- Voir ISO 27002:2022 Contrôle 5.26 pour plus d'informations.
- Voir ISO 27001:2013 Annexe A 16.1.5 pour plus d'informations.
Quel est l’objectif de la norme ISO 27001:2022 Annexe A 5.26 ?
L'Annexe A 5.26 concerne la gestion des incidents, des événements et des faiblesses liés à la sécurité de l'information.
Les organisations peuvent maximiser les chances d’une résolution rapide et efficace en s’assurant que le personnel interne et externe est pleinement impliqué dans les processus et procédures publiés de gestion des incidents (principalement ceux créés dans l’Annexe A Contrôle 5.24).
Propriété de l'annexe A 5.26
Idéalement, le contrôle 5.26 de l'annexe A devrait être géré par un membre de la direction dont les responsabilités comprennent la supervision de toutes les activités liées à la gestion des incidents, comme le directeur des opérations.
Pour optimiser la gestion des performances et éliminer les erreurs, il est également crucial que le propriétaire exerce un contrôle direct ou indirect sur les performances du personnel chargé d'analyser et de résoudre les incidents de sécurité de l'information.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la norme ISO 27001:2022 Annexe A 5.26
Si d'autres parties prenantes et organismes de réglementation sont à prendre en compte, il est important de désigner des responsables, de préciser les actions et les échéances, et de conserver les informations à des fins d'audit. La norme ISO 27001 suit les mêmes règles que toute autre norme. Il incombera à la personne en charge de la gestion de l'incident de sécurité de rétablir le niveau de sécurité normal.
Pour garantir une résolution rapide et complète de tout incident de sécurité de l’information , une équipe dédiée doit traiter chaque incident avec la « compétence requise » (voir l’annexe A Contrôle 5.26).
Comme indiqué dans l'Annexe A Contrôle 5.26, les procédures de gestion des incidents doivent suivre dix lignes directrices principales :
- Toutes les menaces découlant de l'événement initial sont contenues et atténuées.
- Les preuves doivent être collectées et corroborées immédiatement après un incident de sécurité des informations.
- Escalade planifiée, y compris la gestion de crise (voir l'Annexe A, Contrôles 5.29 et 5.30) et continuité de l'activité (voir l'annexe A, contrôles 5.29 et 5.30).
- L'analyse post-mortem nécessite un enregistrement précis de toutes les activités liées à l'incident, y compris la réponse initiale.
- Les incidents liés à la sécurité de l’information doivent être communiqués strictement selon le principe du « besoin de savoir ».
- Lors de la communication de l'impact plus large des incidents de sécurité de l'information, il est essentiel d'être conscient des responsabilités d'une organisation envers les organisations externes (clients, fournisseurs, organismes publics, régulateurs, etc.).
- Un incident doit répondre à des critères d’achèvement stricts pour être clôturé.
- Conformément à l'annexe A, contrôle 5.28, une analyse médico-légale est effectuée.
- Dès qu'un incident a été résolu, la cause sous-jacente doit être identifiée, enregistrée et communiquée à toutes les parties concernées (voir Annexe A Contrôle 5.27).
- Traiter les vulnérabilités sous-jacentes qui ont conduit à des incidents et des événements liés à la sécurité de l'information, y compris l'identification et la modification des processus, contrôles, politiques et procédures internes.
Prise en charge des contrôles de l’Annexe A
- ISO 27001:2022 Annexe A 5.24
- ISO 27001:2022 Annexe A 5.27
- ISO 27001:2022 Annexe A 5.28
- ISO 27001:2022 Annexe A 5.29
- ISO 27001:2022 Annexe A 5.30
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?
À compter de la norme 27001:2022 Annexe A 5.26, l'Annexe A 16.1.5 ( Réponse aux incidents de sécurité de l'information ) a été remplacée par la norme 27001:2022 Annexe A 5.26.
Par rapport à l’annexe A 16.1.5 de la norme ISO 27001:2013 , l’annexe A 5.26 de la norme ISO 27001:2022 ajoute quatre domaines à prendre en considération :
- À la suite de l’événement initial, il est nécessaire de contenir et d’atténuer les menaces.
- Une procédure d’escalade de gestion de crise et de continuité d’activité.
