- Voir ISO 27002:2022 Contrôle 5.3 pour plus d'informations.
- Voir ISO 27001:2013 Annexe A 6.1.2 pour plus d'informations.
Comprendre la norme ISO 27001:2022 Annexe A Contrôle 5.3 – Importance de la séparation des tâches
L'objectif de la norme ISO 27001:2022 Annexe A 5.3 – séparation des tâches sous forme de séparation fonctionnelle est d'établir un cadre de gestion qui sera utilisé pour initier et contrôler la mise en œuvre et le fonctionnement de la sécurité de l'information au sein d'une entreprise.
Selon le contrôle 5.3 de l'annexe A de la norme ISO 27001:2022 , anciennement connu sous le nom de 6.1.2 dans la norme ISO 27001:2013, les tâches conflictuelles et les domaines de responsabilité conflictuels sont séparés.
Dans le cadre de son processus d'évaluation et de gestion des risques, une organisation devrait envisager et mettre en œuvre une séparation appropriée des tâches. Bien que les petites organisations puissent rencontrer des difficultés à cet égard, ce principe devrait être appliqué autant que possible et une gouvernance et des contrôles adéquats devraient être mis en place pour les actifs informationnels présentant un risque ou une valeur plus élevés.
Pour réduire le risque de modification non autorisée ou involontaire ou d'utilisation abusive des actifs de l'organisation, les tâches et domaines de responsabilité conflictuels doivent être séparés.
Tâches et domaines de responsabilités conflictuels expliqués
Presque toutes les organisations possèdent un ensemble de politiques et de procédures qui régissent leur fonctionnement interne . Ces politiques et procédures sont censées être documentées, mais ce n'est pas toujours le cas.
Il existe un risque que les employés soient confus quant à leurs domaines de responsabilité si les P&P ne sont pas transparentes ou bien communiquées. Cela devient encore plus problématique lorsque les employés ont des domaines de responsabilité qui se chevauchent ou sont conflictuels.
Parfois, des conflits peuvent survenir lorsque les employés ont des responsabilités liées à une tâche particulière qui sont similaires ou différentes. En conséquence, les employés peuvent faire deux fois la même chose ou exécuter des fonctions différentes qui annulent les efforts des autres. Cela gaspille les ressources de l'entreprise et réduit la productivité, ce qui nuit aux résultats financiers et au moral de l'entreprise.
Ce problème peut être évité en veillant à ce que votre organisation ne connaisse pas de conflits de responsabilités et en comprenant pourquoi et comment les prévenir. Le plus souvent, cela implique de séparer les tâches afin que différentes personnes assument différents rôles au sein de l'organisation.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 5.3 ?
Dans la norme ISO 27001, le contrôle 5.3 « Séparation des tâches » vise à séparer les tâches conflictuelles. Cela réduit les risques de fraude et d'erreur et permet de contourner les contrôles de sécurité de l'information.
Annexe A Contrôle 5.3 expliqué
Conformément à la norme ISO 27001, l'Annexe A Contrôle 5.3 décrit les lignes directrices de mise en œuvre pour la séparation des tâches et des fonctions organisationnelles.
En déléguant des sous-tâches à différentes personnes, ce principe crée un système de freins et contrepoids qui peut réduire le risque d'erreurs et de fraude.
Ce contrôle vise à empêcher toute personne de commettre, dissimuler et justifier des actes répréhensibles, réduisant ainsi les risques de fraude et d'erreur. Il empêche également toute personne de contourner les mesures de sécurité de l'information.
Dans les cas où un employé dispose de tous les droits requis pour la tâche, des fraudes et des erreurs sont plus susceptibles de se produire. En effet, une seule personne peut tout faire sans aucun frein ni contrepoids. Il existe cependant un risque réduit de préjudice important ou de perte financière de la part d'un employé lorsqu'aucune personne ne dispose à elle seule de tous les droits d'accès requis pour une tâche particulière.
Qu'est-ce que cela implique et exigences de l'annexe A 5.3
En l’absence d’une séparation appropriée des tâches et des responsabilités, des fraudes, des abus, des accès non autorisés et d’autres problèmes de sécurité peuvent survenir.
De plus, la séparation des tâches est nécessaire pour atténuer les risques de collaboration entre les individus. Ces risques sont accrus lorsque des contrôles insuffisants empêchent ou détectent une collusion.
Dans le cadre de la norme ISO 27001:2022, l' organisme doit déterminer quelles tâches et responsabilités doivent être séparées et mettre en œuvre des contrôles de séparation applicables.
Lorsque de tels contrôles sont impossibles, notamment pour les petites organisations comptant un nombre limité d'employés, le suivi des activités, les pistes d'audit et la supervision de la direction peuvent être utilisés. Grâce à des outils automatisés, les grandes organisations peuvent identifier et séparer les rôles afin d'éviter les conflits d'attribution.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?
Le contrôle 27001 de l'Annexe A de la norme ISO 2022 : 5.3 est une version révisée du contrôle 27001 de l'Annexe A de la norme ISO 2013 : 6.1.2.
