ISO 27001:2022 Anhang A 5.3 – Aufgabentrennung

Widersprüchliche Aufgaben und Verantwortungsbereiche erklärt

Fast jede Organisation verfügt über eine Reihe von Richtlinien und Verfahren, die seine internen Abläufe regeln. Diese Richtlinien und Verfahren sollten dokumentiert werden, aber das ist nicht immer der Fall.

Es besteht die Gefahr, dass Mitarbeiter über ihre Verantwortungsbereiche verwirrt werden, wenn die P&Ps nicht transparent sind oder gut kommuniziert werden. Noch problematischer wird es, wenn Mitarbeiter sich überschneidende oder widersprüchliche Verantwortungsbereiche haben.

Gelegentlich kann es zu Konflikten kommen, wenn Mitarbeiter im Zusammenhang mit einer bestimmten Aufgabe ähnliche oder unterschiedliche Verantwortlichkeiten haben. Infolgedessen kann es sein, dass Mitarbeiter zweimal dasselbe tun oder unterschiedliche Funktionen ausführen, wodurch die Bemühungen anderer zunichte gemacht werden. Dadurch werden Unternehmensressourcen verschwendet und die Produktivität verringert, was sich negativ auf das Endergebnis und die Moral des Unternehmens auswirkt.

Dieses Problem kann durch Sicherstellung vermieden werden dass in Ihrer Organisation keine Verantwortungskonflikte auftreten und Sie wissen, warum und was Sie tun können, um diese zu verhindern. In den meisten Fällen bedeutet dies, Aufgaben zu trennen, sodass verschiedene Personen unterschiedliche organisatorische Rollen übernehmen.

Was ist der Zweck von ISO 27001:2022 Anhang A 5.3?

In ISO 27001 zielt Control 5.3 Segregation of Duties darauf ab, widersprüchliche Pflichten zu trennen. Dies verringert das Risiko von Betrug und Fehlern und umgeht die Informationssicherheit Kontrollen.

Anhang A Steuerung 5.3 erklärt

Anhang A Control 27001 beschreibt gemäß ISO 5.3 die Umsetzungsrichtlinien zur Trennung organisatorischer Aufgaben und Pflichten.

Durch die Delegation von Teilaufgaben an verschiedene Personen schafft dieses Prinzip ein System von Kontrollen und Gegenmaßnahmen, das die Wahrscheinlichkeit von Fehlern und Betrug verringern kann.

Durch die Kontrolle soll verhindert werden, dass eine einzelne Person unzulässige Handlungen begeht, verheimlicht und rechtfertigt, wodurch das Risiko von Betrug und Fehlern verringert wird. Es verhindert auch, dass eine einzelne Person außer Kraft setzt Informationssicherheitskontrollen.

In Fällen, in denen ein Mitarbeiter über alle für die Aufgabe erforderlichen Rechte verfügt, ist die Wahrscheinlichkeit von Betrug und Fehlern höher. Dies liegt daran, dass eine Person alles ohne Kontrollen und Abwägungen erledigen kann. Das Risiko erheblicher Schäden oder finanzieller Verluste für einen Mitarbeiter ist jedoch geringer, wenn keine einzelne Person über alle für eine bestimmte Aufgabe erforderlichen Zugriffsrechte verfügt.

Worum es geht und Anforderungen von Anhang A 5.3

Ohne eine ordnungsgemäße Trennung von Pflichten und Verantwortlichkeiten kann es zu Betrug, Missbrauch, unbefugtem Zugriff und anderen Sicherheitsproblemen kommen.

Darüber hinaus ist eine Aufgabentrennung erforderlich, um die Risiken der Zusammenarbeit zwischen Einzelpersonen zu mindern. Diese Risiken erhöhen sich, wenn unzureichende Kontrollen Absprachen verhindern oder aufdecken.

Im Rahmen der ISO 27001:2022 ist die Die Organisation sollte festlegen, welche Pflichten und Verantwortlichkeiten erforderlich sind getrennt zu werden und umsetzbare Trennungskontrollen umzusetzen.