- Identifiez la raison exacte de l’incident et informez toutes les parties concernées des détails.
- Les changements de processus, de contrôle et de politique qui ont conduit à l’incident initial doivent être identifiés et modifiés.
L'objectif principal d'une équipe de réponse aux incidents dans les premiers stades d'une escalade est de revenir à un « niveau de sécurité normal ». En revanche, l’annexe A 27001 du document 2022:5.26 ne fait pas référence au retour à un « niveau de sécurité normal ».
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
NHS Professionals obtient la certification ISO 27001 et améliore sa gestion de la sécurité de l'information
Confrontée à un délai serré de six mois et à de multiples cadres existants à intégrer, NHS Professionals avait besoin d'une plateforme capable d'intégrer la norme ISO 27001 sans dupliquer les politiques ni ajouter de risques à son environnement de conformité déjà complexe.
L'outil Xergy Proteus génère de la croissance grâce à la conformité ISO 27001 grâce à ISMS.online
En tant que start-up développant des logiciels pour des secteurs d'ingénierie hautement réglementés, Xergy avait besoin de la norme ISO 27001 pour générer de la croissance grâce à la confiance — et d'un partenaire externe éprouvé pour gérer les exigences rigoureuses sans détourner l'équipe de développement.
Comment Blue Services a réussi à obtenir la triple certification ISO
Blue Services avait besoin d'un soutien externe pour les guider dans la mise en œuvre des normes ISO 27001, ISO 9001 et ISO 14001 et des meilleures pratiques, ainsi que d'une plateforme pour centraliser leur gestion globale de la conformité.
Comment Evolution Funding a réussi sa certification ISO 27001
L’obtention de la certification ISO 27001 était un objectif primordial pour Evolution Funding. L’équipe avait besoin d’une plateforme centralisée pour mettre en œuvre la norme ISO 27001 et mener à bien le processus de conformité.
Comment 4way Consulting a ouvert la voie au succès de la norme ISO 27001
Gérant des données clients sensibles selon de multiples normes, 4way avait besoin d'un moyen rentable et rapide d'obtenir la certification ISO 27001, sans avoir à créer un système de gestion de l'information (SGSI) à partir de zéro ni à faire appel à des consultants externes coûteux.
Succès de nesevo en matière de conformité multi-certifications avec IO
Peinant à gérer la conformité à la norme ISO 27001 à travers des documents et des feuilles de calcul dispersés, nesevo avait besoin d'une plateforme centralisée capable de les guider à travers la norme sans les coûts continus de consultants externes.
Quels sont les avantages d'ISMS.online pour la gestion des incidents en matière de sécurité de l'information ?
ISMS.online simplifie considérablement l'atteinte de cet objectif de contrôle de l'annexe A grâce à sa politique intégrée qui couvre les points 16.1.1 à 16.1.7 tout au long du cycle de vie et à ses outils intégrés qui facilitent grandement la démonstration des pratiques. ISMS.online propose un outil de gestion des incidents de sécurité qui simplifie la gestion des incidents de sécurité de l'information en un processus simple et efficace. Ceci garantit la conformité à la norme de manière pragmatique et conforme.
Comme pour les autres parties d’ISMS.online, vous pouvez rapidement l’adapter à vos besoins. Tout votre travail est conservé au même endroit grâce à son intégration élégante avec les parties associées du SMSI. La fourniture de statistiques et d'informations de reporting prédéfinies simplifie les examens de direction et réduit le temps. Devez-vous considérer un incident par rapport à une amélioration, un risque, un audit ou des actifs informationnels et des politiques ? C'est simple et évite les doublons. Le titre du suivi des incidents de sécurité est présenté ci-dessous, ce qui permet de faire apparaître tout le travail en cours. Il est facile de les filtrer et de gérer les ressources, les catégories et les types d'incidents pour vous assurer de vous concentrer sur les plus importants.
Vous pouvez utiliser la plateforme ISMS.online pour déployer et gérer un système de gestion de la sécurité de l'information ISO 27001, quelle que soit votre expérience antérieure.
Avec notre système, vous serez guidé à travers les étapes nécessaires pour configurer et maintenir efficacement votre SMSI.
Contactez-nous dès aujourd'hui pour réserver une démonstration.
