ISO 27002:2022 – Kontrolle 5.3 – Aufgabentrennung

Was ist Control 5.3 Aufgabentrennung?

Widersprüchliche Aufgaben und Verantwortungsbereiche erklärt

Jede Organisation verfügt über eine Reihe von Richtlinien und Verfahren (P&Ps), die ihre internen Abläufe regeln. P&Ps sollten dokumentiert werden, was aber oft nicht der Fall ist.

Wenn diese P&Ps nicht klar oder gut kommuniziert sind, führt dies zu Verwirrung unter den Mitarbeitern über ihre Verantwortungsbereiche. Dies kann noch schlimmer werden, wenn Mitarbeiter sich überschneidende Zuständigkeiten oder widersprüchliche Verantwortungsbereiche haben.

Konflikte können auftreten, wenn zwei oder mehr Mitarbeiter ähnliche oder unterschiedliche Verantwortlichkeiten für eine bestimmte Aufgabe haben. Wenn dies geschieht, kann es sein, dass die Mitarbeiter am Ende zweimal dasselbe tun oder unterschiedliche Dinge tun, die die Bemühungen des anderen zunichte machen. Dadurch werden Unternehmensressourcen verschwendet und die Produktivität verringert, was sich sowohl auf das Endergebnis als auch auf die Moral des Unternehmens auswirkt.

Um sicherzustellen, dass Ihre Organisation nicht unter diesem Problem leidet, ist es wichtig zu verstehen, was widersprüchliche Verantwortungsbereiche sind, warum sie auftreten und wie Sie verhindern können, dass sie in Ihrer Organisation auftreten. In den meisten Fällen bedeutet dies, Aufgaben zu trennen, sodass unterschiedliche Personen unterschiedliche Aufgaben erledigen Rollen in der Organisation.

Attributtabelle der Steuerung 5.3

Steuerelemente werden nach ihren Attributen klassifiziert. Mithilfe von Attributen können Sie Ihre Steuerelementauswahl an Industriestandards und Sprache anpassen. In Steuerung 5.3 sind dies:

Was ist der Zweck der Kontrolle 5.3?

Der Zweck der Kontrolle 5.3 Aufgabentrennung in ISO 27002 besteht darin, das Risiko von Betrug, Fehlern und der Umgehung von Informationssicherheitskontrollen zu verringern, indem sichergestellt wird, dass widersprüchliche Aufgaben getrennt werden.

Steuerung 5.3 erklärt

Control 5.3 umfasst die Umsetzungsanleitung für die Trennung von Aufgaben und Pflichten in einer Organisation im Einklang mit dem Rahmenwerk von ISO 27001 .

Das Prinzip besteht darin, wichtige Aufgaben in Teilaufgaben zu zerlegen und diese verschiedenen Personen zuzuweisen. Dadurch entsteht ein System von Checks and Balances, das das Risiko von Fehlern oder Betrug verringern kann.

Die Kontrolle soll verhindern, dass eine einzelne Person unzulässige Handlungen begeht, verheimlicht und rechtfertigt, und so das Risiko von Betrug oder Fehlern verringern. Außerdem wird dadurch verhindert, dass eine einzelne Person Informationssicherheitskontrollen außer Kraft setzen kann.

Wenn ein Mitarbeiter über alle für eine bestimmte Aufgabe erforderlichen Rechte verfügt, besteht ein höheres Betrugs- oder Fehlerrisiko, da eine Person alles ohne Kontrolle und Kontrolle erledigen kann. Wenn jedoch keine einzelne Person über alle für eine bestimmte Aufgabe erforderlichen Zugriffsrechte verfügt, verringert sich das Risiko, dass ein Mitarbeiter erheblichen Schaden oder finanziellen Verlust verursacht.

Was dazugehört und wie man die Anforderungen erfüllt

Nicht getrennte Aufgaben und Verantwortungsbereiche könnten zu Betrug, Missbrauch, unangemessenem Zugriff und anderem führen Sicherheitsvorfälle.

Darüber hinaus ist eine Aufgabentrennung erforderlich, um die Risiken zu mindern, die mit der Möglichkeit einer Absprache zwischen Einzelpersonen verbunden sind. Diese Risiken erhöhen sich, wenn es nicht genügend Kontrollen gibt, um Absprachen zu verhindern oder aufzudecken.

