Separation of duties
कर्तव्यों का पृथक्करण (एस. ओ. डी.), जिसे कर्तव्यों का पृथक्करण भी कहा जाता है, एक कार्य को पूरा करने के लिए एक से अधिक व्यक्तियों की आवश्यकता की अवधारणा है। यह एक प्रशासनिक नियंत्रण है जिसका उपयोग संगठनों द्वारा धोखाधड़ी, तोड़फोड़, चोरी, सूचना के दुरुपयोग और अन्य सुरक्षा समझौतों को रोकने के लिए किया जाता है। राजनीतिक क्षेत्र में, इसे शक्तियों के पृथक्करण के रूप में जाना जाता है, जैसा कि लोकतंत्रों में देखा जा सकता है जहां सरकार को तीन स्वतंत्र शाखाओं में विभाजित किया जाता हैः एक विधायिका, एक कार्यपालिका और एक न्यायपालिका। सामान्य विवरण कर्तव्यों का पृथक्करण आंतरिक नियंत्रणों की एक प्रमुख अवधारणा है। धोखाधड़ी और त्रुटियों से बढ़ी हुई सुरक्षा को बढ़ी हुई लागत/प्रयास के साथ संतुलित किया जाना चाहिए। संक्षेप में, एस. ओ. डी. व्यक्तियों की गतिविधियों पर उचित स्तर के नियंत्रण और संतुलन को लागू करता है। आई. बी. एम. सिस्टम्स जर्नल में आर. ए. बोथा और जे. एच. पी. एलोफ ने एस. ओ. डी. का वर्णन इस प्रकार किया है। एक सुरक्षा सिद्धांत के रूप में कर्तव्य के पृथक्करण का प्राथमिक उद्देश्य धोखाधड़ी और त्रुटियों की रोकथाम है। यह उद्देश्य कई उपयोगकर्ताओं के बीच एक विशिष्ट व्यावसायिक प्रक्रिया के लिए कार्यों और संबंधित विशेषाधिकारों का प्रसार करके प्राप्त किया जाता है। इस सिद्धांत को एक चेक पर दो हस्ताक्षरों की आवश्यकता में पाए जाने वाले शुल्क के पृथक्करण के पारंपरिक उदाहरण में प्रदर्शित किया गया है। व्यवसाय के आकार और प्रकृति के आधार पर वास्तविक नौकरी के शीर्षक और संगठनात्मक संरचना एक संगठन से दूसरे संगठन में बहुत भिन्न हो सकती है। तदनुसार, रैंक या पदानुक्रम शामिल व्यक्तियों के कौशल और क्षमताओं की तुलना में कम महत्वपूर्ण हैं। एस. ओ. डी. की अवधारणा के साथ, व्यावसायिक महत्वपूर्ण कर्तव्यों को चार प्रकार के कार्यों में वर्गीकृत किया जा सकता हैः प्राधिकरण, अभिरक्षा, अभिलेख रखना और सुलह। एक पूर्ण प्रणाली में, किसी एक व्यक्ति को एक से अधिक प्रकार के कार्यों को नहीं संभालना चाहिए। सिद्धांत मुख्य रूप से कई दृष्टिकोण आंशिक रूप से या पूरी तरह से अलग प्रतिमानों के रूप में वैकल्पिक रूप से व्यवहार्य हैंः अनुक्रमिक पृथक्करण (दो हस्ताक्षर सिद्धांत) व्यक्तिगत पृथक्करण (चार आंखों का सिद्धांत) स्थानिक पृथक्करण (अलग-अलग स्थानों में अलग-अलग कार्रवाई) कारक पृथक्करण (कई कारक पूरा करने में योगदान करते हैं) सहायक पैटर्न कई कार्यात्मक भूमिकाओं वाले व्यक्ति के पास उन शक्तियों का दुरुपयोग करने का अवसर होता है। जोखिम को कम करने का तरीका हैः एक ऐसे कार्य से शुरुआत करें जो अपरिहार्य है, लेकिन संभावित रूप से दुरुपयोग के अधीन है। कार्य को अलग-अलग चरणों में विभाजित करें, प्रत्येक कार्य के काम करने के लिए या उस शक्ति के लिए आवश्यक है जो उस कार्य का दुरुपयोग करने में सक्षम बनाता है। प्रत्येक चरण को एक अलग व्यक्ति या संगठन को सौंपें। अलग किए जाने वाले कार्यों की सामान्य श्रेणियाँः प्राधिकरण कार्य रिकॉर्डिंग कार्य, जैसे। स्रोत दस्तावेज़ या कोड या प्रदर्शन तैयार करना संपत्ति की अभिरक्षा की रिपोर्ट करता है चाहे वह प्रत्यक्ष या अप्रत्यक्ष रूप से हो, जैसे। डाक में चेक प्राप्त