L'Annexe A 5.3 ISO 27001:2022 et l'Annexe A 6.1.2 ISO 27001:2013 décrivent les mêmes caractéristiques de base du contrôle « Séparation des tâches ». Cependant, la version la plus récente définit un certain nombre d'activités qui nécessitent une ségrégation lors de la mise en œuvre.
Parmi ces activités figurent :
a) initier, approuver et exécuter un changement ;
b) demander, approuver et mettre en œuvre les droits d’accès ;
c) concevoir, implémenter et examiner le code ;
d) développer des logiciels et administrer des systèmes de production ;
e) utiliser et administrer des applications ;
f) utiliser des applications et administrer des bases de données ;
g) concevoir, auditer et assurer les contrôles de sécurité de l'information.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Qui est propriétaire de l’annexe A 5.3 ?
Plusieurs personnes sont responsables de la séparation des tâches dans le cadre de la norme ISO 27001, à commencer par un membre de la direction. Ce dernier est chargé de s'assurer que l' évaluation initiale des risques a bien été réalisée.
En conséquence, d’autres groupes d’employés qualifiés devraient se voir attribuer des processus qui s’appliquent à différentes parties de l’organisation. Afin d'empêcher des employés malveillants de porter atteinte à la sécurité de l'entreprise, il est généralement possible d'attribuer des tâches à d'autres unités de travail et de départementaliser les opérations et les activités de maintenance liées à l'informatique.
La séparation des tâches ne peut être correctement établie sans une stratégie de gestion des risques efficace , un environnement de contrôle approprié et un programme d'audit informatique adéquat.
NHS Professionals obtient la certification ISO 27001 et améliore sa gestion de la sécurité de l'information
Confrontée à un délai serré de six mois et à de multiples cadres existants à intégrer, NHS Professionals avait besoin d'une plateforme capable d'intégrer la norme ISO 27001 sans dupliquer les politiques ni ajouter de risques à son environnement de conformité déjà complexe.
L'outil Xergy Proteus génère de la croissance grâce à la conformité ISO 27001 grâce à ISMS.online
En tant que start-up développant des logiciels pour des secteurs d'ingénierie hautement réglementés, Xergy avait besoin de la norme ISO 27001 pour générer de la croissance grâce à la confiance — et d'un partenaire externe éprouvé pour gérer les exigences rigoureuses sans détourner l'équipe de développement.
Comment Blue Services a réussi à obtenir la triple certification ISO
Blue Services avait besoin d'un soutien externe pour les guider dans la mise en œuvre des normes ISO 27001, ISO 9001 et ISO 14001 et des meilleures pratiques, ainsi que d'une plateforme pour centraliser leur gestion globale de la conformité.
Comment Evolution Funding a réussi sa certification ISO 27001
L’obtention de la certification ISO 27001 était un objectif primordial pour Evolution Funding. L’équipe avait besoin d’une plateforme centralisée pour mettre en œuvre la norme ISO 27001 et mener à bien le processus de conformité.
Comment 4way Consulting a ouvert la voie au succès de la norme ISO 27001
Gérant des données clients sensibles selon de multiples normes, 4way avait besoin d'un moyen rentable et rapide d'obtenir la certification ISO 27001, sans avoir à créer un système de gestion de l'information (SGSI) à partir de zéro ni à faire appel à des consultants externes coûteux.
Succès de nesevo en matière de conformité multi-certifications avec IO
Peinant à gérer la conformité à la norme ISO 27001 à travers des documents et des feuilles de calcul dispersés, nesevo avait besoin d'une plateforme centralisée capable de les guider à travers la norme sans les coûts continus de consultants externes.
Utilisez ISMS.online à votre avantage
ISO 27001:2022 vous oblige uniquement à mettre à jour vos processus ISMS pour refléter les contrôles améliorés de l'Annexe A, et si votre équipe ne peut pas gérer cela, ISMS.online le peut.
En plus des analyses d'impact relatives à la protection des données (AIPD) et autres évaluations connexes des données personnelles , comme les analyses d'impact sur les données (AID), ISMS.online fournit des cadres et des modèles simples et pratiques pour la sécurité de l'information.
Avec ISMS.online , vous pouvez documenter les procédures et les listes de contrôle du système de gestion de la sécurité de l'information afin de garantir la conformité à la norme ISO 27001, en automatisant le processus de mise en œuvre.
ISMS.online vous permet de :
- Créer un SMSI compatible avec la norme ISO 27001
- Effectuer des tâches et soumettre une preuve indiquant qu'elles répondent aux exigences de la norme.
- Attribuez des tâches et suivez les progrès vers la conformité à la loi.
- Accédez à une équipe de conseillers spécialisés pour vous accompagner tout au long de votre cheminement vers la conformité.
En utilisant notre plateforme basée sur le cloud, vous pouvez gérer de manière centralisée les listes de contrôle, interagir avec vos collègues et utiliser un ensemble complet d'outils pour aider votre organisation à créer et à maintenir un système de gestion de la sécurité de l'information (SGSI).
Contactez-nous dès aujourd'hui pour réserver une démonstration.
