- Bekijk ISO 27002:2022 Controle 5.3 voor meer informatie.
- Bekijk ISO 27001:2013 Bijlage A 6.1.2 voor meer informatie.
Begrijpen van ISO 27001:2022 Bijlage A Controle 5.3 – Het belang van scheiding van taken
Het doel van ISO 27001:2022 Annex A 5.3 – functiescheiding in de vorm van functionele scheiding is het vaststellen van een managementraamwerk dat zal worden gebruikt om de implementatie en werking van informatiebeveiliging binnen een bedrijf te initiëren en te controleren.
Volgens ISO 27001:2022 bijlage A controle 5.3, voorheen bekend als 6.1.2 in ISO 27001:2013, worden conflicterende taken en conflicterende verantwoordelijkheidsgebieden gescheiden.
Een organisatie moet een passende scheiding van taken overwegen en implementeren als onderdeel van het risico-evaluatie- en behandelingsproces. Hoewel kleinere organisaties hier misschien moeite mee hebben, moet het principe zoveel mogelijk worden toegepast en moet er voor goed bestuur en controle worden gezorgd informatie-activa met een hoger risico/hogere waarde.
Om de kans op ongeoorloofde of onbedoelde wijziging of misbruik van de bedrijfsmiddelen van de organisatie te verkleinen, moeten conflicterende taken en verantwoordelijkheidsgebieden worden gescheiden.
Conflicterende taken en verantwoordelijkheden uitgelegd
Bijna elke organisatie heeft een aantal beleidsmaatregelen en procedures die de interne bedrijfsvoering regelen. Het is de bedoeling dat dit beleid en deze procedures worden gedocumenteerd, maar dit is niet altijd het geval.
Het gevaar bestaat dat werknemers in verwarring raken over hun verantwoordelijkheidsgebied als de P&P's niet transparant zijn of niet goed worden gecommuniceerd. Dit wordt zelfs nog problematischer wanneer werknemers overlappende of tegenstrijdige verantwoordelijkheidsgebieden hebben.
Af en toe kunnen er conflicten ontstaan wanneer werknemers verantwoordelijkheden hebben met betrekking tot een bepaalde taak die vergelijkbaar of verschillend zijn. Als gevolg hiervan kunnen werknemers twee keer hetzelfde doen of verschillende functies uitvoeren die de inspanningen van anderen tenietdoen. Dit verspilt bedrijfsmiddelen en vermindert de productiviteit, wat een negatieve invloed heeft op de bedrijfsresultaten en het moreel van het bedrijf.
Dit probleem kan worden vermeden door ervoor te zorgen dat uw organisatie geen conflicterende verantwoordelijkheidsgebieden ervaart en weet waarom en wat u kunt doen om deze te voorkomen. Voor het grootste deel betekent dit het scheiden van taken, zodat verschillende mensen verschillende rollen in de organisatie vervullen.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Wat is het doel van ISO 27001:2022 bijlage A 5.3?
In ISO 27001 heeft Controle 5.3 Segregatie van Plichten tot doel conflicterende taken te scheiden. Hierdoor wordt de kans op fraude en fouten verkleind omzeilt de informatiebeveiliging controles.
Bijlage A Controle 5.3 Uitgelegd
Conform ISO 27001 beschrijft Bijlage A Controle 5.3 de implementatierichtlijnen voor het scheiden van organisatorische taken en plichten.
Door deeltaken aan verschillende personen te delegeren, creëert dit principe een systeem van checks and balances dat de kans op fouten en fraude kan verkleinen.
De controle is bedoeld om te voorkomen dat één persoon ongepaste handelingen kan plegen, verbergen en rechtvaardigen, waardoor het risico op fraude en fouten wordt verkleind. Het voorkomt ook dat één persoon de overhand krijgt controles op informatiebeveiliging.
In gevallen waarin één medewerker alle rechten heeft die nodig zijn voor de taak, is de kans groter dat er sprake is van fraude en fouten. Dit komt omdat één persoon alles kan uitvoeren zonder enige checks and balances. Er is echter een kleiner risico op aanzienlijke schade of financieel verlies voor een werknemer wanneer geen enkele persoon over alle toegangsrechten beschikt die nodig zijn voor een bepaalde taak.
