.1.2 Bylae A 14.1.3 | Toepassingsekuriteitsvereistes |
| Tegnologiese kontroles | Bylae A 8.27 | Bylae A 14.2.5 | Veilige stelselargitektuur en ingenieursbeginsels |
| Tegnologiese kontroles | Bylae A 8.28 | NUWE | Veilige kodering |
| Tegnologiese kontroles | Bylae A 8.29 | Bylae A 14.2.8 Bylae A 14.2.9 | Sekuriteitstoetsing in ontwikkeling en aanvaarding |
| Tegnologiese kontroles | Bylae A 8.30 | Bylae A 14.2.7 | Uitgekontrakteerde Ontwikkeling |
| Tegnologiese kontroles | Bylae A 8.31 | Bylae A 12.1.4 Bylae A 14.2.6 | Skeiding van ontwikkeling-, toets- en produksie-omgewings |
| Tegnologiese kontroles | Bylae A 8.32 | Bylae A 12.1.2 Bylae A 14.2.2 Bylae A 14.2.3 Bylae A 14.2.4 | Veranderings bestuur |
| Tegnologiese kontroles | Bylae A 8.33 | Bylae A 14.3.1 | Toets inligting |
| Tegnologiese kontroles | Bylae A 8.34 | Bylae A 12.7.1 | Beskerming van inligtingstelsels tydens oudittoetsing |
Verskeie individue is verantwoordelik vir die skeiding van pligte in ISO 27001, wat begin met 'n senior bestuurspanlid. Hierdie individu is verantwoordelik om te verseker dat die aanvanklike risiko-assessering plaasgevind het.
Gevolglik moet ander groepe gekwalifiseerde werknemers prosesse toegewys word wat op verskillende dele van die organisasie van toepassing is. Opdrag om te verhoed dat skelm werknemers maatskappysekuriteit ondermyn, word gewoonlik gedoen deur take aan ander werkseenhede toe te ken en IT-verwante bedrywighede en instandhoudingsaktiwiteite te departementaliseer.
Die skeiding van pligte kan nie korrek vasgestel word sonder 'n effektiewe risikobestuur strategie, 'n toepaslike beheeromgewing en 'n toepaslike IT-ouditprogram.
ISO 27001:2022 vereis net dat jy jou ISMS-prosesse opdateer om die verbeterde Bylae A-kontroles te weerspieël, en as jou span dit nie kan bestuur nie, kan ISMS.online.
In bykomend tot DPIA en ander verwante persoonlike data assesserings, soos LIA's, verskaf ISMS.online eenvoudige, praktiese raamwerke en sjablone vir inligtingsekuriteit.
Met ISMS.aanlyn, kan jy inligtingsekuriteitbestuurstelselprosedures en kontrolelyste dokumenteer om voldoening aan ISO 27001 te verseker, wat die implementeringsproses outomatiseer.
ISMS.online laat jou toe:
Deur ons wolk-gebaseerde platform te gebruik, kan jy kontrolelyste sentraal bestuur, interaksie met kollegas hê en 'n omvattende stel gereedskap gebruik om jou organisasie te help om 'n ISMS.
Kontak vandag nog om bespreek 'n demo.
Bespreek 'n pasgemaakte praktiese sessie
gebaseer op jou behoeftes en doelwitte
Bespreek jou demo
