ISO 27001:2022 Vedlegg A Kontroll 5.3

Hva er formålet med ISO 27001:2022 vedlegg A 5.3?

I ISO 27001 har Kontroll 5.3 Segregering av oppgaver som mål å skille motstridende oppgaver. Dette reduserer risikoen for svindel og feil og omgår informasjonssikkerhet kontroller.

Vedlegg A Kontroll 5.3 Forklart

I samsvar med ISO 27001, vedlegg A Kontroll 5.3 beskriver implementeringsretningslinjene for å skille organisatoriske oppgaver og plikter.

Ved å delegere deloppgaver til ulike individer, skaper dette prinsippet et system med kontroller og balanser som kan redusere sannsynligheten for at feil og svindel oppstår.

Kontrollen er utformet for å forhindre at en enkelt person kan begå, skjule og rettferdiggjøre upassende handlinger, og dermed redusere risikoen for svindel og feil. Det forhindrer også at en enkelt person overstyrer informasjonssikkerhetskontroller.

I tilfeller der én ansatt har alle rettighetene som kreves for oppgaven, er det mer sannsynlig at det oppstår svindel og feil. Dette er fordi én person kan utføre alt uten noen kontroller og balanser. Det er imidlertid redusert risiko for betydelig skade eller økonomisk tap fra en ansatt når ingen enkeltperson har alle rettighetene som kreves for en bestemt oppgave.

Hva er involvert og krav til vedlegg A 5.3

I fravær av riktig separasjon av plikter og ansvar kan det oppstå svindel, misbruk, uautorisert tilgang og andre sikkerhetsproblemer.

I tillegg kreves oppgaveseparering for å redusere risikoen for samarbeid mellom enkeltpersoner. Disse risikoene øker når utilstrekkelig kontroll forhindrer eller oppdager samarbeid.

Som en del av ISO 27001:2022 organisasjonen bør bestemme hvilke plikter og ansvarsområder som trengs å bli separert og implementere handlingsbare separasjonskontroller.

Når slike kontroller ikke er mulig, spesielt for små organisasjoner med et begrenset antall ansatte, kan aktivitetsovervåking, revisjonsspor, og ledelsestilsyn kan brukes. Ved å bruke automatiserte verktøy kan større organisasjoner identifisere og skille roller for å forhindre at motstridende roller blir tildelt.

Hva er endringene og forskjellene fra ISO 27001:2013?

ISO 27001:2022s vedlegg A-kontroll 5.3 Oppdeling av oppgaver er en revidert versjon av ISO 27001:2013s vedlegg A-kontroll 6.1.2 Oppdeling av oppgaver.

Vedlegg A 5.3 ISO 27001:2022 og vedlegg A 6.1.2 ISO 27001:2013 beskriver de samme grunnleggende egenskapene til kontrollen "Segregation of duties". Den nyeste versjonen definerer imidlertid en rekke aktiviteter som krever segregering under implementering.

Blant disse aktivitetene er:

a) initiere, godkjenne og utføre en endring;

b) be om, godkjenne og implementere tilgangsrettigheter;

c) designe, implementere og gjennomgå kode;

d) utvikle programvare og administrere produksjonssystemer;

e) bruke og administrere applikasjoner;

f) bruke applikasjoner og administrere databaser;

g) utforming, revisjon og sikring av informasjonssikkerhetskontroller.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvem har eierskap til vedlegg A 5.3?

Flere personer er ansvarlige for oppgaveseparering i ISO 27001, og begynner med et medlem av toppledelsen. Denne personen er ansvarlig for å sikre at den første risikovurdering har funnet sted.

Som et resultat bør andre grupper av kvalifiserte medarbeidere tildeles prosesser som gjelder ulike deler av organisasjonen. Pålegg for å hindre useriøse ansatte i å undergrave bedriftens sikkerhet, gjøres vanligvis ved å tildele oppgaver til andre arbeidsenheter og avdelingsvise IT-relatert drift og vedlikeholdsaktiviteter.

Arbeidsfordelingen kan ikke etableres korrekt uten en effektiv risikostyring strategi, et hensiktsmessig kontrollmiljø og et hensiktsmessig IT-revisjonsprogram.

Bruk ISMS.online til din fordel

ISO 27001:2022 krever bare at du oppdaterer ISMS-prosessene dine for å gjenspeile de forbedrede Annex A-kontrollene, og hvis teamet ditt ikke kan administrere dette, kan ISMS.online det.

I tillegg til DPIA og andre relaterte vurderinger av personopplysninger, i likhet med LIAer, gir ISMS.online enkle, praktiske rammer og maler for informasjonssikkerhet.

Med ISMS.online, kan du dokumentere prosedyrer for styringssystem for informasjonssikkerhet og sjekklister for å sikre samsvar med ISO 27001, og automatisere implementeringsprosessen.

ISMS.online lar deg:

• Lag en ISMS som er kompatibel med ISO 27001 standarder.
• Utfør oppgaver og send inn bevis som indikerer at de har oppfylt standardens krav.
• Tildel oppgaver og spor fremdriften mot overholdelse av loven.
• Få tilgang til et spesialisert team med rådgivere for å hjelpe deg gjennom hele veien mot overholdelse.

Ved å bruke vår skybaserte plattform kan du sentralt administrere sjekklister, samhandle med kolleger og bruke et omfattende sett med verktøy for å hjelpe organisasjonen din med å opprette og vedlikeholde en ISMS.

Ta kontakt i dag for å bestill en demo.