Wat houdt het in en vereisten van bijlage A 5.3
Bij gebrek aan een goede scheiding van taken en verantwoordelijkheden kunnen fraude, misbruik, ongeoorloofde toegang en andere beveiligingsproblemen ontstaan.
Bovendien is functiescheiding nodig om de risico's van samenwerking tussen individuen te beperken. Deze risico's nemen toe wanneer onvoldoende controles collusie voorkomen of detecteren.
Als onderdeel van ISO 27001:2022 is de De organisatie moet bepalen welke taken en verantwoordelijkheden nodig zijn gescheiden te worden en uitvoerbare scheidingscontroles te implementeren.
Wanneer dergelijke controles niet mogelijk zijn, met name voor kleine organisaties met een beperkt aantal werknemers, kan monitoring van activiteiten, audittrajectenen er kan gebruik worden gemaakt van managementtoezicht. Met behulp van geautomatiseerde tools kunnen grotere organisaties rollen identificeren en scheiden om te voorkomen dat conflicterende rollen worden toegewezen.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Wat zijn de veranderingen en verschillen ten opzichte van ISO 27001:2013?
ISO 27001:2022's bijlage A controle 5.3 Scheiding van taken is een herziene versie van ISO 27001:2013's bijlage A controle 6.1.2 Scheiding van taken.
Bijlage A 5.3 ISO 27001:2022 en bijlage A 6.1.2 ISO 27001:2013 beschrijven dezelfde basiskenmerken van de controle “Segregatie van taken”. De meest recente versie definieert echter een aantal activiteiten die tijdens de implementatie segregatie vereisen.
Tot deze activiteiten behoren:
a) het initiëren, goedkeuren en uitvoeren van een wijziging;
b) het aanvragen, goedkeuren en implementeren van toegangsrechten;
c) code ontwerpen, implementeren en beoordelen;
d) het ontwikkelen van software en het beheren van productiesystemen;
e) het gebruiken en beheren van applicaties;
f) het gebruiken van applicaties en het beheren van databases;
g) het ontwerpen, auditeren en verzekeren van informatiebeveiligingscontroles.
Tabel met alle ISO 27001:2022 bijlage A-controles
In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Organisatorische controles | Bijlage A 5.1 |
Bijlage A 5.1.1 Bijlage A 5.1.2 |
Beleid voor informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.2 | Bijlage A 6.1.1 | Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.3 | Bijlage A 6.1.2 | Scheiding van taken |
| Organisatorische controles | Bijlage A 5.4 | Bijlage A 7.2.1 | Directie verantwoordelijkheden |
| Organisatorische controles | Bijlage A 5.5 | Bijlage A 6.1.3 | Contact met autoriteiten |
| Organisatorische controles | Bijlage A 5.6 | Bijlage A 6.1.4 | Contact met speciale interessegroepen |
| Organisatorische controles | Bijlage A 5.7 | NIEUW | Bedreiging Intelligentie |
| Organisatorische controles | Bijlage A 5.8 |
Bijlage A 6.1.5 Bijlage A 14.1.1 |
Informatiebeveiliging in projectmanagement |
| Organisatorische controles | Bijlage A 5.9 |
Bijlage A 8.1.1 Bijlage A 8.1.2 |
Inventarisatie van informatie en andere bijbehorende activa |
| Organisatorische controles | Bijlage A 5.10 |
Bijlage A 8.1.3 Bijlage A 8.2.3 |
Aanvaardbaar gebruik van informatie en andere bijbehorende activa |
| Organisatorische controles | Bijlage A 5.11 | Bijlage A 8.1.4 | Teruggave van activa |
| Organisatorische controles | Bijlage A 5.12 | Bijlage A 8.2.1 | Classificatie van informatie |
| Organisatorische controles | Bijlage A 5.13 | Bijlage A 8.2.2 | Etikettering van informatie |
| Organisatorische controles | Bijlage A 5.14 |
Bijlage A 13.2.1 Bijlage A 13.2.2 Bijlage A 13.2.3 |
