Separation of duties
ફરજોની અલગતા (એસ. ઓ. ડી.), જેને ફરજોની અલગતા તરીકે પણ ઓળખવામાં આવે છે, તે એક કાર્ય પૂર્ણ કરવા માટે એકથી વધુ વ્યક્તિ જરૂરી હોવાની વિભાવના છે. તે એક વહીવટી નિયંત્રણ છે જેનો ઉપયોગ સંસ્થાઓ દ્વારા છેતરપિંડી, તોડફોડ, ચોરી, માહિતીનો દુરુપયોગ અને અન્ય સુરક્ષા સમાધાનોને રોકવા માટે થાય છે. રાજકીય ક્ષેત્રમાં, તેને સત્તાઓના વિભાજન તરીકે ઓળખવામાં આવે છે, જે લોકશાહીમાં જોઈ શકાય છે જ્યાં સરકારને ત્રણ સ્વતંત્ર શાખાઓમાં વિભાજિત કરવામાં આવે છેઃ વિધાનસભા, કારોબારી અને ન્યાયતંત્ર. સામાન્ય વર્ણન ફરજોને અલગ કરવી એ આંતરિક નિયંત્રણોનો મુખ્ય ખ્યાલ છે. છેતરપિંડી અને ભૂલો સામે વધેલા રક્ષણને જરૂરી વધેલા ખર્ચ/પ્રયત્નો સાથે સંતુલિત કરવું આવશ્યક છે. સારમાં, એસ. ઓ. ડી. વ્યક્તિઓની પ્રવૃત્તિઓ પર યોગ્ય સ્તરના નિયંત્રણ અને સંતુલનનો અમલ કરે છે. આઇબીએમ સિસ્ટમ્સ જર્નલમાં આર. એ. બોથા અને જે. એચ. પી. એલોફ એસ. ઓ. ડી. નું વર્ણન નીચે પ્રમાણે કરે છે. સુરક્ષાના સિદ્ધાંત તરીકે ફરજને અલગ કરવાનો પ્રાથમિક ઉદ્દેશ છેતરપિંડી અને ભૂલોને અટકાવવાનો છે. આ ઉદ્દેશ બહુવિધ વપરાશકર્તાઓ વચ્ચે ચોક્કસ વ્યવસાય પ્રક્રિયા માટે કાર્યો અને સંબંધિત વિશેષાધિકારોના પ્રસાર દ્વારા પ્રાપ્ત થાય છે. આ સિદ્ધાંત ચેક પર બે સહીઓની જરૂરિયાતમાં જોવા મળતા ફરજને અલગ કરવાના પરંપરાગત ઉદાહરણમાં દર્શાવવામાં આવ્યો છે. વ્યવસાયના કદ અને પ્રકૃતિના આધારે વાસ્તવિક નોકરીના શીર્ષકો અને સંસ્થાકીય માળખું એક સંસ્થાથી બીજી સંસ્થામાં ઘણું બદલાઈ શકે છે. તદનુસાર, સામેલ વ્યક્તિઓની કુશળતા અને ક્ષમતાઓ કરતાં ક્રમ અથવા પદાનુક્રમ ઓછા મહત્વપૂર્ણ છે. એસ. ઓ. ડી. ની વિભાવના સાથે, વ્યવસાયની નિર્ણાયક ફરજોને ચાર પ્રકારના કાર્યોમાં વર્ગીકૃત કરી શકાય છેઃ અધિકૃતતા, કસ્ટડી, રેકોર્ડ રાખવા અને સમાધાન. એક સંપૂર્ણ પ્રણાલીમાં, કોઈ એક વ્યક્તિએ એકથી વધુ પ્રકારના કાર્યો હાથ ધરવા જોઈએ નહીં. સિદ્ધાંતો મુખ્યત્વે ઘણા અભિગમો આંશિક અથવા સંપૂર્ણપણે અલગ દાખલાઓ તરીકે વૈકલ્પિક રીતે વ્યવહારુ છેઃ ક્રમિક વિભાજન (બે હસ્તાક્ષર સિદ્ધાંત) વ્યક્તિગત વિભાજન (ચાર આંખ સિદ્ધાંત) અવકાશી વિભાજન (અલગ સ્થળોએ અલગ ક્રિયા) ફેક્ટોરિયલ વિભાજન (ઘણા પરિબળો પૂર્ણતામાં ફાળો