A.5 Organisatorische Maßnahmen
Aufgabentrennung
Einander widersprechende Aufgaben und Verantwortungsbereiche müssen getrennt werden, um das Risiko von Betrug, Fehlern und Umgehung von Sicherheitsmaßnahmen zu reduzieren.
Was fordert dieses Control?
Einander widersprechende Aufgaben und Verantwortungsbereiche müssen getrennt werden, um das Risiko von Betrug, Fehlern und Umgehung von Sicherheitsmaßnahmen zu reduzieren.
Warum ist das wichtig?
Funktionstrennung verhindert, dass eine Person kritische Prozesse allein und unkontrolliert durchführt. Sie ist eine zentrale Maßnahme gegen Insider-Missbrauch.
Cross-Standard-Mapping
| Standard | Control-ID | Relevanz |
|---|---|---|
| TISAX | 1.2.2 | Direkt |
| BSI | ORP.1.A2 | Direkt |
| DORA | Art. 5 | Indirekt |
Was der Auditor erwartet
- 1Identifizierte, kritische Funktionskonflikte
- 2Trennung oder kompensierende Kontrollen
- 3Vier-Augen-Prinzip bei kritischen Vorgängen
Audit-Checkliste
Dokumente
SoD-Konzept / Regelwerk
Welche Aufgaben nicht in einer Hand liegen dürfen
Nachweise
Berechtigungsanalyse
Nachweis, dass konfligierende Rechte getrennt sind
Technisch
Rollen-/Rechtevergabe
Trennung in den produktiven Systemen
Praxis-Tipps zur Umsetzung
Kritische Konflikte zuerst
Auf Vergabe und Genehmigung von Rechten, Zahlungen und Admin-Rechte fokussieren.
Kompensieren bei kleinen Teams
Wo Trennung unmöglich ist, durch Protokollierung und Reviews ausgleichen.
Vier-Augen verankern
Kritische Aktionen technisch oder organisatorisch doppelt absichern.
Häufige Fehler
Admin macht alles
Eine Person vergibt, genehmigt und kontrolliert Rechte zugleich.
Kein Ausgleich im kleinen Team
Trennung wird als unmöglich abgetan, ohne kompensierende Kontrollen.
Häufig gestellte Fragen
Wie geht Funktionstrennung im kleinen Team?
Über kompensierende Kontrollen wie Protokollierung, regelmäßige Reviews und das Vier-Augen-Prinzip an kritischen Stellen.
Welche Konflikte sind besonders kritisch?
Beantragung und Genehmigung von Berechtigungen, Entwicklung und Produktivsetzung sowie Zahlungsfreigaben.
Muss SoD technisch erzwungen werden?
Idealerweise ja, wo nicht möglich genügen dokumentierte organisatorische Kontrollen.
So hilft CompliantDesk bei A.5.3
CompliantDesk setzt Vier-Augen- und Funktionstrennungsregeln im ISMS technisch um, etwa bei der Freigabe von Risiken, DSFA und Richtlinien.