Hva er kontroll 5.3 oppgavedeling?
Motstridende plikter og ansvarsområder forklart
Hver organisasjon har et sett med retningslinjer og prosedyrer (P&P) som styrer den interne driften. P&P er ment å være dokumentert, men ofte er de ikke det.
Hvis disse P&P-ene ikke er klare eller godt kommunisert, er resultatet forvirring blant ansatte om deres ansvarsområder. Dette kan bli enda verre når ansatte har overlappende ansvar, eller motstridende ansvarsområder.
Konflikter kan oppstå når to eller flere ansatte har lignende eller ulike ansvar overfor en bestemt oppgave. Når dette skjer, kan de ansatte ende opp med å gjøre det samme to ganger, eller gjøre forskjellige ting som kansellerer hverandres innsats. Dette sløser bedriftens ressurser og reduserer produktiviteten, noe som påvirker både selskapets bunnlinje og moral.
For å sikre at din organisasjon ikke lider av dette problemet, er det viktig å forstå hvilke ansvarsområder som er motstridende, hvorfor de skjer og hvordan du kan forhindre at de oppstår i din organisasjon. For det meste betyr dette å skille oppgaver slik at ulike mennesker håndterer forskjellig roller i organisasjonen.
Attributttabell for kontroll 5.3
Kontroller er klassifisert i henhold til deres egenskaper. Attributter hjelper deg med å justere kontrollutvalget etter bransjestandarder og språk. I kontroll 5.3 er disse:
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Styresett | #Governance og økosystem |
| #Integritet | #Identitets- og tilgangsadministrasjon | |||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Hva er hensikten med kontroll 5.3?
Hensikten med kontroll 5.3 Segregering av oppgaver i ISO 27002 er å redusere risikoen for svindel, feil og omgåelse av informasjonssikkerhetskontroller ved å sikre at motstridende oppgaver skilles.
Kontroll 5.3 Forklart
Kontroll 5.3 dekker implementeringsveiledningen for segregeringsoppgaver og plikter i en organisasjon i tråd med rammene av ISO 27001.
Prinsippet innebærer å bryte ned nøkkeloppgaver i deloppgaver og tildele dem til forskjellige personer. Dette skaper et system med kontroller og balanser som kan redusere risikoen for feil eller svindel.
Kontrollen er utformet for å forhindre at en enkelt person kan begå, skjule og rettferdiggjøre upassende handlinger, og dermed redusere risikoen for svindel eller feil. Det forhindrer også at en enkelt person kan overstyre informasjonssikkerhetskontroller.
Hvis en ansatt har alle rettigheter som kreves for en bestemt oppgave, er det en høyere risiko for svindel eller feil siden en person kan gjøre alt uten noen kontroller og balanser. Men hvis ingen enkeltperson har alle tilgangsrettigheter som kreves for en bestemt oppgave, reduserer dette risikoen for at en ansatt kan forårsake betydelig skade eller økonomisk tap.
Hva er involvert og hvordan du oppfyller kravene
Plikter og ansvarsområder som ikke er atskilt kan føre til svindel, misbruk, upassende tilgang og annet sikkerhetshendelser.
I tillegg er oppgaveseparering nødvendig for å redusere risikoen knyttet til potensialet for samarbeid mellom enkeltpersoner. Disse risikoene øker når det ikke er tilstrekkelige kontroller for å forhindre eller oppdage samhandling.
For å oppfylle kravene til kontroll 5.3 i ISO 27002:2022, bør organisasjonen bestemme hvilke oppgaver og ansvarsområder som må adskilles og handlingsbare segregeringskontroller settes på plass.
Der slike kontroller ikke er mulig, spesielt for små organisasjoner med minimal personalstyrke, aktivitetsovervåking, revisjonsspor og ledelsestilsyn kan bli brukt. For større organisasjoner kan automatiserte verktøy brukes til å identifisere og skille roller slik at motstridende roller ikke blir tildelt personer.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Forskjeller mellom ISO 27002:2013 og ISO 27002:2022
Kontrollnummeret 5.3 Segregering av oppgaver i ISO 27002:2022 er ikke en ny kontroll. Det er ganske enkelt en forbedret versjon av kontroll 6.1.2 Oppdeling av oppgaver funnet i ISO 27002:2013.
Det grunnleggende om oppgavedeling er det samme i både kontroll 5.3 ISO 27002:2022 og kontroll 6.1.2 ISO 27002:2013. Den nye versjonen beskriver imidlertid et sett med aktiviteter som krever segregering når denne kontrollen implementeres.
Disse aktivitetene er:
a) initiere, godkjenne og utføre en endring;
b) be om, godkjenne og implementere tilgangsrettigheter;
c) designe, implementere og gjennomgå kode;
d) utvikle programvare og administrere produksjonssystemer;
e) bruke og administrere applikasjoner;
f) bruke applikasjoner og administrere databaser;
g) designe, revidere og sikre informasjonssikkerhetskontroller.
Hvem er ansvarlig for denne prosessen?
Det er flere personer som er ansvarlige for oppgaveseparering i ISO 27002. Først bør et seniormedlem av ledergruppen være involvert for å sikre at den første risikovurdering har blitt fullført.
Da bør prosessene som dekker ulike deler av organisasjonen allokeres til ulike grupper av kvalifiserte medarbeidere. For å hindre useriøse ansatte i å undergrave bedriftens sikkerhet, gjøres dette vanligvis ved å tildele oppgaver til ulike arbeidsenheter og avdelingalisere IT-relatert drift og vedlikehold.
Endelig kan oppgaveseparering ikke etableres på riktig måte uten et passende IT-revisjonsprogram, en effektiv risikostyringsstrategi, samt et passende kontrollmiljø.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
Den nye ISO 27002:2022-standarden krever ikke at du gjør så mye annet enn oppgradere ISMS prosesser for å gjenspeile de forbedrede kontrollene. Og hvis teamet ditt ikke klarer dette, ISMS.online kan hjelpe deg.
ISMS.online effektiviserer implementeringsprosessen for ISO 27002 ved å tilby et sofistikert skybasert rammeverk for å dokumentere prosedyrer for informasjonssikkerhetsstyringssystem og sjekklister for å sikre samsvar med anerkjente standarder.
Når du bruker ISMS.online, vil du kunne:
- opprette et ISMS som er kompatibelt med ISO 27001-standarder.
- utføre oppgaver og levere bevis for at de har oppfylt kravene i standarden.
- tildele oppgaver og spore fremdriften mot overholdelse av loven.
- få tilgang til et spesialisert team med rådgivere som vil hjelpe deg gjennom veien mot overholdelse.
Takket være vår skybaserte plattform er det nå mulig å administrere sjekklistene dine sentralt, samhandle med kolleger og bruke et omfattende sett med verktøy for å hjelpe organisasjonen din med å opprette og drive et ISMS i samsvar med verdensomspennende beste praksis.
Ta kontakt i dag for å bestill en demo.
