ISO 27001:2022 Bijlage A Controle 5.3

Wat is het doel van ISO 27001:2022 bijlage A 5.3?

In ISO 27001 heeft Controle 5.3 Segregatie van Plichten tot doel conflicterende taken te scheiden. Hierdoor wordt de kans op fraude en fouten verkleind omzeilt de informatiebeveiliging controles.

Bijlage A Controle 5.3 Uitgelegd

Conform ISO 27001 beschrijft Bijlage A Controle 5.3 de implementatierichtlijnen voor het scheiden van organisatorische taken en plichten.

Door deeltaken aan verschillende personen te delegeren, creëert dit principe een systeem van checks and balances dat de kans op fouten en fraude kan verkleinen.

De controle is bedoeld om te voorkomen dat één persoon ongepaste handelingen kan plegen, verbergen en rechtvaardigen, waardoor het risico op fraude en fouten wordt verkleind. Het voorkomt ook dat één persoon de overhand krijgt controles op informatiebeveiliging.

In gevallen waarin één medewerker alle rechten heeft die nodig zijn voor de taak, is de kans groter dat er sprake is van fraude en fouten. Dit komt omdat één persoon alles kan uitvoeren zonder enige checks and balances. Er is echter een kleiner risico op aanzienlijke schade of financieel verlies voor een werknemer wanneer geen enkele persoon over alle toegangsrechten beschikt die nodig zijn voor een bepaalde taak.

Wat houdt het in en vereisten van bijlage A 5.3

Bij gebrek aan een goede scheiding van taken en verantwoordelijkheden kunnen fraude, misbruik, ongeoorloofde toegang en andere beveiligingsproblemen ontstaan.

Bovendien is functiescheiding nodig om de risico's van samenwerking tussen individuen te beperken. Deze risico's nemen toe wanneer onvoldoende controles collusie voorkomen of detecteren.

Als onderdeel van ISO 27001:2022 is de De organisatie moet bepalen welke taken en verantwoordelijkheden nodig zijn gescheiden te worden en uitvoerbare scheidingscontroles te implementeren.

Wanneer dergelijke controles niet mogelijk zijn, met name voor kleine organisaties met een beperkt aantal werknemers, kan monitoring van activiteiten, audittrajectenen er kan gebruik worden gemaakt van managementtoezicht. Met behulp van geautomatiseerde tools kunnen grotere organisaties rollen identificeren en scheiden om te voorkomen dat conflicterende rollen worden toegewezen.

Wat zijn de veranderingen en verschillen ten opzichte van ISO 27001:2013?

ISO 27001:2022's bijlage A controle 5.3 Scheiding van taken is een herziene versie van ISO 27001:2013's bijlage A controle 6.1.2 Scheiding van taken.

Bijlage A 5.3 ISO 27001:2022 en bijlage A 6.1.2 ISO 27001:2013 beschrijven dezelfde basiskenmerken van de controle “Segregatie van taken”. De meest recente versie definieert echter een aantal activiteiten die tijdens de implementatie segregatie vereisen.

Tot deze activiteiten behoren:

a) het initiëren, goedkeuren en uitvoeren van een wijziging;

b) het aanvragen, goedkeuren en implementeren van toegangsrechten;

c) code ontwerpen, implementeren en beoordelen;

d) het ontwikkelen van software en het beheren van productiesystemen;

e) het gebruiken en beheren van applicaties;

f) het gebruiken van applicaties en het beheren van databases;

g) het ontwerpen, auditeren en verzekeren van informatiebeveiligingscontroles.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.

Wie is eigenaar van bijlage A 5.3?

Verschillende personen zijn verantwoordelijk voor de scheiding van taken in ISO 27001, te beginnen met een lid van het senior managementteam. Deze persoon is ervoor verantwoordelijk dat de initiële risico-evaluatie heeft plaatsgevonden.

Als gevolg hiervan moeten aan andere groepen gekwalificeerde medewerkers processen worden toegewezen die van toepassing zijn op verschillende delen van de organisatie. Om te voorkomen dat malafide werknemers de bedrijfsveiligheid ondermijnen, gebeurt dit meestal door taken aan andere werkeenheden toe te wijzen en IT-gerelateerde operationele en onderhoudsactiviteiten in afdelingen te verdelen.

De scheiding van taken kan niet correct tot stand worden gebracht zonder een effectief risicobeheer strategie, een passende controleomgeving en een passend IT-auditprogramma.

Gebruik ISMS.online in uw voordeel

ISO 27001:2022 vereist alleen dat u uw ISMS-processen bijwerkt om de verbeterde controles van Bijlage A weer te geven, en als uw team dit niet kan beheren, kan ISMS.online dat wel.

Naast DPIA en andere gerelateerde beoordelingen van persoonsgegevensNet als LIA's biedt ISMS.online eenvoudige, praktische raamwerken en sjablonen voor informatiebeveiliging.

met ISMS.onlinekunt u de procedures en checklists voor het informatiebeveiligingsbeheersysteem documenteren om naleving van ISO 27001 te garanderen, waardoor het implementatieproces wordt geautomatiseerd.

Met ISMS.online kunt u:

• Maak een ISMS dat compatibel is met ISO 27001 normen.
• Voer taken uit en dien bewijs in waaruit blijkt dat ze aan de eisen van de norm hebben voldaan.
• Verdeel taken en volg de voortgang richting naleving van de wet.
• Krijg toegang tot een gespecialiseerd team van adviseurs om u te helpen tijdens uw hele traject richting compliance.

Door ons cloudgebaseerde platform te gebruiken, kunt u checklists centraal beheren, communiceren met collega's en een uitgebreide set tools gebruiken om uw organisatie te helpen bij het creëren en onderhouden van een ISMS.

Neem vandaag nog contact op met boek een demo.