ISO 27002:2022 – Beheer 5.3 – Skeiding van pligte

Wat is Beheer 5.3 Skeiding van pligte?

Botsende pligte en areas van verantwoordelikhede verduidelik

Elke organisasie het 'n stel beleide en prosedures (P&P's) wat sy interne werking beheer. P&P's is veronderstel om gedokumenteer te word, maar dikwels is dit nie.

As hierdie P&P's nie duidelik of goed gekommunikeer word nie, is die gevolg verwarring onder werknemers oor hul areas van verantwoordelikhede. Dit kan selfs erger word wanneer werknemers oorvleuelende verantwoordelikhede, of botsende verantwoordelikhede het.

Konflikte kan voorkom wanneer twee of meer werknemers soortgelyke of verskillende verantwoordelikhede teenoor 'n spesifieke taak het. Wanneer dit gebeur, kan die werknemers uiteindelik dieselfde ding twee keer doen, of verskillende dinge doen wat mekaar se pogings kanselleer. Dit mors korporatiewe hulpbronne en verminder produktiwiteit, wat beide die maatskappy se winspunt en moraal beïnvloed.

Om seker te maak dat jou organisasie nie onder hierdie probleem ly nie, is dit belangrik om te verstaan ​​wat botsende areas van verantwoordelikhede is, hoekom dit gebeur en hoe jy kan verhoed dat dit in jou organisasie voorkom. Vir die grootste deel beteken dit dat pligte geskei word sodat verskillende mense verskillend hanteer rolle in die organisasie.

Eienskappe Tabel van beheer 5.3

Kontroles word geklassifiseer volgens hul eienskappe. Eienskappe help jou om jou beheerkeuse in lyn te bring met industriestandaarde en taal. In beheer 5.3 is dit:

Wat is die doel van beheer 5.3?

Die doel van beheer 5.3 Segregasie van Pligte in ISO 27002 is om die risiko van bedrog, foute en omseiling van inligtingsekuriteitskontroles te verminder deur te verseker dat botsende pligte geskei word.

Beheer 5.3 Verduidelik

Beheer 5.3 dek die implementeringsleiding vir segregasietake en -pligte in 'n organisasie in lyn met die raamwerk van ISO 27001.

Die beginsel behels die afbreek van sleuteltake in subtake en die toewysing daarvan aan verskillende mense. Dit skep 'n stelsel van kontrole en teenwigte wat die risiko van foute of bedrog kan verminder.

Die beheer is ontwerp om te verhoed dat 'n enkele persoon onbehoorlike optrede kan pleeg, verberg en regverdig, en sodoende die risiko van bedrog of foute verminder. Dit verhoed ook dat 'n enkele persoon inligtingsekuriteitskontroles kan ignoreer.

As een werknemer alle regte het wat nodig is vir 'n spesifieke taak, is daar 'n groter risiko van bedrog of foute aangesien een persoon alles kan doen sonder enige kontrole en teenwigte. As geen enkele persoon egter alle toegangsregte het wat vir 'n spesifieke taak vereis word nie, verminder dit die risiko dat 'n werknemer aansienlike skade of finansiële verlies kan veroorsaak.

Wat is betrokke en hoe om aan die vereistes te voldoen

Pligte en verantwoordelikhede wat nie geskei is nie, kan lei tot bedrog, misbruik, onvanpaste toegang en ander veiligheidsvoorvalle.

Daarbenewens is skeiding van pligte nodig om die risiko's wat verband hou met die potensiaal vir samespanning tussen individue te versag. Hierdie risiko's word verhoog wanneer daar onvoldoende beheermaatreëls is om samespanning te voorkom of op te spoor.

Om aan die vereistes vir beheer 5.3 in ISO 27002:2022 te voldoen, moet die organisasie bepaal watter pligte en verantwoordelikheidsareas geskei moet word en uitvoerbare segregasiekontroles ingestel moet word.

