ISO 27002:2022 – Valvonta 5.3 – Tehtävien erottelu

Mitä on valvonta 5.3 tehtävien erottelu?

Ristiriitaiset tehtävät ja vastuualueet selitetty

Jokaisella organisaatiolla on joukko käytäntöjä ja menettelytapoja (P&P), jotka ohjaavat sen sisäistä toimintaa. P&P:t pitäisi olla dokumentoituja, mutta usein niitä ei ole.

Jos nämä P&P:t eivät ole selkeitä tai hyvin kommunikoituja, seurauksena on hämmennystä työntekijöiden keskuudessa heidän vastuualueistaan. Tilanne voi pahentua entisestään, jos työntekijöillä on päällekkäisiä tehtäviä tai ristiriitaisia ​​vastuualueita.

Ristiriitoja voi syntyä, kun kahdella tai useammalla työntekijällä on samanlaiset tai erilaiset vastuut tietystä tehtävästä. Kun näin tapahtuu, työntekijät voivat päätyä tekemään saman asian kahdesti tai tekemään erilaisia ​​asioita, jotka kumoavat toistensa ponnistelut. Tämä tuhlaa yrityksen resursseja ja heikentää tuottavuutta, mikä vaikuttaa sekä yrityksen tulokseen että moraaliin.

Jotta organisaatiosi ei kärsi tästä ongelmasta, on tärkeää ymmärtää, mitkä vastuualueet ovat ristiriitaisia, miksi niitä tapahtuu ja miten voit estää niiden esiintymisen organisaatiossasi. Suurimmaksi osaksi tämä tarkoittaa tehtävien erottamista siten, että eri ihmiset hoitavat eri tavalla roolit organisaatiossa.

Attribuuttien ohjaustaulukko 5.3

Kontrollit luokitellaan niiden ominaisuuksien mukaan. Attribuutit auttavat sinua yhdenmukaistamaan ohjausvalinnan alan standardien ja kielen kanssa. Ohjauksessa 5.3 nämä ovat:

Mikä on hallinnan tarkoitus 5.3?

Valvonnan 5.3 Tehtävien eriyttäminen ISO 27002:ssa tarkoituksena on vähentää petosten, virheiden ja tietoturvaohjauksen ohituksen riskiä varmistamalla, että ristiriitaiset tehtävät erotetaan toisistaan.

Ohjaus 5.3 Selitetty

Ohjaus 5.3 kattaa organisaation eriyttämiseen liittyvien tehtävien ja velvollisuuksien toteutusohjeistuksen viitekehyksen mukaisesti. ISO 27001.

Periaatteena on, että keskeiset tehtävät jaetaan osatehtäviin ja jaetaan eri henkilöille. Tämä luo tarkastus- ja tasapainojärjestelmän, joka voi vähentää virheiden tai petosten riskiä.

Valvonta on suunniteltu estämään yksittäistä henkilöä tekemästä, salaamasta ja perustelemasta sopimattomia toimia, mikä vähentää petoksen tai virheen riskiä. Se myös estää yksittäistä henkilöä ohittamasta tietoturvan valvontaa.

Jos yhdellä työntekijällä on kaikki tiettyyn tehtävään vaadittavat oikeudet, petoksen tai virheen riski on suurempi, koska yksi henkilö voi tehdä kaiken ilman valvontaa ja tasapainoa. Jos kenelläkään yksittäisellä henkilöllä ei kuitenkaan ole kaikkia tietyn tehtävän edellyttämiä käyttöoikeuksia, tämä vähentää riskiä, ​​että työntekijä voi aiheuttaa merkittävää vahinkoa tai taloudellista menetystä.

Mitä se sisältää ja kuinka vaatimukset täytetään

Tehtävät ja vastuualueet, joita ei ole erillään, voivat johtaa petokseen, väärinkäyttöön, sopimattomaan pääsyyn ja muihin turvallisuustilanteet.

Lisäksi tehtävien eriyttäminen on tarpeen yksilöiden väliseen salaiseen yhteistyöhön liittyvien riskien vähentämiseksi. Nämä riskit lisääntyvät, kun valvonta ei ole riittävää salaisen yhteistyön estämiseksi tai havaitsemiseksi.