करना या स्रोत कोड या डेटाबेस परिवर्तनों को लागू करना। जिम्मेदार व्यक्तियों के बीच एक सुरक्षा कुंजी को दो (अधिक) भागों में विभाजित करते हुए सुलह या लेखा परीक्षा मुख्य रूप से व्यक्तिगत अलगाव को एकमात्र चयन के रूप में संबोधित किया जाता है। सामान्य व्यवसाय और लेखांकन में अनुप्रयोग एस. ओ. डी. शब्द वित्तीय लेखांकन प्रणालियों में पहले से ही अच्छी तरह से जाना जाता है। सभी आकारों की कंपनियां समझती हैं कि चेक प्राप्त करना (खाते में भुगतान) और राइट-ऑफ को मंजूरी देना, नकद जमा करना और बैंक विवरणों का मिलान करना, टाइम कार्ड को मंजूरी देना और वेतन चेक की अभिरक्षा आदि जैसी भूमिकाओं को संयोजित नहीं करना चाहिए। एस. ओ. डी. अधिकांश सूचना प्रौद्योगिकी (आई. टी.) विभागों के लिए काफी नया है, लेकिन सार्बेन्स-ऑक्सले आंतरिक लेखा परीक्षा के मुद्दों का एक उच्च प्रतिशत आई. टी. से आता है। सूचना प्रणालियों में, कर्तव्यों का पृथक्करण एक व्यक्ति के कार्यों से होने वाले संभावित नुकसान को कम करने में मदद करता है। आई. एस. या अंतिम-उपयोगकर्ता विभाग को कर्तव्यों के पर्याप्त पृथक्करण को प्राप्त करने के लिए इस तरह से संगठित किया जाना चाहिए। आई. एस. ए. सी. ए. के सेग्रिगेशन ऑफ ड्यूटीज कंट्रोल मैट्रिक्स के अनुसार, कुछ कर्तव्यों को एक पद में नहीं जोड़ा जाना चाहिए। यह मैट्रिक्स एक उद्योग मानक नहीं है, केवल एक सामान्य दिशानिर्देश है जो सुझाव देता है कि किन पदों को अलग किया जाना चाहिए और जिन्हें संयुक्त करने पर क्षतिपूर्ति नियंत्रण की आवश्यकता होती है। कंपनी के आकार के आधार पर, कार्य और पदनाम भिन्न हो सकते हैं। एस. ओ. डी. की कमी वाली छोटी कंपनियों को आमतौर पर संवितरण चक्रों में चिंताओं का सामना करना पड़ता है जहां अनधिकृत खरीद और भुगतान हो सकते हैं। जब शुल्कों को अलग नहीं किया जा सकता है, तो क्षतिपूर्ति नियंत्रण होना चाहिए। क्षतिपूर्ति नियंत्रण आंतरिक नियंत्रण हैं जिनका उद्देश्य मौजूदा या संभावित नियंत्रण कमजोरी के जोखिम को कम करना है। यदि कोई एकल व्यक्ति अपनी दिन-प्रतिदिन की गतिविधियों को करने के दौरान त्रुटियों और/या अनियमितताओं को छिपा सकता है, तो उन्हें एस. ओ. डी. असंगत कर्तव्य सौंपे गए हैं। कई नियंत्रण तंत्र हैं जो कर्तव्यों के पृथक्करण को लागू करने में मदद कर सकते हैंः ऑडिट ट्रेल्स आईटी प्रबंधकों या लेखा परीक्षकों को एक अद्यतन फ़ाइल पर उत्पत्ति के बिंदु से इसके अस्तित्व तक वास्तविक लेनदेन प्रवाह को फिर से बनाने में सक्षम बनाते हैं। लेन-देन किसने शुरू किया, दिन का समय और प्रवेश की तारीख, प्रविष्टि का प्रकार, इसमें कौन सी जानकारी के क्षेत्र शामिल हैं, और कौन सी फाइलें अद्यतन की गई हैं, इस बारे में जानकारी प्रदान करने के लिए अच्छे ऑडिट ट्रेल्स को सक्षम किया जाना चाहिए। अनुप्रयोगों का सामंजस्य और एक स्वतंत्र सत्यापन प्रक्रिया अंततः उपयोगकर्ताओं की जिम्मेदारी है, जिसका उपयोग उस विश्वास के स्तर को बढ़ाने के लिए किया जा सकता है कि एक अनुप्रयोग सफलतापूर्वक चला। अपवाद रिपोर्टों को पर्यवेक्षी स्तर पर संभाला जाता है, साक्ष्य द्वारा समर्थित किया जाता है कि अपवादों को ठीक से और समय पर संभाला जाता है। रिपोर्ट तैयार करने वाले व्यक्ति के हस्ताक्षर की आवश्यकता होती है। मैनुअल या स्वचालित प्रणाली