- Voir ISO 27002:2022 Contrôle 5.3 pour en profiter.
- Voir ISO 27001:2013 Annexe A 6.1.2 pour en profiter.
Comprendre la norme ISO 27001:2022 Annexe A Contrôle 5.3 – Importance de la séparation des tâches
L'objectif de la norme ISO 27001:2022 Annexe A 5.3 – séparation des tâches sous forme de séparation fonctionnelle est d'établir un cadre de gestion qui sera utilisé pour initier et contrôler la mise en œuvre et le fonctionnement de la sécurité de l'information au sein d'une entreprise.
Selon ISO 27001:2022 Annexe A contrôle 5.3, anciennement connu sous le nom de 6.1.2 dans la norme ISO 27001:2013, les tâches conflictuelles et les domaines de responsabilité conflictuels sont séparés.
Une organisation doit envisager et mettre en œuvre une séparation appropriée des tâches dans le cadre du processus d’évaluation et de traitement des risques. Même si les petites organisations peuvent avoir des difficultés avec cela, le principe doit être appliqué autant que possible et une gouvernance et des contrôles appropriés doivent être mis en place pour actifs informationnels avec un risque/une valeur plus élevée.
Pour réduire le risque de modification non autorisée ou involontaire ou d'utilisation abusive des actifs de l'organisation, les tâches et domaines de responsabilité conflictuels doivent être séparés.
Tâches et domaines de responsabilités conflictuels expliqués
Presque toutes les organisations ont un ensemble de politiques et procédures qui régissent son fonctionnement interne. Ces politiques et procédures sont censées être documentées, mais ce n'est pas toujours le cas.
Il existe un risque que les employés soient confus quant à leurs domaines de responsabilité si les P&P ne sont pas transparentes ou bien communiquées. Cela devient encore plus problématique lorsque les employés ont des domaines de responsabilité qui se chevauchent ou sont conflictuels.
Parfois, des conflits peuvent survenir lorsque les employés ont des responsabilités liées à une tâche particulière qui sont similaires ou différentes. En conséquence, les employés peuvent faire deux fois la même chose ou exécuter des fonctions différentes qui annulent les efforts des autres. Cela gaspille les ressources de l'entreprise et réduit la productivité, ce qui nuit aux résultats financiers et au moral de l'entreprise.
Ce problème peut être évité en garantissant que votre organisation ne connaît pas de domaines de responsabilité conflictuels et que vous savez pourquoi et ce que vous pouvez faire pour les éviter. Pour l’essentiel, cela signifie séparer les tâches afin que différentes personnes assument différents rôles organisationnels.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 5.3 ?
Dans la norme ISO 27001, le contrôle 5.3 Séparation des tâches vise à séparer les tâches conflictuelles. Cela réduit le risque de fraude et d'erreur et contourne la sécurité des informations les contrôles.
Annexe A Contrôle 5.3 expliqué
Conformément à la norme ISO 27001, l'Annexe A Contrôle 5.3 décrit les lignes directrices de mise en œuvre pour la séparation des tâches et des fonctions organisationnelles.
En déléguant des sous-tâches à différentes personnes, ce principe crée un système de freins et contrepoids qui peut réduire le risque d'erreurs et de fraude.
Le contrôle est conçu pour empêcher qu'une seule personne puisse commettre, dissimuler et justifier des actions inappropriées, réduisant ainsi le risque de fraude et d'erreur. Cela empêche également une seule personne de passer outre contrôles de sécurité de l'information.
Dans les cas où un employé dispose de tous les droits requis pour la tâche, des fraudes et des erreurs sont plus susceptibles de se produire. En effet, une seule personne peut tout faire sans aucun frein ni contrepoids. Il existe cependant un risque réduit de préjudice important ou de perte financière de la part d'un employé lorsqu'aucune personne ne dispose à elle seule de tous les droits d'accès requis pour une tâche particulière.