Informatieoverdracht |
| Organisatorische controles | Bijlage A 5.15 |
Bijlage A 9.1.1 Bijlage A 9.1.2 |
Access Controle |
| Organisatorische controles | Bijlage A 5.16 | Bijlage A 9.2.1 | Identiteitsbeheer |
| Organisatorische controles | Bijlage A 5.17 |
Bijlage A 9.2.4 Bijlage A 9.3.1 Bijlage A 9.4.3 |
Authenticatie-informatie |
| Organisatorische controles | Bijlage A 5.18 |
Bijlage A 9.2.2 Bijlage A 9.2.5 Bijlage A 9.2.6 |
Toegangsrechten |
| Organisatorische controles | Bijlage A 5.19 | Bijlage A 15.1.1 | Informatiebeveiliging in leveranciersrelaties |
| Organisatorische controles | Bijlage A 5.20 | Bijlage A 15.1.2 | Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten |
| Organisatorische controles | Bijlage A 5.21 | Bijlage A 15.1.3 | Beheer van informatiebeveiliging in de ICT-toeleveringsketen |
| Organisatorische controles | Bijlage A 5.22 |
Bijlage A 15.2.1 Bijlage A 15.2.2 |
Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten |
| Organisatorische controles | Bijlage A 5.23 | NIEUW | Informatiebeveiliging voor gebruik van cloudservices |
| Organisatorische controles | Bijlage A 5.24 | Bijlage A 16.1.1 | Planning en voorbereiding van informatiebeveiligingsincidentbeheer |
| Organisatorische controles | Bijlage A 5.25 | Bijlage A 16.1.4 | Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen |
| Organisatorische controles | Bijlage A 5.26 | Bijlage A 16.1.5 | Reactie op informatiebeveiligingsincidenten |
| Organisatorische controles | Bijlage A 5.27 | Bijlage A 16.1.6 | Leren van informatiebeveiligingsincidenten |
| Organisatorische controles | Bijlage A 5.28 | Bijlage A 16.1.7 | Verzameling van bewijsmateriaal |
| Organisatorische controles | Bijlage A 5.29 |
Bijlage A 17.1.1 Bijlage A 17.1.2 Bijlage A 17.1.3 |
Informatiebeveiliging tijdens disruptie |
| Organisatorische controles | Bijlage A 5.30 | NIEUW | ICT-gereedheid voor bedrijfscontinuïteit |
| Organisatorische controles | Bijlage A 5.31 |
Bijlage A 18.1.1 Bijlage A 18.1.5 |
Wettelijke, statutaire, regelgevende en contractuele vereisten |
| Organisatorische controles | Bijlage A 5.32 | Bijlage A 18.1.2 | Intellectuele eigendomsrechten |
| Organisatorische controles | Bijlage A 5.33 | Bijlage A 18.1.3 | Bescherming van records |
| Organisatorische controles | Bijlage A 5.34 | Bijlage A 18.1.4 | Privacy en bescherming van PII |
| Organisatorische controles | Bijlage A 5.35 | Bijlage A 18.2.1 | Onafhankelijke beoordeling van informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.36 |
Bijlage A 18.2.2 Bijlage A 18.2.3 |
Naleving van beleid, regels en normen voor informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.37 | Bijlage A 12.1.1 | Gedocumenteerde operationele procedures |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Mensencontroles | Bijlage A 6.1 | Bijlage A 7.1.1 | Doorlichting |
| Mensencontroles | Bijlage A 6.2 | Bijlage A 7.1.2 | Arbeidsvoorwaarden |
| Mensencontroles | Bijlage A 6.3 | Bijlage A 7.2.2 | Informatiebeveiligingsbewustzijn, onderwijs en training |
| Mensencontroles | Bijlage A 6.4 | Bijlage A 7.2.3 | Disciplinair proces |
| Mensencontroles | Bijlage A 6.5 | Bijlage A 7.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| Mensencontroles | Bijlage A 6.6 | Bijlage A 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| Mensencontroles | Bijlage A 6.7 | Bijlage A 6.2.2 | Werken op afstand |
| Mensencontroles | Bijlage A 6.8 |
Bijlage A 16.1.2 Bijlage A 16.1.3 |
