Quel est l’objectif de l’Annexe A 27001 de la norme ISO 2022 : 5.22 ?
Le contrôle 5.22 de l’Annexe A vise à garantir qu’un niveau de sécurité des informations et la prestation de services est maintenue. Ceci est conforme aux contrats des fournisseurs concernant le développement des services des fournisseurs.
Les services des fournisseurs sont surveillés et examinés
Dans l'annexe A 5.22, les organisations sont décrites comme surveillant, examinant et auditant régulièrement leurs processus de prestation de services auprès de leurs fournisseurs. Il est préférable de procéder à des examens et à une surveillance en fonction des informations à risque, car une solution unique ne convient pas à toutes les situations.
En effectuant ses examens conformément à la segmentation proposée des fournisseurs, l'organisation peut optimiser ses ressources et s'assurer que ses efforts sont concentrés sur le suivi et l'examen là où l'impact le plus significatif peut être obtenu.
Comme pour l'Annexe A 5.19, le pragmatisme est parfois nécessaire : les petites organisations ne bénéficieront pas nécessairement d'un audit, d'une évaluation des ressources humaines ou d'améliorations de services dédiées en utilisant AWS. Pour vous assurer qu'ils restent adaptés à votre objectif, vous pouvez vérifier (par exemple) leurs rapports SOC II et leurs certifications de sécurité publiés chaque année.
La surveillance doit être documentée en fonction de votre pouvoir, de vos risques et de votre valeur, afin que votre auditeur puisse confirmer qu'elle a été effectuée. En effet, tous les changements nécessaires ont été gérés via une procédure formelle de contrôle des changements.
Gestion des modifications du service fournisseur
Les fournisseurs doivent maintenir et améliorer les politiques, procédures et contrôles de sécurité des informations existants pour gérer tout changement dans la fourniture de services par les fournisseurs. Le processus prend en compte le caractère critique des informations commerciales, la nature du changement, les types de fournisseurs concernés, les processus et systèmes impliqués, ainsi qu'une réévaluation des risques.
En apportant des modifications aux services des fournisseurs, il est également important de considérer l'intimité de la relation. Cela s'ajoute à la capacité de l'organisation à influencer ou contrôler un changement au sein du fournisseur.
Le contrôle 5.22 précise comment les organisations doivent surveiller, examiner et gérer les changements apportés aux pratiques et aux services de sécurité d'un fournisseur normes de livraison. Il évalue également leur impact sur les propres pratiques de sécurité de l'organisation.
Dans la gestion des relations avec ses fournisseurs, une organisation doit s'efforcer de maintenir un niveau de base de sécurité des informations conforme à tous les accords qu'elle a signés.
Conformément à la norme ISO 27001:2022, l'annexe A 5.22 est un contrôle préventif conçu pour minimiser les risques en aidant le fournisseur à maintenir un « niveau convenu de sécurité des informations et de prestation de services ».
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle de l’Annexe A 5.22
Un membre de la haute direction qui supervise les opérations commerciales d'une organisation et entretient une relation directe avec les fournisseurs de l'organisation devrait être responsable du contrôle 5.22.
ISO 27001:2022 Annexe A 5.22 Orientations générales
D’après ISO 27001:2022 Annexe A Contrôle 5.22, 13 domaines clés doivent être pris en compte lors de la gestion des relations avec les fournisseurs et comment ces facteurs affectent leurs propres mesures de sécurité des informations.
Une organisation doit s'assurer que les employés responsables de la gestion des accords de niveau de service et des relations avec les fournisseurs possèdent les compétences et les ressources techniques requises. Il s'agit de garantir qu'ils sont en mesure d'évaluer les performances des fournisseurs de manière adéquate et que les normes de sécurité des informations ne sont pas enfreintes.
Les politiques et procédures d'une organisation doivent être rédigées par :
- Surveillez en permanence les niveaux de service conformément aux accords de niveau de service publiés et corrigez toute lacune dès qu'elle survient.
- Le fournisseur doit être surveillé pour tout changement dans ses propres opérations, y compris (mais sans s'y limiter) : (1) Améliorations du service (2) Nouvelles applications, systèmes ou processus logiciels (3) Révisions pertinentes et significatives des documents de gouvernance interne du fournisseur, et (4) toute modification des procédures de gestion des incidents ou toute tentative visant à améliorer le niveau de sécurité des informations.
