Norm OR.02 Functiescheiding
Rollen en verantwoordelijkheden zijn gescheiden om de kans te verkleinen dat individuele personen kritieke processen in gevaar brengen. Medewerkers voeren alleen geautoriseerde taken uit die bij hun functies en rol horen.
Waarom is dit nodig?
Functiescheiding is van belang om te voorkomen dat iemand schadelijke acties kan uitvoeren, bijvoorbeeld door nalatig gebruik of opzettelijk misbruik van het systeem. Denk hierbij aan ongeautoriseerde toegang tot gegevens of het al dan niet per ongeluk wijzigen van gegevens.
Volwassenheidsniveaus
We beschrijven hier 5 volwassenheidsniveaus. Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3.
1 Ad hoc
- Er vindt geen of nagenoeg geen functiescheiding plaats.
2 Herhaalbaar
- Rollen en verantwoordelijkheden zijn gescheiden.
- Hoe deze rollen en verantwoordelijkheden worden gescheiden is niet formeel vastgelegd en/of afgestemd met het
schoolbestuurHet schoolbestuur is het bevoegd gezag en daarmee eindverantwoordelijk voor alles dat met IBP te maken heeft. of de schoolleiding.
3 Bepaald (streefniveau)
- De scheiding van rollen en verantwoordelijkheden is gedefinieerd en grotendeels ingevoerd. Dit verkleint de kans dat individuele medewerkers essentiële processen kunnen schaden.
- De scheiding van verantwoordelijkheden is vastgesteld door het
schoolbestuur of de schoolleiding. - Vastgestelde functiescheiding is ingevoerd, zodat medewerkers alleen geautoriseerde handelingen kunnen verrichten die passen bij hun werkzaamheden.
4 Beheerst
Aanvullend op niveau 3:
- Een functiescheidingconflictmatrix is gedefinieerd en wordt periodiek getoetst aan de werkelijke implementatie van systemen en processen.
- Deze functiescheidingsmatrix wordt in ieder geval geëvalueerd na grote wijzigingen in processen of systemen.
- De implementatie en uitvoering van relevante procedures worden periodiek geëvalueerd.
5 Continu verbeteren
Aanvullend op niveau 3 en 4:
- Periodiek worden er databasechecks uitgevoerd om de huidige processen te toetsen in relatie tot de functiescheidingsmatrix. Hierbij wordt gekeken naar ongebruikelijk transacties en gebieden voor verbetering (bijvoorbeeld met processminingtechnieken).
Gerelateerde wetten en normen
Norm OR.02 Functiescheiding is gerelateerd aan de ISO-standaard 27001/2:2022.
- A5.3
- A5.4