- See ISO 27002:2022 Contrôle 6.3 pour plus d'informations.
- See ISO 27001:2013 Annexe A 7.2.2 pour plus d'informations.
Qu'est-ce que l'ISO 27001:2022 Annexe A 6.3 ?
ISO 27001: 2022, Annexe A 6.3, Sensibilisation, éducation et formation à la sécurité de l'information, souligne la nécessité pour le personnel de recevoir une formation appropriée en matière de sécurité de l'information, y compris des mises à jour régulières des politiques pertinentes à leurs fonctions.
Sensibilisation, éducation et formation à la sécurité de l'information expliquées
La sensibilisation, l'éducation et la formation à la sécurité de l'information (sensibilisation à la sécurité informatique) consistent à informer les utilisateurs de l'importance de la sécurité de l'information et à les inciter à améliorer leurs pratiques de sécurité informatique.
Les utilisateurs doivent être informés des risques de sécurité potentiels associés à leurs activités et informés sur la manière de s'en prémunir.
La sensibilisation, l'éducation et la formation à la sécurité de l'information sont essentielles au succès de toute organisation. Tout le personnel doit comprendre l’importance de la sécurité de l’information et les conséquences qu’elle a pour chacun.
Plus le personnel comprendra comment se protéger contre les cyber-dangers, plus votre organisation sera sécurisée.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Quel est l’objectif de l’Annexe A 27001 de la norme ISO 2022 : 6.3 ?
L'objectif de la norme ISO 27001:2022 Annexe A 6.3 est de garantir que le personnel et les parties prenantes concernées sont informés et correctement formés pour remplir leurs obligations en matière de sécurité des informations.
L'ISO 27001 :2022, Annexe A 6.3, détaille la gamme d'activités nécessaires pour garantir que le personnel possède les connaissances et les capacités nécessaires pour opérer dans le cadre de sécurité de l'information de l'organisation. Principalement, ce contrôle de l'Annexe A se concentre sur la sensibilisation à l'importance de la sécurité de l'information, la promotion des bonnes pratiques et l'encouragement de la conformité aux politiques et réglementations pertinentes.
Annexe A 6.3 expliquée
L'éducation, la sensibilisation et la formation en matière de sécurité de l'information sont des éléments essentiels de la stratégie de gestion des risques d'une organisation et doivent être intégrées dans la politique de sécurité. En fournissant aux employés les connaissances et les outils dont ils ont besoin, les organisations peuvent garantir que leurs mesures de sécurité sont efficaces.
L'annexe A 27001 de la norme ISO 2022 : 6.3 souligne la nécessité pour les entreprises de disposer d'un programme de sensibilisation à la sécurité de l'information afin d'accorder à tout le personnel les connaissances et les capacités appropriées pour protéger les ressources d'information. Il donne des conseils sur ce qui devrait être inclus dans un programme de sensibilisation productif.
L'organisation devra peut-être dispenser une formation de sensibilisation à la sécurité au moins une fois par an, ou selon l'évaluation des risques, à tout le personnel ayant accès à des informations sensibles ou à des systèmes d'information qui stockent, traitent ou transmettent des données sensibles.
Qu'est-ce que cela implique et comment répondre aux exigences
Les organisations doivent mettre en œuvre un processus garantissant que les employés sont correctement formés pour effectuer leurs tâches en toute sécurité, sans compromettre la sécurité des informations. La formation peut être dispensée en sessions ou via des ressources en ligne telles que des vidéos ou des webinaires. L'Annexe A 6.3 le précise.
Les programmes de sensibilisation, d'éducation et de formation à la sécurité de l'information doivent être développés conformément à la politique de l'organisation, aux politiques spécifiques à un sujet et aux procédures de sécurité pertinentes. Cette opération doit prendre en compte les informations à protéger et les contrôles de sécurité en place pour les protéger, et doit avoir lieu régulièrement.
Il est bénéfique de sensibiliser, d’éduquer et de former les nouveaux employés et ceux qui évoluent vers des postes nécessitant différents niveaux de sécurité.
Une campagne de sensibilisation doit comprendre plusieurs activités pour accroître la compréhension. Cela pourrait impliquer des campagnes, des brochures, des affiches, des bulletins d'information, des sites Web, des séances d'information, des briefings, des modules d'apprentissage en ligne et des courriers électroniques.
Conformément à l'annexe A 6.3, ce programme devrait comprendre :
- La direction se consacre à assurer la sécurité des informations dans toute l’organisation.
