ISO 27001:2022 Annexe A 5.3 – Séparation des tâches

Tâches et domaines de responsabilités conflictuels expliqués

Presque toutes les organisations ont un ensemble de politiques et procédures qui régissent son fonctionnement interne. Ces politiques et procédures sont censées être documentées, mais ce n'est pas toujours le cas.

Il existe un risque que les employés soient confus quant à leurs domaines de responsabilité si les P&P ne sont pas transparentes ou bien communiquées. Cela devient encore plus problématique lorsque les employés ont des domaines de responsabilité qui se chevauchent ou sont conflictuels.

Parfois, des conflits peuvent survenir lorsque les employés ont des responsabilités liées à une tâche particulière qui sont similaires ou différentes. En conséquence, les employés peuvent faire deux fois la même chose ou exécuter des fonctions différentes qui annulent les efforts des autres. Cela gaspille les ressources de l'entreprise et réduit la productivité, ce qui nuit aux résultats financiers et au moral de l'entreprise.

Ce problème peut être évité en garantissant que votre organisation ne connaît pas de domaines de responsabilité conflictuels et que vous savez pourquoi et ce que vous pouvez faire pour les éviter. Pour l’essentiel, cela signifie séparer les tâches afin que différentes personnes assument différents rôles organisationnels.

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 5.3 ?

Dans la norme ISO 27001, le contrôle 5.3 Séparation des tâches vise à séparer les tâches conflictuelles. Cela réduit le risque de fraude et d'erreur et contourne la sécurité des informations les contrôles.

Annexe A Contrôle 5.3 expliqué

Conformément à la norme ISO 27001, l'Annexe A Contrôle 5.3 décrit les lignes directrices de mise en œuvre pour la séparation des tâches et des fonctions organisationnelles.

En déléguant des sous-tâches à différentes personnes, ce principe crée un système de freins et contrepoids qui peut réduire le risque d'erreurs et de fraude.

Le contrôle est conçu pour empêcher qu'une seule personne puisse commettre, dissimuler et justifier des actions inappropriées, réduisant ainsi le risque de fraude et d'erreur. Cela empêche également une seule personne de passer outre contrôles de sécurité de l'information.

Dans les cas où un employé dispose de tous les droits requis pour la tâche, des fraudes et des erreurs sont plus susceptibles de se produire. En effet, une seule personne peut tout faire sans aucun frein ni contrepoids. Il existe cependant un risque réduit de préjudice important ou de perte financière de la part d'un employé lorsqu'aucune personne ne dispose à elle seule de tous les droits d'accès requis pour une tâche particulière.

Qu'est-ce que cela implique et exigences de l'annexe A 5.3

En l’absence d’une séparation appropriée des tâches et des responsabilités, des fraudes, des abus, des accès non autorisés et d’autres problèmes de sécurité peuvent survenir.

De plus, la séparation des tâches est nécessaire pour atténuer les risques de collaboration entre les individus. Ces risques sont accrus lorsque des contrôles insuffisants empêchent ou détectent une collusion.

Dans le cadre de la norme ISO 27001:2022, le l'organisation doit déterminer quelles tâches et responsabilités doivent être séparés et mettre en œuvre des contrôles de séparation concrets.

Lorsque de tels contrôles ne sont pas possibles, notamment pour les petites organisations avec un nombre limité de salariés, le suivi des activités, des pistes de vérification, et la supervision de la gestion peut être utilisée. À l’aide d’outils automatisés, les grandes organisations peuvent identifier et séparer les rôles pour éviter l’attribution de rôles conflictuels.

Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?

Le contrôle 27001 de l'Annexe A de la norme ISO 2022 : 5.3 est une version révisée du contrôle 27001 de l'Annexe A de la norme ISO 2013 : 6.1.2.

L'Annexe A 5.3 ISO 27001:2022 et l'Annexe A 6.1.2 ISO 27001:2013 décrivent les mêmes caractéristiques de base du contrôle « Séparation des tâches ». Cependant, la version la plus récente définit un certain nombre d'activités qui nécessitent une ségrégation lors de la mise en œuvre.

Parmi ces activités figurent :

a) initier, approuver et exécuter un changement ;

b) demander, approuver et mettre en œuvre les droits d'accès ;

c) concevoir, mettre en œuvre et réviser le code ;

d) développer des logiciels et administrer des systèmes de production ;

e) utiliser et administrer des applications ;

f) utiliser des applications et administrer des bases de données ;

g) concevoir, auditer et assurer les contrôles de sécurité de l’information.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Qui est propriétaire de l’annexe A 5.3 ?

Plusieurs personnes sont responsables de la séparation des tâches dans la norme ISO 27001, à commencer par un membre de l'équipe de direction. Cette personne est chargée de s'assurer que le premier évaluation des risques s'est passé.

En conséquence, d’autres groupes d’employés qualifiés devraient se voir attribuer des processus qui s’appliquent à différentes parties de l’organisation. Afin d'empêcher des employés malveillants de porter atteinte à la sécurité de l'entreprise, il est généralement possible d'attribuer des tâches à d'autres unités de travail et de départementaliser les opérations et les activités de maintenance liées à l'informatique.

La séparation des tâches ne peut être établie correctement sans une gestion efficace des risques stratégique, un environnement de contrôle approprié et un programme d’audit informatique approprié.

Utilisez ISMS.online à votre avantage

ISO 27001:2022 vous oblige uniquement à mettre à jour vos processus ISMS pour refléter les contrôles améliorés de l'Annexe A, et si votre équipe ne peut pas gérer cela, ISMS.online le peut.

En plus des DPIA et autres évaluations de données personnelles connexes, comme les LIA, ISMS.online fournit des cadres et des modèles simples et pratiques pour la sécurité des informations.

Chez ISMS.en ligne, vous pouvez documenter les procédures et les listes de contrôle du système de gestion de la sécurité de l'information pour garantir la conformité à la norme ISO 27001, en automatisant le processus de mise en œuvre.

ISMS.online vous permet de :

• Créer un SMSI compatible avec la norme ISO 27001
• Effectuer des tâches et soumettre une preuve indiquant qu'elles répondent aux exigences de la norme.
• Attribuez des tâches et suivez les progrès vers la conformité à la loi.
• Accédez à une équipe de conseillers spécialisés pour vous accompagner tout au long de votre cheminement vers la conformité.

En utilisant notre plateforme cloud, vous pouvez gérer de manière centralisée les listes de contrôle, interagir avec vos collègues et utiliser un ensemble complet d'outils pour aider votre organisation à créer et à maintenir un ISMS.

Contactez-nous dès aujourd'hui pour réserver une démo.