- Voir ISO 27002:2022 Contrôle 6.4 pour en profiter.
- Voir ISO 27001:2013 Annexe A 7.2.3 pour en profiter.
Qu'est-ce que l'ISO 27001:2022, annexe A 6.4 ?
L'Annexe A 27001 de la norme ISO 2022:6.4 exige que les organisations établissent un processus disciplinaire pour dissuader les sécurité de l'information violations.
Une communication formelle de ce processus doit être mise en œuvre et une sanction adaptée aux employés et autres parties prenantes qui enfreignent la politique de sécurité de l'information doit être établie.
Violation de la sécurité de l'information expliquée
Infos politique de sécurité les violations constituent une violation de la réglementation régissant le bon traitement des informations. Les organisations établissent ces politiques pour protéger les données confidentielles, exclusives et personnelles, telles que les dossiers clients et les numéros de carte de crédit. De plus, des politiques de sécurité informatique y sont également incluses pour garantir que les données stockées sur les ordinateurs restent sécurisées et intactes.
Si vous utilisez le courrier électronique de l'entreprise pour envoyer des communications personnelles sans l'autorisation de votre superviseur, cela pourrait constituer une violation de la politique de l'entreprise. De plus, si vous commettez une erreur lors de l'utilisation de l'équipement ou des logiciels de l'entreprise, entraînant des dommages à l'équipement ou aux données qui y sont stockées, cela constitue également une infraction à la politique de sécurité de l'information.
Si un employé enfreint la politique de sécurité des informations d'une organisation, des mesures disciplinaires ou un licenciement peuvent en résulter. Dans certaines situations, une entreprise peut choisir de ne pas licencier un travailleur qui enfreint sa politique d'utilisation de l'ordinateur, mais de prendre d'autres mesures appropriées pour mettre fin à toute nouvelle infraction à la politique de l'entreprise.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
L’objectif de la norme ISO 27001 : 2022, annexe A 6.4 ?
Le but du processus disciplinaire est de s'assurer que le personnel et toute autre partie intéressée reconnaissent les conséquences d'une violation de la politique de sécurité de l'information.
L'Annexe A 6.4 est conçue à la fois pour dissuader et aider à gérer toute violation des politiques de sécurité de l'information, en garantissant que les employés et autres parties prenantes concernées sont conscients des ramifications.
Un programme de sécurité de l'information efficace doit inclure la capacité d'administrer des mesures disciplinaires appropriées aux travailleurs qui enfreignent les réglementations sur la sécurité de l'information. Cela garantit que le personnel comprend les implications du non-respect des réglementations prédéfinies, réduisant ainsi le risque de fuite de données délibérée ou involontaire.
Voici des exemples d'activités qui pourraient être incluses lors de l'application de ce contrôle :
- Organiser des sessions de formation régulières pour tenir le personnel informé des changements de politique.
- Concevoir des mesures disciplinaires en cas de non-respect des politiques de sécurité des informations.
- Fournissez à chaque employé une copie des procédures disciplinaires de l’organisation.
- Dans des situations similaires, assurez-vous que les procédures disciplinaires sont suivies de manière cohérente.
Les mesures disciplinaires décrites dans le cadre doivent être rapidement mises en œuvre à la suite d'un incident, afin de décourager toute nouvelle violation des politiques organisationnelles.
Qu'est-ce que cela implique et comment répondre aux exigences
Rencontrer le exigences de l’Annexe A 6.4, des mesures disciplinaires doivent être prises lorsqu'il existe des preuves de non-respect des politiques, procédures ou réglementations de l'organisation. Cela inclut également toute législation et réglementation applicable.
Conformément à l'annexe A 6.4, le processus disciplinaire formel doit tenir compte des éléments suivants lors de l'adoption d'une approche progressive :
- L'étendue de la violation, sa nature, sa gravité et ses conséquences doivent être prises en compte.
- Si l'infraction était délibérée ou accidentelle.
- Qu’il s’agisse d’une première infraction ou d’une récidive.
- Il faut se demander si le transgresseur a reçu une formation suffisante.
Tenez compte de toutes les obligations juridiques, législatives, réglementaires, contractuelles et de l’entreprise pertinentes, ainsi que de tout autre facteur pertinent, lorsque vous prenez des mesures.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 6.4 remplace ISO 27001:2013 Annexe A 7.2.3 dans la version révisée 2022 de l'ISO 27001.