Rapportage van informatiebeveiligingsgebeurtenissen |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Fysieke controles | Bijlage A 7.1 | Bijlage A 11.1.1 | Fysieke beveiligingsperimeters |
| Fysieke controles | Bijlage A 7.2 |
Bijlage A 11.1.2 Bijlage A 11.1.6 |
Fysieke toegang |
| Fysieke controles | Bijlage A 7.3 | Bijlage A 11.1.3 | Beveiliging van kantoren, kamers en faciliteiten |
| Fysieke controles | Bijlage A 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| Fysieke controles | Bijlage A 7.5 | Bijlage A 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| Fysieke controles | Bijlage A 7.6 | Bijlage A 11.1.5 | Werken in beveiligde gebieden |
| Fysieke controles | Bijlage A 7.7 | Bijlage A 11.2.9 | Duidelijk bureau en helder scherm |
| Fysieke controles | Bijlage A 7.8 | Bijlage A 11.2.1 | Apparatuurlocatie en bescherming |
| Fysieke controles | Bijlage A 7.9 | Bijlage A 11.2.6 | Beveiliging van activa buiten gebouwen |
| Fysieke controles | Bijlage A 7.10 |
Bijlage A 8.3.1 Bijlage A 8.3.2 Bijlage A 8.3.3 Bijlage A 11.2.5 |
Opslag media |
| Fysieke controles | Bijlage A 7.11 | Bijlage A 11.2.2 | Ondersteunende nutsvoorzieningen |
| Fysieke controles | Bijlage A 7.12 | Bijlage A 11.2.3 | Beveiliging van bekabeling |
| Fysieke controles | Bijlage A 7.13 | Bijlage A 11.2.4 | Equipment Maintenance |
| Fysieke controles | Bijlage A 7.14 | Bijlage A 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Technologische controles | Bijlage A 8.1 |
Bijlage A 6.2.1 Bijlage A 11.2.8 |
Eindpuntapparaten van gebruikers |
| Technologische controles | Bijlage A 8.2 | Bijlage A 9.2.3 | Bevoorrechte toegangsrechten |
| Technologische controles | Bijlage A 8.3 | Bijlage A 9.4.1 | Beperking van toegang tot informatie |
| Technologische controles | Bijlage A 8.4 | Bijlage A 9.4.5 | Toegang tot broncode |
| Technologische controles | Bijlage A 8.5 | Bijlage A 9.4.2 | Veilige authenticatie |
| Technologische controles | Bijlage A 8.6 | Bijlage A 12.1.3 | Capaciteitsmanagement |
| Technologische controles | Bijlage A 8.7 | Bijlage A 12.2.1 | Bescherming tegen malware |
| Technologische controles | Bijlage A 8.8 |
Bijlage A 12.6.1 Bijlage A 18.2.3 |
Beheer van technische kwetsbaarheden |
| Technologische controles | Bijlage A 8.9 | NIEUW | Configuration Management |
| Technologische controles | Bijlage A 8.10 | NIEUW | Informatie verwijderen |
| Technologische controles | Bijlage A 8.11 | NIEUW | Gegevensmaskering |
| Technologische controles | Bijlage A 8.12 | NIEUW | Preventie van gegevenslekken |
| Technologische controles | Bijlage A 8.13 | Bijlage A 12.3.1 | Informatieback-up |
| Technologische controles | Bijlage A 8.14 | Bijlage A 17.2.1 | Redundantie van informatieverwerkingsfaciliteiten |
| Technologische controles | Bijlage A 8.15 |
Bijlage A 12.4.1 Bijlage A 12.4.2 Bijlage A 12.4.3 |
Logging |
| Technologische controles | Bijlage A 8.16 | NIEUW | Bewakingsactiviteiten |
| Technologische controles | Bijlage A 8.17 | Bijlage A 12.4.4 | Kloksynchronisatie |
| Technologische controles | Bijlage A 8.18 | Bijlage A 9.4.4 | Gebruik van bevoorrechte hulpprogramma's Toegangsrechten |
| Technologische controles | Bijlage A 8.19 |
Bijlage A 12.5.1 Bijlage A 12.6.2 |
Installatie van software op besturingssystemen |
| Technologische controles | Bijlage A 8.20 | Bijlage A 13.1.1 | Netwerkbeveiliging |
| Technologische controles | Bijlage A 8.21 | Bijlage A 13.1.2 | Beveiliging van netwerkdiensten |
| Technologische controles | Bijlage A 8.22 | Bijlage A 13.1.3 | Segregatie van netwerken |