Täyttääkseen ISO 5.3:27002:n valvonnan 2022 vaatimukset organisaation tulee määrittää, mitkä tehtävät ja vastuualueet on erotettava ja otettava käyttöön toimivia erotteluvalvontatoimenpiteitä.

Jos tällaiset tarkastukset eivät ole mahdollisia, erityisesti pienissä organisaatioissa, joissa on vain vähän henkilöstöä, toimintojen seuranta, kirjausketjut ja johdon valvonta voidaan käyttää. Suuremmissa organisaatioissa voidaan käyttää automaattisia työkaluja roolien tunnistamiseen ja erottamiseen, jotta ristiriitaisia ​​rooleja ei jaeta ihmisille.

Erot ISO 27002:2013 ja ISO 27002:2022 välillä

ISO 5.3:27002:n tarkistusnumero 2022 Tehtävien erottelu ei ole uusi kontrolli. Se on yksinkertaisesti paranneltu versio ISO 6.1.2:27002:n valvonnasta 2013 Tehtävien erottelu.

Tehtävien erottelun perusteet ovat samat sekä ohjaus 5.3 ISO 27002:2022 että ohjaus 6.1.2 ISO 27002:2013. Uusi versio kuvaa kuitenkin joukon toimintoja, jotka vaativat erottelun tämän ohjauksen käyttöönoton yhteydessä.

Nämä toiminnot ovat:

a) muutoksen käynnistäminen, hyväksyminen ja toteuttaminen;

b) käyttöoikeuksien pyytäminen, hyväksyminen ja toteuttaminen;

c) koodin suunnittelu, toteuttaminen ja tarkistaminen;

d) ohjelmistojen kehittäminen ja tuotantojärjestelmien hallinta;

e) sovellusten käyttö ja hallinta;

f) sovellusten käyttö ja tietokantojen hallinta;

g) suunnittelu, auditointi ja varmistus tietoturvan valvonta.

Kuka on vastuussa tästä prosessista?

ISO 27002:ssa on useita ihmisiä, jotka ovat vastuussa tehtävien eriyttämisestä. Ensinnäkin johtoryhmän vanhempi jäsen tulee olla mukana varmistamassa, että ensimmäinen riskinarviointi on valmis.

Sitten organisaation eri osia kattavat prosessit tulisi allokoida eri pätevien työntekijöiden ryhmille. Jotta roistotyöntekijät eivät heikentäisi yrityksen turvallisuutta, tämä tehdään yleensä jakamalla tehtäviä eri työyksiköille ja osastoittamalla IT-toimintaa ja ylläpitoa.

Lopuksi, tehtävien eriyttämistä ei voida määrittää oikein ilman asianmukaista IT-tarkastusohjelmaa, tehokasta riskienhallintastrategiaa sekä asianmukaista valvontaympäristöä.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

Uusi ISO 27002:2022 -standardi ei vaadi paljon muuta kuin päivitä ISMS prosesseja, jotka kuvastavat parannettuja valvontatoimia. Ja jos tiimisi ei pysty hallitsemaan tätä, ISMS.online voi auttaa sinua.

ISMS.online virtaviivaistaa ISO 27002 -standardin käyttöönottoprosessia tarjoamalla kehittyneen pilvipohjaisen kehyksen tietoturvan hallintajärjestelmän menettelyjen ja tarkistuslistojen dokumentoimiseksi tunnustettujen standardien noudattamisen varmistamiseksi.

Kun käytät ISMS.onlinea, voit:

• Luo ISMS, joka on yhteensopiva ISO 27001 -standardien kanssa.
• suorittaa tehtäviä ja toimittaa todisteet siitä, että he ovat täyttäneet standardin vaatimukset.
• jakaa tehtäviä ja seurata edistymistä lain noudattamisessa.
• pääset käsiksi erikoistuneeseen neuvonantajatiimiin, joka auttaa sinua koko tielläsi kohti vaatimustenmukaisuutta.

Pilvipohjaisen alustamme ansiosta on nyt mahdollista hallita keskitetysti tarkistuslistojasi, olla vuorovaikutuksessa kollegoiden kanssa ja käyttää kattavaa työkalusarjaa, joka auttaa organisaatiotasi luomaan ja käyttämään ISMS:ää maailmanlaajuisten parhaiden käytäntöjen mukaisesti.

Ota yhteyttä jo tänään varaa esittely.