- Voir ISO 27002:2022 Contrôle 5.5 pour plus d'informations.
- Voir ISO 27001:2013 Annexe A 6.1.3 pour plus d'informations.
Votre guide sur la norme ISO 27001 Annexe A 5.5 : Contacter efficacement les autorités gouvernementales
L'annexe A 27001 du contrôle ISO 2022:5.5 précise qu'une organisation doit maintenir un processus pour contacter les autorités compétentes conformément à ses obligations légales, réglementaires et contractuelles.
Vous devez maintenir des contacts appropriés avec les autorités. Lors de la mise en œuvre de ce contrôle (Annexe A), tenez compte de vos obligations légales lorsque vous contactez les autorités, telles que la police, la CNIL ou d'autres organismes de réglementation, conformément au RGPD.
Déterminez qui prendra contact, dans quelles circonstances et quel type d’informations sera partagé.
Comment fonctionne la norme ISO 27001 : 2022, annexe A 5.5 ?
Le contrôle 5.5 de l'annexe A garantit la bonne circulation des informations relatives à la sécurité de l'information entre l'organisation et les autorités compétentes en matière juridique, réglementaire et de surveillance. Un forum approprié doit être mis en place afin de faciliter le dialogue et la coopération entre l'entreprise et les autorités réglementaires, de surveillance et juridiques concernées.
Ce document décrit les exigences, l'objectif et les instructions de mise en œuvre pour identifier et signaler rapidement les incidents de sécurité de l'information . Il indique également les personnes à contacter en cas d'incident.
Dans l'Annexe A, contrôle 5.5, vous identifiez qui devra être contacté, par exemple les forces de l'ordre, les organismes de réglementation et les autorités de surveillance. Vous devez identifier ces parties prenantes avant qu’un incident ne survienne.
Pour traiter les problèmes de sécurité de l'information, l'organisation devrait établir et maintenir une communication informelle avec les autorités compétentes, notamment :
- L'organisation communique régulièrement avec les autorités compétentes sur les menaces et vulnérabilités actuelles.
- Les vulnérabilités des produits, services ou systèmes doivent être signalées aux autorités compétentes.
- Informations sur les menaces et les vulnérabilités provenant des autorités compétentes.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Commencer et répondre aux exigences de l’Annexe A 5.5
Les risques liés à la sécurité des informations sont gérés via le contrôle 5.5 de l'Annexe A, établissant la relation de l'organisation avec les organismes chargés de l'application de la loi.
Le contrôle 5.5 de l'annexe A exige que, si un incident de sécurité de l'information est découvert, l'organisation précise quand et par qui les autorités (telles que les forces de l'ordre, les organismes de réglementation et les autorités de surveillance) doivent être notifiées et comment signaler les incidents identifiés dès que possible.
Outre la compréhension des attentes actuelles et futures des agences (par exemple les réglementations applicables en matière de sécurité de l'information), il est également important d'échanger des informations avec elles.
Pour se conformer à cette exigence, l’organisation doit disposer d’une stratégie cohérente pour ses relations avec les forces de l’ordre.
L’organisation peut également bénéficier du maintien de contacts avec les organismes de réglementation pour anticiper et se préparer aux changements à venir dans les lois ou réglementations pertinentes.
Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?
Le contact avec les autorités n'est pas un nouveau contrôle ajouté dans la norme ISO 27001:2022. Il était déjà inclus dans la norme ISO 27001:2013 sous le numéro de contrôle 6.1.3. Par conséquent, le numéro de contrôle de l'annexe A a été mis à jour.
En plus de changer le numéro de contrôle, la phraséologie a également été modifiée. Le contrôle 5.5 de l’Annexe A stipule : « L’organisation doit établir et maintenir des contacts avec les autorités compétentes. » L’Annexe A, contrôle 6.1.3, stipule : « Des contacts appropriés avec les autorités compétentes doivent être maintenus. » Son objectif est de rendre ce contrôle plus convivial en révisant sa phraséologie.
Dans la version 2022, une finalité de contrôle a été introduite. Il n'était pas inclus dans la version 2013.
Bien qu'il existe des différences subtiles entre les deux contrôles de l'annexe A, leur essence reste la même.
Dans la norme ISO 27001:2022, annexe A, contrôle 5.5, il est recommandé de prendre contact avec les autorités afin de comprendre leurs attentes actuelles et futures (par exemple, la réglementation applicable en matière de sécurité de l'information). Ce point est absent de la norme ISO 27001:2013.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Qui est propriétaire de l’annexe A 5.5 ?
Les responsables de la sécurité de l'information sont généralement chargés de ce rôle.
D'autres personnes peuvent exercer cette fonction à condition qu'elles relèvent du responsable de la sécurité de l'information pour surveillance. Cela garantit qu’un message cohérent est communiqué et que les autorités reçoivent des informations cohérentes.
Comment cela vous affecte-t-il ?
Dans la plupart des cycles de certification, une période de transition de deux à trois ans correspond à la publication d'une norme révisée.
Vous devez vous assurer que vos mesures de sécurité sont à jour si vous prévoyez de déployer un système de gestion de la sécurité de l'information (et éventuellement même d'obtenir une certification SMSI).
Les activités suivantes seront réalisées, entre autres :
- Il est essentiel d’acheter la dernière norme.
- Analyser les lacunes de contrôle ainsi que les risques.
- Identifiez et modifiez les contrôles pertinents de l’Annexe A dans vos politiques, normes et autres documents SMSI.
- Le Déclaration d'applicabilité doit être mis à jour si nécessaire.
- Votre Audit interne Le programme devrait être révisé pour refléter les contrôles améliorés de l’annexe A que vous avez sélectionnés.
Vous pouvez trouver plus d’informations sur la façon dont ces changements affecteront votre organisation dans notre guide ISO 27001:2022.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Comment ISMS.online vous aide
Le suivi de vos contrôles de sécurité de l'information est l'un des aspects les plus difficiles de la mise en œuvre d'un système de gestion de la sécurité de l'information conforme à la norme ISO 27001.
Grâce à notre plateforme cloud, vous pouvez vérifier la conformité de votre processus de gestion de la sécurité de l'information (GSSI) aux exigences de la norme ISO 27 en utilisant un cadre robuste de contrôles de sécurité de l'information. Avec le temps et les ressources nécessaires, ISMS.online peut vous aider à obtenir votre certification rapidement et efficacement.
Outre les politiques de l'annexe A 5.5, ISMS.online comprend des outils de gestion de la sécurité de l'information.
En plus des analyses d'impact relatives à la protection des données (AIPD) et autres évaluations connexes des données personnelles , par exemple les analyses d'intérêt légitime (AIL), ISMS.online fournit des cadres et des modèles simples et pratiques pour la sécurité de l'information dans la gestion de projet.
Contactez-nous dès aujourd'hui pour réserver une démonstration.
