- Voir ISO 27002:2022 Contrôle 7.1 pour en profiter.
- Voir ISO 27001:2013 Annexe A 11.1.1 pour en profiter.
Qu'est-ce que l'ISO 27001:2022 Annexe A 7.1 ?
ISO 27001: 2022 L'Annexe A 7.1 exige que les organisations établissent des périmètres de sécurité et les utilisent pour protéger les informations et les actifs associés.
Informations et actifs de sécurité de l'information expliqués
Les informations peuvent être décrites comme toute donnée, connaissance ou idée qui a de la valeur pour une organisation ou une entreprise. Cela inclut tous les détails obtenus sur les individus, les clients, les partenaires, les employés et autres parties prenantes.
Les actifs de sécurité de l’information peuvent être globalement classés en :
Date
Les données et les informations sont souvent confondues, mais il existe une différence nette. Les données sont brutes, non traitées et généralement inutiles sous leur forme actuelle. D'un autre côté, les informations sont des données qui ont été organisées dans un format utilisable, tel qu'un e-mail ou un numéro de téléphone.
Infrastructure
L'infrastructure englobe tous les composants d'un réseau (serveurs, imprimantes, routeurs, etc.) pour créer un système cohérent.
Infrastructure logicielle, telle que systèmes d'exploitation et les applications doivent être protégées contre les cybermenaces, tout comme le matériel. Pour éviter toute exploitation par des pirates malveillants cherchant à accéder à des données sensibles, les deux doivent être régulièrement mis à jour avec des correctifs et des correctifs pour toute vulnérabilité exposée par les pirates.
Explication des périmètres de sécurité physique
La sécurité physique fait référence aux mesures physiques qui protègent les ressources et les locaux d'une organisation. Il s’agit d’un élément fondamental et indispensable de la sécurité de l’information. Cela implique bien plus que simplement verrouiller la porte ; cela implique également de savoir qui a accès à quoi, quand, où et comment.
Les périmètres de sécurité physique identifient les limites physiques d'un bâtiment ou d'une zone et en contrôlent l'accès. Des clôtures, murs, portails et autres barrières peuvent être utilisés pour empêcher l’entrée non autorisée de personnes ou de véhicules. De plus, des équipements de surveillance électronique tels que des caméras de vidéosurveillance peuvent être utilisés pour surveiller les activités à l’extérieur de l’installation.
Les périmètres de sécurité physique offrent la première couche de protection contre les personnes extérieures qui tentent d'accéder à votre système informatique via une connexion filaire ou sans fil dans une entreprise. Ils sont fréquemment associés à des contrôles supplémentaires de sécurité des informations, tels que des systèmes de gestion des identités, de contrôle d’accès et de détection d’intrusion.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Guide sur la norme ISO 27001:2022 Annexe A 7.1
La norme ISO 27001:2022 Annexe A 7.1 garantit qu'une organisation peut démontrer qu'elle a mis en place des limites de sécurité physique appropriées pour empêcher l'accès physique non autorisé aux informations et autres actifs associés.
Cela implique de prendre des mesures pour empêcher :
- L'entrée non autorisée dans les bâtiments, les pièces ou les zones contenant des actifs informationnels est interdite.
- Le retrait des biens sans autorisation des locaux est inacceptable.
- L'utilisation non autorisée des actifs des locaux, tels que les ordinateurs et appareils associés, n'est pas autorisée.
- La falsification non autorisée des équipements de communication électroniques, tels que les téléphones, les fax et les terminaux informatiques, n'est pas autorisée.
Il est possible de mettre en œuvre des périmètres de sécurité physique de deux manières différentes :
Contrôle d'accès physique – garantit l’accès aux installations et aux bâtiments ainsi que les déplacements à l’intérieur de ceux-ci. Cela inclut le verrouillage des portes, des alarmes, des clôtures et des barrières.
Sécurité du matériel – permet de contrôler les équipements physiques, tels que les ordinateurs, les imprimantes et les scanners, qui traitent des données contenant des informations sensibles.
Ce contrôle aide protéger les informations et autres actifs connexes, tels que les documents, dossiers et équipements confidentiels, en empêchant toute utilisation non autorisée de l'espace, de l'équipement et des fournitures des installations.