Um die Anforderungen für Kontrolle 5.3 in ISO 27002:2022 zu erfüllen, sollte die Organisation bestimmen, welche Aufgaben und Verantwortungsbereiche getrennt werden müssen, und umsetzbare Trennungskontrollen einrichten.

Wenn solche Kontrollen nicht möglich sind, insbesondere bei kleinen Organisationen mit minimalem Personalbestand, ist eine Überwachung der Aktivitäten erforderlich. Prüfpfade und Managementüberwachung kann verwendet werden. In größeren Organisationen können automatisierte Tools zur Identifizierung und Trennung von Rollen eingesetzt werden, sodass Personen keine widersprüchlichen Rollen zugewiesen werden.

Unterschiede zwischen ISO 27002:2013 und ISO 27002:2022

Die Kontrollnummer 5.3 Aufgabentrennung in ISO 27002:2022 ist keine neue Kontrolle. Es handelt sich lediglich um eine verbesserte Version der Kontrolle 6.1.2 Aufgabentrennung in ISO 27002:2013.

Die Grundlagen der Funktionstrennung sind in Kontrolle 5.3 ISO 27002:2022 und Kontrolle 6.1.2 ISO 27002:2013 gleich. Allerdings beschreibt die neue Version eine Reihe von Aktivitäten, die bei der Implementierung dieser Kontrolle eine Trennung erfordern.

Diese Aktivitäten sind:

a) eine Änderung einleiten, genehmigen und ausführen;

b) Beantragung, Genehmigung und Umsetzung von Zugriffsrechten;

c) Entwerfen, Implementieren und Überprüfen von Code;

d) Entwicklung von Software und Verwaltung von Produktionssystemen;

e) Nutzung und Verwaltung von Anwendungen;

f) Nutzung von Anwendungen und Verwaltung von Datenbanken;

g) Entwerfen, Prüfen und Sichern Informationssicherheitskontrollen.

Wer ist für diesen Prozess verantwortlich?

Es gibt mehrere Personen, die für die Aufgabentrennung in ISO 27002 verantwortlich sind. Zunächst sollte ein hochrangiges Mitglied des Managementteams einbezogen werden, um sicherzustellen, dass die erste Risikobewertung Wurde vervollständigt.

Dann sollten die Prozesse, die verschiedene Teile der Organisation abdecken, verschiedenen Gruppen qualifizierter Mitarbeiter zugeordnet werden. Um zu verhindern, dass betrügerische Mitarbeiter die Unternehmenssicherheit gefährden, erfolgt dies in der Regel durch die Zuweisung von Aufgaben an verschiedene Arbeitseinheiten und die Aufteilung der IT-bezogenen Betriebs- und Wartungsaktivitäten in Abteilungen.

Schließlich kann die Aufgabentrennung ohne ein geeignetes IT-Prüfprogramm, eine wirksame Risikomanagementstrategie sowie eine geeignete Kontrollumgebung nicht ordnungsgemäß hergestellt werden.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Die neue Norm ISO 27002:2022 verlangt von Ihnen nicht viel mehr als Aktualisieren Sie Ihr ISMS Prozesse, um die verbesserten Kontrollen widerzuspiegeln. Und wenn Ihr Team das nicht schafft, ISMS.online Zeit und Geld sparen.

ISMS.online optimiert den ISO 27002-Implementierungsprozess durch die Bereitstellung eines ausgefeilten cloudbasierten Frameworks zur Dokumentation von Verfahren und Checklisten des Informationssicherheitsmanagementsystems, um die Einhaltung anerkannter Standards sicherzustellen.

Wenn Sie ISMS.online nutzen, können Sie:

• Erstellen Sie ein ISMS, das mit den ISO 27001-Standards kompatibel ist.
• Führen Sie Aufgaben aus und legen Sie den Nachweis vor, dass sie die Anforderungen der Norm erfüllt haben.
• Aufgaben zuweisen und Fortschritte bei der Einhaltung der Gesetze verfolgen.
• Erhalten Sie Zugang zu einem spezialisierten Beraterteam, das Sie auf Ihrem Weg zur Compliance unterstützt.

Dank unserer cloudbasierten Plattform ist es jetzt möglich, Ihre Checklisten zentral zu verwalten, mit Kollegen zu interagieren und ein umfassendes Set an Tools zu nutzen, um Ihr Unternehmen bei der Erstellung und dem Betrieb eines ISMS gemäß weltweiten Best Practices zu unterstützen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.