Qu'est-ce que cela implique et exigences de l'annexe A 5.3
En l’absence d’une séparation appropriée des tâches et des responsabilités, des fraudes, des abus, des accès non autorisés et d’autres problèmes de sécurité peuvent survenir.
De plus, la séparation des tâches est nécessaire pour atténuer les risques de collaboration entre les individus. Ces risques sont accrus lorsque des contrôles insuffisants empêchent ou détectent une collusion.
Dans le cadre de la norme ISO 27001:2022, le l'organisation doit déterminer quelles tâches et responsabilités doivent être séparés et mettre en œuvre des contrôles de séparation concrets.
Lorsque de tels contrôles ne sont pas possibles, notamment pour les petites organisations avec un nombre limité de salariés, le suivi des activités, des pistes de vérification, et la supervision de la gestion peut être utilisée. À l’aide d’outils automatisés, les grandes organisations peuvent identifier et séparer les rôles pour éviter l’attribution de rôles conflictuels.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?
Le contrôle 27001 de l'Annexe A de la norme ISO 2022 : 5.3 est une version révisée du contrôle 27001 de l'Annexe A de la norme ISO 2013 : 6.1.2.
L'Annexe A 5.3 ISO 27001:2022 et l'Annexe A 6.1.2 ISO 27001:2013 décrivent les mêmes caractéristiques de base du contrôle « Séparation des tâches ». Cependant, la version la plus récente définit un certain nombre d'activités qui nécessitent une ségrégation lors de la mise en œuvre.
Parmi ces activités figurent :
a) initier, approuver et exécuter un changement ;
b) demander, approuver et mettre en œuvre les droits d'accès ;
c) concevoir, mettre en œuvre et réviser le code ;
d) développer des logiciels et administrer des systèmes de production ;
e) utiliser et administrer des applications ;
f) utiliser des applications et administrer des bases de données ;
g) concevoir, auditer et assurer les contrôles de sécurité de l’information.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Qui est propriétaire de l’annexe A 5.3 ?
Plusieurs personnes sont responsables de la séparation des tâches dans la norme ISO 27001, à commencer par un membre de l'équipe de direction. Cette personne est chargée de s'assurer que le premier évaluation des risques s'est passé.
En conséquence, d’autres groupes d’employés qualifiés devraient se voir attribuer des processus qui s’appliquent à différentes parties de l’organisation. Afin d'empêcher des employés malveillants de porter atteinte à la sécurité de l'entreprise, il est généralement possible d'attribuer des tâches à d'autres unités de travail et de départementaliser les opérations et les activités de maintenance liées à l'informatique.
La séparation des tâches ne peut être établie correctement sans une gestion efficace des risques stratégique, un environnement de contrôle approprié et un programme d’audit informatique approprié.
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Utilisez ISMS.online à votre avantage
ISO 27001:2022 vous oblige uniquement à mettre à jour vos processus ISMS pour refléter les contrôles améliorés de l'Annexe A, et si votre équipe ne peut pas gérer cela, ISMS.online le peut.
En plus des DPIA et autres évaluations de données personnelles connexes, comme les LIA, ISMS.online fournit des cadres et des modèles simples et pratiques pour la sécurité des informations.
et ISMS.en ligne, vous pouvez documenter les procédures et les listes de contrôle du système de gestion de la sécurité de l'information pour garantir la conformité à la norme ISO 27001, en automatisant le processus de mise en œuvre.
ISMS.online vous permet de :
- Créer un SMSI compatible avec la norme ISO 27001
- Effectuer des tâches et soumettre une preuve indiquant qu'elles répondent aux exigences de la norme.
- Attribuez des tâches et suivez les progrès vers la conformité à la loi.
- Accédez à une équipe de conseillers spécialisés pour vous accompagner tout au long de votre cheminement vers la conformité.
En utilisant notre plateforme cloud, vous pouvez gérer de manière centralisée les listes de contrôle, interagir avec vos collègues et utiliser un ensemble complet d'outils pour aider votre organisation à créer et à maintenir un ISMS.
Contactez-nous dès aujourd'hui pour réserver une démo.