- Tout changement impliquant le service, y compris (mais sans s'y limiter) : a) Modifications de l'infrastructure b) Applications de technologies émergentes c) Mises à jour du produit et mises à niveau de version d) Modifications de l'environnement de développement e) Modifications logistiques et physiques des installations du fournisseur, y compris les nouvelles emplacements f) Changements de partenaires d'externalisation ou de sous-traitants g) Intentions de sous-traiter, lorsqu'une telle pratique n'a pas été pratiquée auparavant.
- Veiller à ce que les rapports de service soient fournis régulièrement, que les données soient analysées et que les réunions d'examen soient menées conformément aux niveaux de service convenus.
- Assurez-vous que les partenaires d’externalisation et les sous-traitants sont audités et répondent à tout sujet de préoccupation.
- Effectuer un examen des incidents de sécurité sur la base des normes et pratiques convenues par le fournisseur et conformément aux normes de gestion des incidents.
- Des enregistrements doivent être conservés sur tous les incidents liés à la sécurité de l'information, les problèmes opérationnels tangibles, les journaux de pannes et les obstacles généraux au respect des normes de prestation de services convenues.
- Prendre des mesures proactives en réponse à incidents liés à la sécurité de l'information.
- Identifiez toutes les vulnérabilités en matière de sécurité des informations et atténuez-les dans toute la mesure possible.
- Effectuer une analyse de tous les facteurs pertinents de sécurité des informations associés à la relation du fournisseur avec ses fournisseurs et sous-traitants.
- En cas de perturbation importante du côté du fournisseur, y compris un effort de reprise après sinistre, assurez-vous que la prestation de services est fournie à des niveaux acceptables.
- Fournir une liste du personnel clé dans les opérations du fournisseur responsable du maintien de la conformité et du respect des termes du contrat.
- Assurez-vous qu'un fournisseur maintient régulièrement une norme de base en matière de sécurité des informations.
Prise en charge des contrôles de l’Annexe A
- ISO 27001:2022 Annexe A 5.29
- ISO 27001:2022 Annexe A 5.30
- ISO 27001:2022 Annexe A 5.35
- ISO 27001:2022 Annexe A 5.36
- ISO 27001:2022 Annexe A 8.14
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Quel est l'avantage d'utiliser ISMS.online pour gérer les relations avec les fournisseurs ?
Cet objectif de contrôle de l’Annexe A a été rendu très simple par ISMS.online. En effet, ISMS.online fournit la preuve que vos relations sont soigneusement sélectionnées, bien gérées, surveillées et examinées. Cela se fait dans notre zone facile à utiliser des relations avec les comptes (par exemple, les fournisseurs). Les espaces de travail pour les projets de collaboration permettent à l'auditeur de visualiser facilement les fournisseurs importants lors de l'embarquement, des initiatives conjointes, du départ, etc.
En plus d'aider votre organisation à atteindre cet objectif de contrôle de l'annexe A, ISMS.online vous offre également la possibilité fournir la preuve que le fournisseur a formellement accepté les exigences et a compris ses responsabilités en matière de sécurité des informations via nos packs de politiques. En raison de leurs politiques et contrôles spécifiques, Les packs de politiques assurent les fournisseurs que leur personnel a lu et s'est engagé à se conformer aux politiques et contrôles de l'organisation.
Il peut y avoir une exigence plus large pour s'aligner sur l'annexe A.5.8. Sécurité de l'information dans la gestion de projet, en fonction de la nature du changement (par exemple pour des changements plus importants).
La mise en œuvre de la norme ISO 27001 est plus simple avec notre liste de contrôle étape par étape, qui vous guide depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.
ISMS.online offre les avantages suivants :
- La plateforme vous permet de créer un SMSI conforme à la norme ISO 27001 exigences.
- Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
- Le processus de délégation des responsabilités et de suivi des progrès en matière de conformité est simple.
- À la suite de l'ensemble évaluation des risques ensemble d’outils, le processus est accéléré et permet de gagner du temps.
- Une équipe dédiée de consultants peut vous accompagner tout au long du processus de conformité.
Contactez-nous aujourd'hui pour planifier une démo.