| Technologische controles | Bijlage A 8.23 | NIEUW | Web filtering |
| Technologische controles | Bijlage A 8.24 |
Bijlage A 10.1.1 Bijlage A 10.1.2 |
Gebruik van cryptografie |
| Technologische controles | Bijlage A 8.25 | Bijlage A 14.2.1 | Levenscyclus van veilige ontwikkeling |
| Technologische controles | Bijlage A 8.26 |
Bijlage A 14.1.2 Bijlage A 14.1.3 |
Beveiligingsvereisten voor applicaties |
| Technologische controles | Bijlage A 8.27 | Bijlage A 14.2.5 | Principes van veilige systeemarchitectuur en engineeringLeren van incidenten met informatiebeveiliging |
| Technologische controles | Bijlage A 8.28 | NIEUW | Veilig coderen |
| Technologische controles | Bijlage A 8.29 |
Bijlage A 14.2.8 Bijlage A 14.2.9 |
Beveiligingstesten bij ontwikkeling en acceptatie |
| Technologische controles | Bijlage A 8.30 | Bijlage A 14.2.7 | Uitbestede ontwikkeling |
| Technologische controles | Bijlage A 8.31 |
Bijlage A 12.1.4 Bijlage A 14.2.6 |
Scheiding van ontwikkel-, test- en productieomgevingen |
| Technologische controles | Bijlage A 8.32 |
Bijlage A 12.1.2 Bijlage A 14.2.2 Bijlage A 14.2.3 Bijlage A 14.2.4 |
Change Management |
| Technologische controles | Bijlage A 8.33 | Bijlage A 14.3.1 | Test informatie |
| Technologische controles | Bijlage A 8.34 | Bijlage A 12.7.1 | Bescherming van informatiesystemen tijdens audittests |
Wie is eigenaar van bijlage A 5.3?
Verschillende personen zijn verantwoordelijk voor de scheiding van taken in ISO 27001, te beginnen met een lid van het senior managementteam. Deze persoon is ervoor verantwoordelijk dat de initiële risico-evaluatie heeft plaatsgevonden.
Als gevolg hiervan moeten aan andere groepen gekwalificeerde medewerkers processen worden toegewezen die van toepassing zijn op verschillende delen van de organisatie. Om te voorkomen dat malafide werknemers de bedrijfsveiligheid ondermijnen, gebeurt dit meestal door taken aan andere werkeenheden toe te wijzen en IT-gerelateerde operationele en onderhoudsactiviteiten in afdelingen te verdelen.
De scheiding van taken kan niet correct tot stand worden gebracht zonder een effectief risicobeheer strategie, een passende controleomgeving en een passend IT-auditprogramma.
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Gebruik ISMS.online in uw voordeel
ISO 27001:2022 vereist alleen dat u uw ISMS-processen bijwerkt om de verbeterde controles van Bijlage A weer te geven, en als uw team dit niet kan beheren, kan ISMS.online dat wel.
Naast DPIA en andere gerelateerde beoordelingen van persoonsgegevensNet als LIA's biedt ISMS.online eenvoudige, praktische raamwerken en sjablonen voor informatiebeveiliging.
Met ISMS.onlinekunt u de procedures en checklists voor het informatiebeveiligingsbeheersysteem documenteren om naleving van ISO 27001 te garanderen, waardoor het implementatieproces wordt geautomatiseerd.
Met ISMS.online kunt u:
- Maak een ISMS dat compatibel is met ISO 27001 normen.
- Voer taken uit en dien bewijs in waaruit blijkt dat ze aan de eisen van de norm hebben voldaan.
- Verdeel taken en volg de voortgang richting naleving van de wet.
- Krijg toegang tot een gespecialiseerd team van adviseurs om u te helpen tijdens uw hele traject richting compliance.
Door ons cloudgebaseerde platform te gebruiken, kunt u checklists centraal beheren, communiceren met collega's en een uitgebreide set tools gebruiken om uw organisatie te helpen bij het creëren en onderhouden van een ISMS.
Neem vandaag nog contact op met boek een demo.
