5.3 Rozdzielenie obowiązków
W skrócie: jedna osoba nie powinna sama zlecić, zatwierdzić i wykonać operacji, która może wyrządzić szkodę.
Cel: ograniczenie ryzyka oszustwa, błędu i obchodzenia zabezpieczeń przez rozdzielenie zadań, które nie powinny być w jednych rękach.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Governance (ład i nadzór), #Identity_and_access_management (zarządzanie tożsamością i dostępem) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja ustala, które obowiązki i obszary odpowiedzialności się wykluczają, i rozdziela je między różne osoby.
- Norma podaje przykładowe pary do rozdzielenia: zlecenie i zatwierdzenie zmiany, wnioskowanie o dostęp i jego nadawanie, projektowanie, wdrażanie i przegląd kodu, wytwarzanie oprogramowania i administrowanie produkcją, korzystanie z aplikacji i jej administrowanie, projektowanie zabezpieczeń i ich audyt.
- Bierze się pod uwagę możliwość zmowy — rozdzielenie powinno utrudniać nadużycie nawet dwóm współpracującym osobom tam, gdzie ryzyko jest wysokie.
- Gdzie pełne rozdzielenie jest niemożliwe (mała organizacja), stosuje się zabezpieczenia kompensujące: monitorowanie, ścieżki audytu, nadzór przełożonego.
- W systemach opartych na rolach trzeba pilnować, by jedna osoba nie dostała sprzecznych ról. Pomagają w tym narzędzia identyfikujące konflikty uprawnień.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Reguła „czterech oczu” dla przelewów, zmian na produkcji i nadawania uprawnień administracyjnych.
- Macierz konfliktów ról (SoD matrix) w systemach ERP i IAM z automatycznym blokowaniem sprzecznych przydziałów.
- Ochrona gałęzi głównej repozytorium: autor zmiany nie może sam jej zatwierdzić i wdrożyć.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.3 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.15 Kontrola dostępu, 5.18 Prawa dostępu, 8.2 Uprawnienia uprzywilejowane, 8.31 Rozdzielenie środowisk rozwojowych, testowych i produkcyjnych.
- ISO/IEC 27002:2013: 6.1.2.