ISO 27001:2022 Anexo A 5.3 – Segregación de funciones

Deberes y áreas de responsabilidades en conflicto explicados

Casi todas las organizaciones tienen un conjunto de políticas y procedimientos que rigen sus operaciones internas. Se supone que estas políticas y procedimientos deben estar documentados, pero no siempre es así.

Existe el peligro de que los empleados se confundan acerca de sus áreas de responsabilidad si los P&P no son transparentes o no están bien comunicados. Esto se vuelve aún más problemático cuando los empleados tienen áreas de responsabilidad que se superponen o entran en conflicto.

Ocasionalmente, pueden surgir conflictos cuando los empleados tienen responsabilidades relacionadas con una tarea particular que son similares o diferentes. Como resultado, los empleados pueden hacer lo mismo dos veces o realizar diferentes funciones que anulan los esfuerzos de los demás. Esto desperdicia recursos corporativos y reduce la productividad, afectando negativamente los resultados y la moral de la empresa.

Este problema se puede evitar asegurando que su organización no experimente áreas de responsabilidad conflictivas y saber por qué y qué puede hacer para evitarlas. En su mayor parte, esto significa separar tareas para que diferentes personas manejen diferentes roles organizacionales.

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.3?

En ISO 27001, el Control 5.3 Segregación de funciones tiene como objetivo separar funciones en conflicto. Esto reduce el riesgo de fraude y error y evita la seguridad de la información controles

Anexo A Control 5.3 Explicado

De acuerdo con la norma ISO 27001, el Anexo A Control 5.3 describe las pautas de implementación para segregar tareas y deberes organizacionales.

Al delegar subtareas a diferentes personas, este principio crea un sistema de controles y contrapesos que puede reducir la probabilidad de que se produzcan errores y fraudes.

El control está diseñado para evitar que una sola persona pueda cometer, ocultar y justificar acciones indebidas, reduciendo así el riesgo de fraude y error. También evita que una sola persona anule controles de seguridad de la información.

En los casos en que un empleado tiene todos los derechos necesarios para la tarea, es más probable que se produzcan fraudes y errores. Esto se debe a que una persona puede realizar todo sin controles ni contrapesos. Sin embargo, existe un riesgo reducido de daño significativo o pérdida financiera por parte de un empleado cuando ninguna persona tiene todos los derechos de acceso necesarios para una tarea en particular.

Qué implica y requisitos del Anexo A 5.3

En ausencia de una separación adecuada de deberes y responsabilidades, pueden surgir fraude, uso indebido, acceso no autorizado y otros problemas de seguridad.

Además, se requiere segregación de funciones para mitigar los riesgos de la colaboración entre individuos. Estos riesgos aumentan cuando los controles insuficientes previenen o detectan la colusión.

Como parte de la norma ISO 27001:2022, la La organización debe determinar qué deberes y responsabilidades necesitan. ser separados e implementar controles de separación viables.

Cuando tales controles no sean posibles, particularmente para organizaciones pequeñas con un número limitado de empleados, el seguimiento de la actividad, pistas de auditoríay se puede utilizar la supervisión de la gestión. Al utilizar herramientas automatizadas, las organizaciones más grandes pueden identificar y segregar roles para evitar que se asignen roles conflictivos.

¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?

El control 27001 del Anexo A de ISO 2022:5.3 Segregación de funciones es una versión revisada del control 27001 Segregación de funciones del Anexo A de ISO 2013:6.1.2.

El Anexo A 5.3 ISO 27001:2022 y el Anexo A 6.1.2 ISO 27001:2013 describen las mismas características básicas del control “Segregación de funciones”. Sin embargo, la versión más reciente define una serie de actividades que requieren segregación durante la implementación.

Entre estas actividades se encuentran:

a) iniciar, aprobar y ejecutar un cambio;

b) solicitar, aprobar e implementar derechos de acceso;

c) diseñar, implementar y revisar código;

d) desarrollar software y administrar sistemas de producción;

e) usar y administrar aplicaciones;

f) utilizar aplicaciones y administrar bases de datos;

g) diseñar, auditar y asegurar controles de seguridad de la información.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

¿Quién es propietario del Anexo A 5.3?

Varias personas son responsables de la segregación de funciones en ISO 27001, comenzando con un miembro del equipo de alta dirección. Esta persona es responsable de garantizar que la inicial evaluación de riesgos ha tomado lugar.

Como resultado, a otros grupos de empleados calificados se les deben asignar procesos que se apliquen a diferentes partes de la organización. Para evitar que empleados deshonestos socaven la seguridad de la empresa, generalmente se logra asignando tareas a otras unidades de trabajo y departamentalizando las operaciones y actividades de mantenimiento relacionadas con TI.

La separación de funciones no puede establecerse correctamente sin una gestión de riesgos eficaz estrategia, un entorno de control adecuado y un programa de auditoría de TI adecuado.

Utilice ISMS.online para su ventaja

ISO 27001:2022 solo requiere que actualice sus procesos SGSI para reflejar los controles mejorados del Anexo A, y si su equipo no puede gestionar esto, ISMS.online puede hacerlo.

Además de nuestras localidaded en DPIA y otras evaluaciones de datos personales relacionadasAl igual que los LIA, ISMS.online proporciona marcos y plantillas simples y prácticos para la seguridad de la información.

En nuestro SGSI.online, puede documentar los procedimientos y listas de verificación del sistema de gestión de seguridad de la información para garantizar el cumplimiento de la norma ISO 27001, automatizando el proceso de implementación.

ISMS.online le permite:

• Crear una SGSI compatible con ISO 27001 normas
• Realizar tareas y presentar pruebas que indiquen que han cumplido con los requisitos de la norma.
• Asigne tareas y realice un seguimiento del progreso hacia el cumplimiento de la ley.
• Obtenga acceso a un equipo especializado de asesores para ayudarle en su camino hacia el cumplimiento.

Al utilizar nuestra plataforma basada en la nube, puede administrar de forma centralizada listas de verificación, interactuar con colegas y utilizar un conjunto integral de herramientas para ayudar a su organización a crear y mantener una ISMS.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.