આપે છે) સહાયક પેટર્ન બહુવિધ કાર્યાત્મક ભૂમિકાઓ ધરાવતી વ્યક્તિ પાસે તે શક્તિઓનો દુરુપયોગ કરવાની તક હોય છે. જોખમ ઘટાડવાની રીત છેઃ એવા કાર્યથી શરૂઆત કરો જે અનિવાર્ય છે, પરંતુ સંભવિત દુરુપયોગને પાત્ર છે. કાર્યને અલગ-અલગ પગલાંઓમાં વિભાજીત કરો, દરેક કાર્યને કામ કરવા માટે અથવા તે કાર્યને દુરુપયોગ કરવા માટે સક્ષમ બનાવે છે તે શક્તિ માટે જરૂરી છે. દરેક પગલું અલગ વ્યક્તિ અથવા સંસ્થાને સોંપો. અલગ કરવાના કાર્યોની સામાન્ય શ્રેણીઓઃ અધિકૃત કાર્ય રેકોર્ડિંગ કાર્ય, દા. ત. સ્રોત દસ્તાવેજો તૈયાર કરવા અથવા કોડ અથવા કામગીરી અહેવાલો મિલકતની કસ્ટડી પ્રત્યક્ષ અથવા પરોક્ષ રીતે, દા. ત. મેઇલમાં ચેક પ્રાપ્ત કરવા અથવા સ્રોત કોડ અથવા ડેટાબેઝમાં ફેરફારોનો અમલ કરવો. જવાબદાર વ્યક્તિઓ વચ્ચે સમાધાન અથવા ઓડિટ એક સુરક્ષા કીને બે (વધુ) ભાગોમાં વિભાજિત કરે છે મુખ્યત્વે વ્યક્તિગત વિભાજનને એકમાત્ર પસંદગી તરીકે સંબોધવામાં આવે છે. સામાન્ય વ્યવસાય અને હિસાબમાં ઉપયોગ એસ. ઓ. ડી. શબ્દ નાણાકીય હિસાબી પ્રણાલીઓમાં પહેલેથી જ જાણીતો છે. તમામ કદની કંપનીઓ ચેક પ્રાપ્ત કરવા (ખાતા પર ચુકવણી) અને રાઈટ-ઓફને મંજૂરી આપવી, રોકડ જમા કરવી અને બેંક સ્ટેટમેન્ટનું સમાધાન કરવું, ટાઇમ કાર્ડને મંજૂરી આપવી અને પગાર ચેકની કસ્ટડી વગેરે જેવી ભૂમિકાઓને ન જોડવાનું સમજે છે. મોટાભાગના ઇન્ફોર્મેશન ટેક્નોલોજી (આઇટી) વિભાગોમાં એસ. ઓ. ડી. એકદમ નવા છે, પરંતુ સર્બેન્સ-ઓક્સલી આંતરિક ઓડિટના મુદ્દાઓની ઊંચી ટકાવારી આઇટીમાંથી આવે છે. માહિતી પ્રણાલીઓમાં, ફરજોની અલગતા એક વ્યક્તિની ક્રિયાઓથી સંભવિત નુકસાનને ઘટાડવામાં મદદ કરે છે. IS અથવા અંતિમ-વપરાશકર્તા વિભાગને ફરજોની પર્યાપ્ત અલગતા હાંસલ કરવા માટે એક રીતે ગોઠવવો જોઈએ. ISACA ના સેગ્રીગેશન ઓફ ડ્યુટીઝ કંટ્રોલ મેટ્રિક્સ અનુસાર, કેટલીક ફરજોને એક પદમાં જોડવી જોઈએ નહીં. આ મેટ્રિક્સ ઉદ્યોગનું ધોરણ નથી, માત્ર એક સામાન્ય માર્ગદર્શિકા છે જે સૂચવે છે કે કઈ સ્થિતિને અલગ કરવી જોઈએ અને જેને જોડવામાં આવે ત્યારે વળતર નિયંત્રણની જરૂર પડે છે. કંપનીના કદના આધારે, કાર્યો અને હોદ્દાઓ અલગ અલગ હોઈ શકે છે. એસ. ઓ. ડી. નો અભાવ ધરાવતી નાની કંપનીઓ સામાન્ય રીતે વિતરણ ચક્રમાં ચિંતાઓનો સામનો કરે છે જ્યાં