Waar sulke beheermaatreëls nie moontlik is nie, veral vir klein organisasies met minimale personeelkrag, monitering van aktiwiteite, ouditroetes en bestuurstoesig gebruik kan word. Vir groter organisasies kan outomatiese gereedskap gebruik word om rolle te identifiseer en te skei sodat botsende rolle nie aan mense toegeken word nie.

Verskille tussen ISO 27002:2013 en ISO 27002:2022

Die kontrolenommer 5.3 Segregasie van Pligte in ISO 27002:2022 is nie 'n nuwe beheer nie. Dit is bloot 'n verbeterde weergawe van beheer 6.1.2 Skeiding van pligte gevind in ISO 27002:2013.

Die basiese beginsels van skeiding van pligte is dieselfde in beheer 5.3 ISO 27002:2022 en beheer 6.1.2 ISO 27002:2013. Die nuwe weergawe beskryf egter 'n stel aktiwiteite wat segregasie vereis wanneer hierdie beheer geïmplementeer word.

Hierdie aktiwiteite is:

a) die inisieer, goedkeuring en uitvoering van 'n verandering;

b) die versoek, goedkeuring en implementering van toegangsregte;

c) ontwerp, implementering en hersiening van kode;

d) ontwikkeling van sagteware en administrasie van produksiestelsels;

e) gebruik en administreer van toepassings;

f) gebruik van toepassings en administrasie van databasisse;

g) ontwerp, ouditering en versekering inligtingsekuriteitskontroles.

Wie is in beheer van hierdie proses?

Daar is verskeie mense wat verantwoordelik is vir skeiding van pligte in ISO 27002. Eerstens moet 'n senior lid van die bestuurspan betrek word om seker te maak dat die aanvanklike risiko-assessering voltooi is.

Dan moet die prosesse wat verskillende dele van die organisasie dek, aan verskillende groepe gekwalifiseerde werknemers toegewys word. Om te verhoed dat skelm werknemers maatskappysekuriteit ondermyn, word dit gewoonlik gedoen deur take aan verskillende werkseenhede toe te wys en die IT-verwante bedrywighede en instandhoudingsaktiwiteite te departementaliseer.

Laastens kan skeiding van pligte nie korrek vasgestel word sonder 'n toepaslike IT-ouditprogram, 'n doeltreffende risikobestuurstrategie, sowel as deur 'n toepaslike beheeromgewing nie.

Nuwe ISO 27002-kontroles

Hoe ISMS.online help

Die nuwe ISO 27002:2022-standaard vereis nie dat jy veel anders as gradeer jou ISMS op prosesse om die verbeterde kontroles te weerspieël. En as jou span dit nie kan regkry nie, ISMS.aanlyn kan jy help.

ISMS.online stroomlyn die ISO 27002-implementeringsproses deur 'n gesofistikeerde wolkgebaseerde raamwerk te verskaf vir die dokumentasie van inligtingsekuriteitbestuurstelselprosedures en kontrolelyste om voldoening aan erkende standaarde te verseker.

Wanneer jy ISMS.online gebruik, sal jy in staat wees om:

• skep 'n ISMS wat versoenbaar is met ISO 27001-standaarde.
• take uit te voer en bewyse in te dien om aan te dui dat hulle aan die vereistes van die standaard voldoen het.
• take toe te ken en vordering met die nakoming van die wet te volg.
• kry toegang tot 'n gespesialiseerde span adviseurs wat jou deur jou pad na voldoening sal bystaan.

Danksy ons wolk-gebaseerde platform is dit nou moontlik om jou kontrolelyste sentraal te bestuur, met kollegas te kommunikeer en 'n omvattende stel gereedskap te gebruik om jou organisasie te help om 'n ISMS te skep en te bedryf in ooreenstemming met wêreldwye beste praktyke.

Kontak vandag nog om bespreek 'n demo.