या अनुप्रयोग लेनदेन लॉग बनाए रखा जाना चाहिए, जो सभी संसाधित प्रणाली आदेशों या अनुप्रयोग लेनदेन को रिकॉर्ड करता है। पर्यवेक्षण और पूछताछ के माध्यम से पर्यवेक्षी समीक्षा की जानी चाहिए। एक निर्धारित प्रक्रिया का पालन करके गलतियों या जानबूझकर विफलताओं की भरपाई करने के लिए, स्वतंत्र समीक्षाओं की सिफारिश की जाती है। इस तरह की समीक्षाएँ त्रुटियों और अनियमितताओं का पता लगाने में मदद कर सकती हैं। सूचना प्रणालियों में अनुप्रयोग लेखांकन पेशे ने सैकड़ों वर्षों के लेखांकन अभ्यास में संचित समझे गए जोखिमों के कारण कर्तव्यों को अलग करने में महत्वपूर्ण निवेश किया है। इसके विपरीत, संयुक्त राज्य अमेरिका में कई निगमों ने पाया कि उनके सरबेन्स-ऑक्सले आंतरिक नियंत्रण मुद्दों का एक अप्रत्याशित रूप से उच्च अनुपात आईटी से आया था। कर्तव्यों को अलग करने का उपयोग आमतौर पर बड़े आई. टी. संगठनों में किया जाता है ताकि कोई भी व्यक्ति बिना पता लगाए धोखाधड़ी या दुर्भावनापूर्ण कोड या डेटा पेश करने की स्थिति में न हो। भूमिका-आधारित अभिगम नियंत्रण का उपयोग अक्सर आई. टी. प्रणालियों में किया जाता है जहाँ एस. ओ. डी. की आवश्यकता होती है। हाल ही में, जैसे-जैसे एक बढ़ते संगठन में भूमिकाओं की संख्या बढ़ती है, विशेषता-आधारित अभिगम नियंत्रण के साथ एक संकर अभिगम नियंत्रण मॉडल का उपयोग अपने भूमिका-आधारित समकक्ष की सीमाओं को हल करने के लिए किया जाता है। सॉफ्टवेयर और डेटा परिवर्तनों के सख्त नियंत्रण के लिए आवश्यक होगा कि एक ही व्यक्ति या संगठन निम्नलिखित भूमिकाओं में से केवल एक का प्रदर्शन करेः आवश्यकता की पहचान (या परिवर्तन अनुरोध); जैसे। एक व्यवसायी व्यक्ति प्राधिकरण और अनुमोदन; जैसे। एक आई. टी. शासन बोर्ड या प्रबंधक डिजाइन और विकास; जैसे एक विकासकर्ता समीक्षा, निरीक्षण और अनुमोदन; जैसे। कोई अन्य विकासकर्ता या वास्तुकार। उत्पादन में कार्यान्वयन; आम तौर पर एक सॉफ्टवेयर परिवर्तन या सिस्टम प्रशासक। यह सॉफ्टवेयर विकास जीवन चक्र की एक विस्तृत प्रस्तुति नहीं है, बल्कि कर्तव्यों के पृथक्करण पर लागू महत्वपूर्ण विकास कार्यों की एक सूची है। सूचना प्रणालियों में कर्तव्यों के पृथक्करण को सफलतापूर्वक लागू करने के लिए कई चिंताओं को संबोधित करने की आवश्यकता हैः प्रणाली में किसी व्यक्ति के प्राधिकरण अधिकारों को सुनिश्चित करने के लिए उपयोग की जाने वाली प्रक्रिया संगठन में उसकी भूमिका के अनुरूप है। उपयोग की जाने वाली प्रमाणीकरण विधि जैसे पासवर्ड का ज्ञान, किसी वस्तु का कब्जा (कुंजी, टोकन) या एक बायोमेट्रिक विशेषता। प्रणाली में अधिकारों का परिसंचरण डेटाबेस प्रशासन पहुंच, उपयोगकर्ता प्रशासन पहुंच, उपकरण जो पिछले दरवाजे तक पहुंच प्रदान करते हैं या आपूर्तिकर्ता द्वारा स्थापित उपयोगकर्ता खातों के माध्यम से हो सकता है। इस विशिष्ट चिंता को दूर करने के लिए गतिविधि लॉग की समीक्षा जैसे विशिष्ट नियंत्रणों की आवश्यकता हो सकती है। संदर्भ बाहरी लिंक "कर्तव्यों की परिभाषा को अलग करने/अलग करने" पर निक स्ज़ाबो के निबंध, आई. एस. ए. सी. ए. "सुरक्षा जोखिमों को कम करने के लिए कर्तव्यों को अलग करें", डेटामेशन "पारदर्शिता, विभाजन, पृथक्करण, रोटेशन और जिम्मेदारियों का पर्यवेक्षण", आई. एस. एम. 3 ऑडिटिंग शब्द डेटा सुरक्षा