ISO 27002:2022, kontroll 5.3 – pliktdeling

Hva er hensikten med kontroll 5.3?

Hensikten med kontroll 5.3 Segregering av oppgaver i ISO 27002 er å redusere risikoen for svindel, feil og omgåelse av informasjonssikkerhetskontroller ved å sikre at motstridende oppgaver skilles.

Kontroll 5.3 Forklart

Kontroll 5.3 dekker implementeringsveiledningen for segregeringsoppgaver og plikter i en organisasjon i tråd med rammene av ISO 27001.

Prinsippet innebærer å bryte ned nøkkeloppgaver i deloppgaver og tildele dem til forskjellige personer. Dette skaper et system med kontroller og balanser som kan redusere risikoen for feil eller svindel.

Kontrollen er utformet for å forhindre at en enkelt person kan begå, skjule og rettferdiggjøre upassende handlinger, og dermed redusere risikoen for svindel eller feil. Det forhindrer også at en enkelt person kan overstyre informasjonssikkerhetskontroller.

Hvis en ansatt har alle rettigheter som kreves for en bestemt oppgave, er det en høyere risiko for svindel eller feil siden en person kan gjøre alt uten noen kontroller og balanser. Men hvis ingen enkeltperson har alle tilgangsrettigheter som kreves for en bestemt oppgave, reduserer dette risikoen for at en ansatt kan forårsake betydelig skade eller økonomisk tap.

Hva er involvert og hvordan du oppfyller kravene

Plikter og ansvarsområder som ikke er atskilt kan føre til svindel, misbruk, upassende tilgang og annet sikkerhetshendelser.

I tillegg er oppgaveseparering nødvendig for å redusere risikoen knyttet til potensialet for samarbeid mellom enkeltpersoner. Disse risikoene øker når det ikke er tilstrekkelige kontroller for å forhindre eller oppdage samhandling.

For å oppfylle kravene til kontroll 5.3 i ISO 27002:2022, bør organisasjonen bestemme hvilke oppgaver og ansvarsområder som må adskilles og handlingsbare segregeringskontroller settes på plass.

Der slike kontroller ikke er mulig, spesielt for små organisasjoner med minimal personalstyrke, aktivitetsovervåking, revisjonsspor og ledelsestilsyn kan bli brukt. For større organisasjoner kan automatiserte verktøy brukes til å identifisere og skille roller slik at motstridende roller ikke blir tildelt personer.

Forskjeller mellom ISO 27002:2013 og ISO 27002:2022

Kontrollnummeret 5.3 Segregering av oppgaver i ISO 27002:2022 er ikke en ny kontroll. Det er ganske enkelt en forbedret versjon av kontroll 6.1.2 Oppdeling av oppgaver funnet i ISO 27002:2013.

Det grunnleggende om oppgavedeling er det samme i både kontroll 5.3 ISO 27002:2022 og kontroll 6.1.2 ISO 27002:2013. Den nye versjonen beskriver imidlertid et sett med aktiviteter som krever segregering når denne kontrollen implementeres.

Disse aktivitetene er:

a) initiere, godkjenne og utføre en endring;

b) be om, godkjenne og implementere tilgangsrettigheter;

c) designe, implementere og gjennomgå kode;

d) utvikle programvare og administrere produksjonssystemer;

e) bruke og administrere applikasjoner;

f) bruke applikasjoner og administrere databaser;

g) designe, revidere og sikre informasjonssikkerhetskontroller.

Hvem er ansvarlig for denne prosessen?

Det er flere personer som er ansvarlige for oppgaveseparering i ISO 27002. Først bør et seniormedlem av ledergruppen være involvert for å sikre at den første risikovurdering har blitt fullført.

Da bør prosessene som dekker ulike deler av organisasjonen allokeres til ulike grupper av kvalifiserte medarbeidere. For å hindre useriøse ansatte i å undergrave bedriftens sikkerhet, gjøres dette vanligvis ved å tildele oppgaver til ulike arbeidsenheter og avdelingalisere IT-relatert drift og vedlikehold.

Endelig kan oppgaveseparering ikke etableres på riktig måte uten et passende IT-revisjonsprogram, en effektiv risikostyringsstrategi, samt et passende kontrollmiljø.

Hvordan ISMS.online hjelper

Den nye ISO 27002:2022-standarden krever ikke at du gjør så mye annet enn oppgradere ISMS prosesser for å gjenspeile de forbedrede kontrollene. Og hvis teamet ditt ikke klarer dette, ISMS.online kan hjelpe deg.

ISMS.online effektiviserer implementeringsprosessen for ISO 27002 ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer for informasjonssikkerhetsstyringssystem og sjekklister for å sikre samsvar med anerkjente standarder.

Når du bruker ISMS.online, vil du kunne:

• opprette et ISMS som er kompatibelt med ISO 27001-standarder.
• utføre oppgaver og levere bevis for at de har oppfylt kravene i standarden.
• tildele oppgaver og spore fremdriften mot overholdelse av loven.
• få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom veien mot overholdelse.

Takket være vår skybaserte plattform er det nå mulig å administrere sjekklistene dine sentralt, samhandle med kolleger og bruke et omfattende sett med verktøy for å hjelpe organisasjonen din med å opprette og drive et ISMS i samsvar med verdensomspennende beste praksis.

Ta kontakt i dag for å bestill en demo.