- Connaissance et respect des procédures de sécurité de l'information pertinentes, y compris la politique de sécurité et toute politique, réglementation, loi, contrat et accord supplémentaire concernant la sécurité de l'information.
- Responsabilité personnelle de ses propres actions et inactions, responsabilité de protéger les informations appartenant à l'organisation et à ses parties prenantes ; ce qui est essentiel.
- Procédures de sécurité de base comme rapport d'événements liés à la sécurité de l'information (voir annexe A 6.8) et des contrôles de base tels que la sécurité des mots de passe doivent être respectés.
- Points de contact et ressources sur la sécurité des informations, y compris du matériel supplémentaire de sensibilisation à la sécurité des informations.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27001:2013
La norme ISO 27001:2022 n'est pas un contrôle entièrement nouveau. Cette version de l'ISO 27001, publiée en octobre 2022, met à jour la version précédente ISO 27001:2013.
La norme ISO 27001 : 2013, Annexe A, Contrôle 7.2.2 ne dispose pas du tableau des attributs et de la déclaration d'objectif fournis dans la norme ISO 27001 : 2022, Annexe A, Contrôle 6.3.
Malgré la variation des numéros de contrôle, il ne semble y avoir aucune autre distinction entre les deux contrôles de l'annexe A. Bien que le libellé des deux contrôles de l'annexe A varie, leur signification et leur objectif restent les mêmes.
L'Annexe A Contrôle 6.3 a été conçue pour être plus conviviale, permettant aux utilisateurs de mieux comprendre son contenu.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Qui est en charge de ce processus ?
Cette réponse dépend de votre organisation. Les équipes de sécurité de nombreuses organisations gèrent leur sensibilisation à la sécurité de l'information, leurs programmes d'enseignement et de formation. Certaines organisations confient cependant cette tâche au service RH ou à une autre branche.
Il est essentiel de veiller à ce que quelqu'un prenne en charge la formulation et l'exécution du programme de sensibilisation à la sécurité de votre organisation. Le responsable de la sécurité de l'information doit superviser cette personne/ce département (s'il est différent d'eux-mêmes).
Cette personne doit posséder de solides connaissances en matière de sécurité de l'information et être capable de converser avec le personnel concernant divers protocoles de sécurité. De plus, ils devraient être en mesure de créer du contenu pour vos programmes de formation et d’organiser des formations récurrentes pour le personnel.
Il est essentiel de comprendre que la sécurité de l’information n’est pas simplement la responsabilité de l’informatique. Tous les employés doivent être tenus responsables. Les entreprises doivent créer une équipe dédiée à la sécurité, mais elles doivent également s'assurer que chacun comprenne l'importance de la confidentialité et de la fiabilité.
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Que signifient ces changements pour vous ?
L'ISO 27001:2022 Annexe A 6.3 est une révision de l'ISO 27001:2013 Annexe A 7.2.2 et non une nouvelle Annexe A Contrôle. Par conséquent, la plupart des organisations n’auront besoin de rien modifier.
Si vous avez déjà mis en œuvre la version 2013 de la norme ISO 27001, vous devez évaluer si ces changements sont pertinents pour votre entreprise. De même, si vous prévoyez ISMS certification, vous devez revoir vos processus de sécurité pour garantir qu’ils répondent à la norme révisée.
Comment ISMS.Online aide
ISMS.en ligne fournit une solution complète pour la mise en œuvre de la norme ISO 27001:2022. Il s'agit d'une plate-forme Web qui permet aux organisations de démontrer leur conformité aux normes ISO 27001 grâce à des processus, des procédures et des listes de contrôle rationalisés.
Cette plateforme facilite non seulement la mise en œuvre de la norme ISO 27001, mais constitue également une excellente ressource pour former le personnel aux meilleures pratiques en matière de sécurité de l'information et documenter tous les efforts.
Les avantages de l’utilisation d’ISMS.Online sont nombreux :
- Cette plateforme est facile à utiliser et accessible depuis n’importe quel appareil.
- Il est entièrement réglable pour s'adapter à vos besoins.
- Flux de travail et processus personnalisés adaptés aux besoins de votre entreprise.
- Ressources de formation pour aider les nouveaux membres du personnel à acquérir des compétences plus rapidement.
- La bibliothèque contient des modèles pour divers documents, notamment des politiques, des procédures, des plans et des listes de contrôle.
ISMS.online rationalise le mise en œuvre de la norme ISO 27001, offrant toutes les ressources, informations et outils dont vous avez besoin en un seul endroit. Quelques clics de souris suffisent pour garantir que votre SMSI répond à la norme.
Contactez-nous maintenant pour organiser une démonstration.