અનધિકૃત ખરીદી અને ચૂકવણી થઈ શકે છે. જ્યારે ફરજોને અલગ કરી શકાતી નથી, ત્યારે વળતર નિયંત્રણો અમલમાં હોવા જોઈએ. વળતર નિયંત્રણો એ આંતરિક નિયંત્રણો છે જેનો હેતુ હાલની અથવા સંભવિત નિયંત્રણ નબળાઇના જોખમને ઘટાડવાનો છે. જો કોઈ એક વ્યક્તિ તેમની રોજિંદી પ્રવૃત્તિઓ કરતી વખતે ભૂલો અને/અથવા અનિયમિતતાઓ કરી શકે છે અને છુપાવી શકે છે, તો તેમને એસ. ઓ. ડી. અસંગત ફરજો સોંપવામાં આવી છે. ત્યાં ઘણી નિયંત્રણ પદ્ધતિઓ છે જે ફરજોના વિભાજનને લાગુ કરવામાં મદદ કરી શકે છેઃ ઓડિટ ટ્રેલ્સ આઇટી મેનેજરો અથવા ઓડિટર્સને અદ્યતન ફાઇલ પર મૂળ બિંદુથી તેના અસ્તિત્વ સુધીના વાસ્તવિક વ્યવહાર પ્રવાહને ફરીથી બનાવવા માટે સક્ષમ બનાવે છે. વ્યવહાર કોણે શરૂ કર્યો, દિવસનો સમય અને પ્રવેશની તારીખ, પ્રવેશનો પ્રકાર, તેમાં કઈ માહિતીના ક્ષેત્રો છે અને તે કઈ ફાઇલોને અપડેટ કરે છે તેની માહિતી પ્રદાન કરવા માટે સારા ઓડિટ ટ્રેલ્સ સક્ષમ હોવા જોઈએ. એપ્લિકેશનોનું સમાધાન અને સ્વતંત્ર ચકાસણી પ્રક્રિયા આખરે વપરાશકર્તાઓની જવાબદારી છે, જેનો ઉપયોગ એપ્લિકેશન સફળતાપૂર્વક ચાલે છે તે વિશ્વાસના સ્તરને વધારવા માટે થઈ શકે છે. અપવાદ અહેવાલો નિરીક્ષણ સ્તરે નિયંત્રિત કરવામાં આવે છે, જે પુરાવા દ્વારા સમર્થિત છે કે અપવાદોને યોગ્ય રીતે અને સમયસર નિયંત્રિત કરવામાં આવે છે. અહેવાલ તૈયાર કરનાર વ્યક્તિની સહી સામાન્ય રીતે જરૂરી હોય છે. મેન્યુઅલ અથવા ઓટોમેટેડ સિસ્ટમ અથવા એપ્લિકેશન ટ્રાન્ઝેક્શન લોગ જાળવવા જોઈએ, જે તમામ પ્રોસેસ્ડ સિસ્ટમ આદેશો અથવા એપ્લિકેશન વ્યવહારોને રેકોર્ડ કરે છે. નિરીક્ષણ અને પૂછપરછ દ્વારા સુપરવાઇઝરી સમીક્ષા થવી જોઈએ. નિર્ધારિત પ્રક્રિયાને અનુસરીને ભૂલો અથવા ઇરાદાપૂર્વકની નિષ્ફળતાની ભરપાઈ કરવા માટે, સ્વતંત્ર સમીક્ષાઓની ભલામણ કરવામાં આવે છે. આવી સમીક્ષાઓ ભૂલો અને અનિયમિતતાઓને શોધવામાં મદદ કરી શકે છે. માહિતી પ્રણાલીઓમાં ઉપયોગ હિસાબી વ્યવસાયે ફરજોને અલગ કરવામાં નોંધપાત્ર રોકાણ કર્યું છે કારણ કે સેંકડો વર્ષોની હિસાબી પ્રથામાં સંચિત થયેલા જોખમોને સમજી શકાય છે. તેનાથી વિપરીત, યુનાઇટેડ સ્ટેટ્સના ઘણા કોર્પોરેશનોએ શોધી કાઢ્યું હતું કે તેમના સર્બેન્સ-ઓક્સલી આંતરિક નિયંત્રણના મુદ્દાઓનું અણધારી રીતે ઊંચું પ્રમાણ આઇટીમાંથી