Qu'est-ce que cela implique et comment répondre aux exigences
Des lignes directrices à prendre en compte pour les périmètres de sécurité physique devraient être adoptées lorsque cela est possible :
- Établir des barrières de sécurité et identifier l'emplacement exact et la force de chacune, conformément aux réglementations en matière de sécurité de l'information concernant les ressources situées à l'intérieur de la frontière.
- Assurer la sécurité physique d'un bâtiment ou d'un site abritant des systèmes informatiques est essentiel, sans failles ni points faibles dans le périmètre où une effraction pourrait être facilitée.
- Les surfaces extérieures du site, y compris les toits, les murs, les plafonds et les sols, doivent être de construction robuste et toutes les portes extérieures doivent être équipées de mécanismes de contrôle tels que des barres, des alarmes et des serrures pour empêcher toute entrée non autorisée.
- S'assurer que les fenêtres et les portes sont verrouillées lorsqu'elles sont inoccupées et envisager une sécurité extérieure pour les fenêtres, notamment au rez-de-chaussée ; la ventilation doit également être prise en compte.
Pour plus d’informations sur ce qui est attendu pour la conformité à la norme ISO 27001:2022, consultez la documentation associée.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 7.1 remplace ISO 27001:2013 Annexe A 11.1.1 ; le contexte et le sens restent largement similaires, bien que formulés différemment.
La version 2022 a vu une réduction des exigences de mise en œuvre par rapport au contrôle précédent.
L'annexe A 7.1 ne répond pas aux exigences détaillées dans l'annexe A 11.1.1, qui sont les suivantes :
- Il devrait y avoir une zone de réception dotée de personnel ou un autre moyen de gérer entrée physique au site ou au bâtiment.
- Seul le personnel autorisé doit être autorisé à accéder aux sites et aux bâtiments.
- Construisez des barrières physiques, le cas échéant, pour empêcher l’accès physique non autorisé et éviter la contamination de l’environnement.
- Il est nécessaire d'installer des systèmes de détection d'intrusion répondant aux normes nationales, régionales ou internationales et de les tester régulièrement pour sécuriser toutes les portes extérieures et fenêtres accessibles.
- Toutes les zones inoccupées doivent être équipées d'un système d'alarme à tout moment.
- Nous devrions assurer la couverture d’autres zones, telles que les salles informatiques et de communication.
- L'organisation doit garder ses installations de traitement de l'information physiquement séparées de celles gérées par des sources externes.
Aucune omission ne réduit l’efficacité de la nouvelle norme ISO 27001:2022 ; au lieu de cela, ils ont été éliminés pour rendre le contrôle plus facile à utiliser et à comprendre.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Qui est en charge de ce processus ?
Construction Chief Information Officer (CIO) est le leader responsable de la protection des données et des systèmes de l’entreprise. Ils travaillent avec d'autres dirigeants pour prendre en compte la sécurité lors de la prise de décisions commerciales, comme le directeur financier et le directeur général. La mise en œuvre de politiques et de procédures pour protéger les informations de l'entreprise est un élément clé du rôle du DSI.
Le directeur financier a un rôle à jouer dans la décision sur les périmètres de sécurité physique. En collaboration avec d'autres cadres supérieurs, y compris le CIO, ils décident du montant à investir dans les mesures de sécurité physique telles que les caméras de surveillance, les contrôles d'accès et les alarmes.
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Que signifient ces changements pour vous ?
La norme ISO 27001:2022 ne constitue pas une refonte majeure, aucune modification significative n'est donc nécessaire pour la conformité.
Il vaut la peine d’examiner votre mise en œuvre actuelle pour garantir qu’elle est conforme aux nouvelles exigences. En particulier, si des modifications ont été apportées depuis la version de 2013. Il convient de réévaluer ces modifications pour déterminer si elles restent valides ou doivent être modifiées.
Comment ISMS.Aide en ligne
ISMS.online peut aider à prouver la conformité à la norme ISO 27001 en fournissant un système en ligne qui permet le stockage des documents dans un emplacement unique et accessible. Il facilite également l'élaboration de listes de contrôle pour chaque document, facilitant ainsi l'examen et la modification des documents.
Souhaitez-vous découvrir comment cela fonctionne ?
Contactez-nous aujourd'hui pour réserver une démonstration.