Mục đích của Phụ lục A 5.3 của ISO 27001:2022 – phân chia nhiệm vụ theo hình thức tách biệt chức năng là thiết lập một khuôn khổ quản lý sẽ được sử dụng để khởi xướng và kiểm soát việc triển khai và vận hành bảo mật thông tin trong một công ty.
Theo Phụ lục A kiểm soát 5.3 của ISO 27001:2022, trước đây gọi là 6.1.2 trong ISO 27001:2013, các nhiệm vụ xung đột và các lĩnh vực trách nhiệm xung đột được tách biệt.
Một tổ chức nên xem xét và thực hiện phân chia nhiệm vụ phù hợp như một phần của quá trình đánh giá và xử lý rủi ro. Mặc dù các tổ chức nhỏ hơn có thể gặp khó khăn với điều này, nhưng nguyên tắc này nên được áp dụng càng nhiều càng tốt và quản lý và kiểm soát phù hợp được đưa ra cho các tài sản thông tin có rủi ro cao hơn/giá trị cao hơn.
Để giảm khả năng sửa đổi hoặc sử dụng sai mục đích tài sản của tổ chức mà không được phép hoặc không cố ý, cần phải phân định rõ ràng các nhiệm vụ và lĩnh vực trách nhiệm xung đột.
Giải thích về các nhiệm vụ và lĩnh vực trách nhiệm xung đột
Hầu như mọi tổ chức đều có một bộ chính sách và quy trình quản lý hoạt động nội bộ của mình . Các chính sách và quy trình này được cho là phải được ghi chép lại, nhưng không phải lúc nào cũng vậy.
Có nguy cơ là nhân viên sẽ bối rối về các lĩnh vực trách nhiệm của mình nếu P&P không minh bạch hoặc không được truyền đạt tốt. Điều này thậm chí còn trở nên rắc rối hơn khi nhân viên có các lĩnh vực trách nhiệm chồng chéo hoặc xung đột.
Thỉnh thoảng, xung đột có thể phát sinh khi nhân viên có trách nhiệm liên quan đến một nhiệm vụ cụ thể tương tự hoặc khác nhau. Do đó, nhân viên có thể làm cùng một việc hai lần hoặc thực hiện các chức năng khác nhau làm mất đi nỗ lực của những người khác. Điều này lãng phí tài nguyên của công ty và làm giảm năng suất, ảnh hưởng xấu đến lợi nhuận và tinh thần của công ty.
Vấn đề này có thể tránh được bằng cách đảm bảo rằng tổ chức của bạn không gặp phải các lĩnh vực trách nhiệm xung đột và biết lý do tại sao và bạn có thể làm gì để ngăn ngừa chúng. Về cơ bản, điều này có nghĩa là phân chia nhiệm vụ để những người khác nhau xử lý các vai trò khác nhau của tổ chức.
Mục đích của Phụ lục A 5.3 của ISO 27001:2022 là gì?
Trong ISO 27001, Kiểm soát 5.3 Phân chia nhiệm vụ nhằm mục đích tách biệt các nhiệm vụ xung đột. Điều này làm giảm nguy cơ gian lận và lỗi và bỏ qua các biện pháp kiểm soát bảo mật thông tin.
Phụ lục A Kiểm soát 5.3 Giải thích
Theo ISO 27001, Phụ lục A Kiểm soát 5.3 mô tả các hướng dẫn thực hiện để phân chia nhiệm vụ và trách nhiệm của tổ chức.
Bằng cách phân công các nhiệm vụ phụ cho những cá nhân khác nhau, nguyên tắc này tạo ra một hệ thống kiểm tra và cân bằng có thể làm giảm khả năng xảy ra sai sót và gian lận.
Kiểm soát được thiết kế để ngăn chặn một cá nhân có thể thực hiện, che giấu và biện minh cho các hành động không phù hợp, do đó giảm nguy cơ gian lận và lỗi. Nó cũng ngăn chặn một cá nhân vượt qua các biện pháp kiểm soát bảo mật thông tin .
Trong trường hợp một nhân viên có tất cả các quyền cần thiết cho nhiệm vụ, gian lận và lỗi có nhiều khả năng xảy ra hơn. Điều này là do một người có thể thực hiện mọi thứ mà không cần bất kỳ sự kiểm tra và cân bằng nào. Tuy nhiên, rủi ro về thiệt hại đáng kể hoặc mất mát tài chính từ một nhân viên sẽ giảm đi khi không có một cá nhân nào có tất cả các quyền truy cập cần thiết cho một nhiệm vụ cụ thể.
Nội dung và yêu cầu của Phụ lục A 5.3
Nếu không phân tách hợp lý giữa nhiệm vụ và trách nhiệm, gian lận, sử dụng sai mục đích, truy cập trái phép và các vấn đề bảo mật khác có thể phát sinh.
Ngoài ra, cần phân chia nhiệm vụ để giảm thiểu rủi ro hợp tác giữa các cá nhân. Những rủi ro này tăng lên khi kiểm soát không đủ để ngăn ngừa hoặc phát hiện thông đồng.
Theo tiêu chuẩn ISO 27001:2022, tổ chức phải xác định nhiệm vụ và trách nhiệm nào cần được tách biệt và thực hiện các biện pháp kiểm soát tách biệt khả thi.
Bất cứ khi nào không thể thực hiện các biện pháp kiểm soát như vậy, đặc biệt là đối với các tổ chức nhỏ có số lượng nhân viên hạn chế, có thể sử dụng giám sát hoạt động, theo dõi kiểm toán và giám sát quản lý. Sử dụng các công cụ tự động, các tổ chức lớn hơn có thể xác định và phân tách các vai trò để ngăn ngừa việc giao các vai trò xung đột.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Phụ lục A kiểm soát 5.3 Phân chia nhiệm vụ của ISO 27001:2022 là phiên bản sửa đổi của Phụ lục A kiểm soát 6.1.2 Phân chia nhiệm vụ của ISO 27001:2013.
Phụ lục A 5.3 ISO 27001:2022 và Phụ lục A 6.1.2 ISO 27001:2013 mô tả các đặc điểm cơ bản giống nhau của kiểm soát “Phân chia nhiệm vụ”. Tuy nhiên, phiên bản mới nhất định nghĩa một số hoạt động yêu cầu phân chia trong quá trình triển khai.
Trong số các hoạt động này có:
a) Khởi xướng, phê duyệt và thực hiện thay đổi;
b) Yêu cầu, phê duyệt và thực hiện quyền truy cập;
c) Thiết kế, triển khai và xem xét mã;
d) Phát triển phần mềm và quản lý hệ thống sản xuất;
e) Sử dụng và quản lý các ứng dụng;
f) Sử dụng ứng dụng và quản lý cơ sở dữ liệu;
g) Thiết kế, kiểm tra và đảm bảo kiểm soát an ninh thông tin.