આવ્યું હતું. ફરજોને અલગ કરવાનો ઉપયોગ સામાન્ય રીતે મોટી આઇટી સંસ્થાઓમાં થાય છે જેથી કોઈ પણ વ્યક્તિ છેતરપિંડી અથવા દૂષિત કોડ અથવા ડેટા શોધ્યા વિના રજૂ કરવાની સ્થિતિમાં ન હોય. ભૂમિકા-આધારિત અભિગમ નિયંત્રણનો ઉપયોગ આઇટી પ્રણાલીઓમાં વારંવાર થાય છે જ્યાં એસ. ઓ. ડી. જરૂરી છે. તાજેતરમાં, જેમ જેમ વધતી જતી સંસ્થામાં ભૂમિકાઓની સંખ્યામાં વધારો થાય છે, તેમ તેમ તેના ભૂમિકા-આધારિત પ્રતિરૂપની મર્યાદાઓને ઉકેલવા માટે એટ્રિબ્યુટ-આધારિત એક્સેસ કંટ્રોલ સાથે હાઇબ્રિડ એક્સેસ કંટ્રોલ મોડેલનો ઉપયોગ કરવામાં આવે છે. સોફ્ટવેર અને ડેટા ફેરફારોના કડક નિયંત્રણ માટે જરૂરી છે કે તે જ વ્યક્તિ અથવા સંસ્થાઓ નીચેની ભૂમિકાઓમાંથી માત્ર એક જ ભજવેઃ જરૂરિયાતની ઓળખ (અથવા બદલવાની વિનંતી); દા. ત. વ્યવસાયી વ્યક્તિ અધિકૃતતા અને મંજૂરી; દા. ત. આઇટી ગવર્નન્સ બોર્ડ અથવા મેનેજર ડિઝાઇન અને ડેવલપમેન્ટ; દા. ત. વિકાસકર્તા સમીક્ષા, નિરીક્ષણ અને મંજૂરી; દા. ત. અન્ય વિકાસકર્તા અથવા આર્કિટેક્ટ. ઉત્પાદનમાં અમલીકરણ; સામાન્ય રીતે સોફ્ટવેર ફેરફાર અથવા સિસ્ટમ સંચાલક. આ સોફ્ટવેર વિકાસ જીવન ચક્રની સંપૂર્ણ રજૂઆત નથી, પરંતુ ફરજોના વિભાજનને લાગુ પડતા નિર્ણાયક વિકાસ કાર્યોની યાદી છે. માહિતી પ્રણાલીઓમાં ફરજોના વિભાજનને સફળતાપૂર્વક અમલમાં મૂકવા માટે સંખ્યાબંધ ચિંતાઓને સંબોધિત કરવાની જરૂર છેઃ પ્રણાલીમાં વ્યક્તિના અધિકૃત અધિકારોની ખાતરી કરવા માટે ઉપયોગમાં લેવાતી પ્રક્રિયા સંસ્થામાં તેની ભૂમિકાને અનુરૂપ છે. ઉપયોગમાં લેવાતી પ્રમાણીકરણ પદ્ધતિ જેમ કે પાસવર્ડની જાણકારી, ઑબ્જેક્ટનો કબજો (કી, ટોકન) અથવા બાયોમેટ્રિક લાક્ષણિકતા. સિસ્ટમમાં અધિકારોનું પરિભ્રમણ ડેટાબેઝ વહીવટી ઍક્સેસ, વપરાશકર્તા વહીવટી ઍક્સેસ, સાધનો કે જે બેક-ડોર ઍક્સેસ પ્રદાન કરે છે અથવા સપ્લાયર દ્વારા સ્થાપિત વપરાશકર્તા ખાતાઓ દ્વારા થઈ શકે છે. આ ચોક્કસ ચિંતાને દૂર કરવા માટે પ્રવૃત્તિ લોગની સમીક્ષા જેવા ચોક્કસ નિયંત્રણોની જરૂર પડી શકે છે. સંદર્ભો બાહ્ય લિંક્સ નિક સ્ઝાબોના નિબંધ "ફરજોની વ્યાખ્યા અલગ/અલગ", ISACA "સુરક્ષા જોખમોને ઘટાડવા માટે ફરજો અલગ કરો", ડેટામેશન "પારદર્શિતા, વિભાજન, વિભાજન, પરિભ્રમણ અને જવાબદારીઓનું નિરીક્ષણ", ISM3 ઓડિટિંગ શરતો ડેટા સુરક્ષા