Wenn solche Kontrollen nicht möglich sind, insbesondere bei kleinen Organisationen mit einer begrenzten Anzahl von Mitarbeitern, ist eine Aktivitätsüberwachung erforderlich. Buchungsprotokolleund Managementüberwachung können genutzt werden. Mit automatisierten Tools können größere Organisationen Rollen identifizieren und trennen, um zu verhindern, dass widersprüchliche Rollen zugewiesen werden.

Was sind die Änderungen und Unterschiede zur ISO 27001:2013?

ISO 27001:2022 Anhang A Kontrolle 5.3 Aufgabentrennung ist eine überarbeitete Version von ISO 27001:2013 Anhang A Kontrolle 6.1.2 Aufgabentrennung.

Anhang A 5.3 ISO 27001:2022 und Anhang A 6.1.2 ISO 27001:2013 beschreiben die gleichen Grundmerkmale der Steuerung „Aufgabentrennung“. Die neueste Version definiert jedoch eine Reihe von Aktivitäten, die bei der Implementierung getrennt werden müssen.

Zu diesen Aktivitäten gehören:

a) eine Änderung einleiten, genehmigen und ausführen;

b) Beantragung, Genehmigung und Umsetzung von Zugriffsrechten;

c) Entwerfen, Implementieren und Überprüfen von Code;

d) Entwicklung von Software und Verwaltung von Produktionssystemen;

e) Nutzung und Verwaltung von Anwendungen;

f) Nutzung von Anwendungen und Verwaltung von Datenbanken;

g) Entwerfen, Prüfen und Sicherstellen von Informationssicherheitskontrollen.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der folgenden Tabelle finden Sie weitere Informationen zu jeder einzelnen ISO 27001:2022 Anhang A-Kontrolle.

Wem gehört Anhang A 5.3?

Für die Aufgabentrennung in ISO 27001 sind mehrere Personen verantwortlich, beginnend mit einem Mitglied des leitenden Managementteams. Diese Person ist dafür verantwortlich, dass die Initiale sichergestellt wird Risikobewertung hat stattgefunden.

Daher sollten auch anderen Gruppen qualifizierter Mitarbeiter Prozesse zugewiesen werden, die für andere Teile der Organisation gelten. Um zu verhindern, dass betrügerische Mitarbeiter die Unternehmenssicherheit gefährden, werden in der Regel Aufgaben anderen Arbeitseinheiten zugewiesen und IT-bezogene Betriebs- und Wartungsaktivitäten in Abteilungen aufgeteilt.

Die Aufgabentrennung kann ohne ein nicht korrekt hergestellt werden effektives Risikomanagement Strategie, ein geeignetes Kontrollumfeld und ein geeignetes IT-Prüfprogramm.

Nutzen Sie ISMS.online zu Ihrem Vorteil

ISO 27001:2022 erfordert lediglich, dass Sie Ihre ISMS-Prozesse aktualisieren, um die verbesserten Annex-A-Kontrollen widerzuspiegeln, und wenn Ihr Team dies nicht bewältigen kann, kann ISMS.online dies tun.

Zusätzlich zu den Modi DPIA und andere damit verbundene Bewertungen personenbezogener DatenWie LIAs bietet ISMS.online einfache, praktische Frameworks und Vorlagen für die Informationssicherheit.

Bei ISMS.onlineSie können Verfahren und Checklisten des Informationssicherheitsmanagementsystems dokumentieren, um die Einhaltung von ISO 27001 sicherzustellen und den Implementierungsprozess zu automatisieren.

Mit ISMS.online können Sie:

• Erstellen Sie ein ISMS, das mit ISO 27001 kompatibel ist Standards.
• Führen Sie Aufgaben aus und legen Sie Nachweise vor, aus denen hervorgeht, dass sie die Anforderungen des Standards erfüllt haben.
• Weisen Sie Aufgaben zu und verfolgen Sie den Fortschritt bei der Einhaltung der Gesetze.
• Erhalten Sie Zugang zu einem spezialisierten Beraterteam, das Sie auf Ihrem Weg zur Compliance unterstützt.

Durch die Nutzung unserer cloudbasierten Plattform können Sie Checklisten zentral verwalten, mit Kollegen interagieren und eine umfassende Reihe von Tools nutzen, um Ihr Unternehmen bei der Erstellung und Pflege von Checklisten zu unterstützen ISMS.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.