ISO 27001:2022 utilise un langage convivial pour garantir que les utilisateurs de la norme peuvent comprendre son contenu. Il existe des variations mineures dans la formulation, mais le contexte général et le contenu restent les mêmes.
La seule distinction que vous remarquerez est que le numéro de contrôle de l'annexe A a été modifié de 7.2.3 à 6.4. De plus, la norme 2022 présente l’avantage supplémentaire d’un tableau d’attributs et d’une déclaration d’intention qui sont absents dans la version 2013.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Qui est en charge de ce processus ?
Dans la majorité des cas, le processus disciplinaire est supervisé par le chef de service ou le représentant des RH. Il n'est pas rare que le représentant des RH confie la responsabilité des mesures disciplinaires à quelqu'un d'autre dans l'organisation, comme un expert en sécurité de l'information.
L'objectif principal des mesures disciplinaires est de protéger l'organisation de toute infraction supplémentaire de la part du membre du personnel. Il vise en outre à prévenir toute nouvelle occurrence d'incidents similaires en veillant à ce que tous les employés soient conscients de l'importance des violations de la sécurité des informations.
Il est essentiel pour toute organisation de veiller à ce que des mesures disciplinaires soient prises lorsqu'un membre du personnel a enfreint l'une de ses politiques ou procédures. Pour garantir cela, des orientations claires doivent être établies sur la manière de gérer de telles situations, y compris des instructions sur la manière de mener des enquêtes et les mesures à prendre par la suite.
Que signifient ces changements pour vous ?
Si vous vous demandez comment ces modifications vous affectent, voici un résumé concis des points les plus critiques :
- Pas besoin de recertifier ; ce n'est qu'une modification mineure.
- Conservez votre certification actuelle jusqu'à son expiration, à condition qu'elle reste valide.
- Aucune modification majeure n'a été apportée à l'ISO 27001:2022 Annexe A 6.4.
- L’objectif est d’aligner la norme sur les meilleures pratiques et normes les plus récentes.
Si vous visez à gagner Certification SMSI, vous devez évaluer vos mesures de sécurité pour vous assurer qu'elles sont conformes à la norme révisée.
Pour avoir un aperçu de l'impact que la nouvelle norme ISO 27001:2022 pourrait avoir sur vos procédures de sécurité des données et votre accréditation ISO 27001, veuillez vous référer à notre guide ISO 27001:2022 gratuit.
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Comment ISMS.Aide en ligne
ISMS.online est le leader Logiciel de système de management ISO 27001, contribuant au respect de la norme ISO 27001. Il aide les entreprises à garantir que leurs politiques et procédures de sécurité sont conformes aux exigences.
Ce plate-forme en nuage propose une gamme complète d'outils pour aider les organisations à établir un système de gestion de la sécurité de l'information (ISMS) basé sur la norme ISO 27001.
Ces outils comprennent :
- Une bibliothèque de modèles pour les documents d'entreprise fréquemment rencontrés est disponible.
- Un ensemble de lignes directrices et de protocoles préétablis est en place.
- Un outil d’audit pour faciliter les audits internes est disponible.
- Une interface permettant de personnaliser les politiques et procédures du système de gestion de la sécurité de l'information (ISMS) est fournie.
- Toutes les modifications apportées aux politiques et procédures doivent être approuvées via un processus de flux de travail.
- Créez une liste pour vous assurer que vos politiques et mesures de protection des informations sont conformes aux normes internationales.
ISMS.Online offre aux utilisateurs la possibilité de :
- Gérez facilement tous les domaines du cycle de vie du SMSI.
- Obtenez une compréhension immédiate de leur état de sécurité et de leurs problèmes de conformité.
- Intégrez-vous à d’autres systèmes tels que les ressources humaines, les finances et la gestion de projet.
- Assurer la conformité du SMSI aux critères ISO 27001.
ISMS.Online offre des conseils sur la manière d'exécuter votre SMSI de manière optimale, avec des conseils sur l'élaboration de politiques et de protocoles associés à la gestion des risques, formation de sensibilisation à la sécurité du personnel et préparation à la réponse aux incidents.
Contactez-nous maintenant pour programmer une démonstration.