- Voir ISO 27002:2022 Contrôle 7.10 pour en profiter.
- Voir ISO 27001:2013 Annexe A 8.3.1 pour en profiter.
- Voir ISO 27001:2013 Annexe A 8.3.2 pour en profiter.
- Voir ISO 27001:2013 Annexe A 8.3.3 pour en profiter.
- Voir ISO 27001:2013 Annexe A 11.2.5 pour en profiter.
ISO 27001 Annexe A 7.10 : Protection des données sensibles sur les supports de stockage
L'utilisation de périphériques de stockage, tels que les disques SSD, USB, disques externes et mobiles, est essentielle pour de nombreuses opérations essentielles de traitement des informations, notamment la sauvegarde, le stockage et le transfert de données.
Le stockage de données sensibles et importantes sur ces appareils présente des risques pour l'exactitude, le secret et l'accessibilité des ressources d'information. Ces risques peuvent impliquer la disparition ou le vol de supports de stockage contenant des informations confidentielles, la transmission de logiciels malveillants sur tous les réseaux informatiques de l'entreprise via les supports de stockage, ainsi que la panne ou la réduction de la qualité des supports de stockage utilisés pour la sauvegarde.
L'annexe A 27001 de la norme ISO 2022:7.10 décrit les mesures que les organisations doivent prendre pour garantir la sécurité des supports de stockage tout au long de leur cycle de vie, de l'acquisition à la mise au rebut. Des politiques et des contrôles doivent être mis en place pour garantir sa sécurité.
Objet de la norme ISO 27001:2022 Annexe A 7.10
ISO 27001:2022 Annexe A 7.10 aide les organisations à atténuer et à éliminer les risques associés à l'accès, à l'utilisation, à la suppression, à la modification et à la transmission non autorisés de données confidentielles conservées sur des périphériques de stockage. Il établit des procédures de gestion des supports de stockage tout au long de leur cycle de vie.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Que couvre l’annexe A 7.10 ?
L'annexe A 27001 de la norme ISO 2022 : 7.10 concerne les supports de stockage numériques et physiques. Par exemple, le stockage de données sur des documents physiques est également couvert par ce contrôle.
Outre les supports de stockage amovibles, les disques durs en tant que forme de stockage fixe sont également soumis à la norme ISO 27001:2022, annexe A 7.10.
Propriété de l'annexe A 7.10
La norme ISO 27001 :2022, Annexe A 7.10, oblige les organisations à créer et exécuter des procédures appropriées, des contrôles techniques et des politiques à l'échelle de l'organisation concernant l'utilisation des supports de stockage conformément au propre système de classification de l'organisation et à toute manipulation de données. exigences telles que légales et contractuelles conditions.
Responsables de la sécurité de l'information devrait prendre en charge l’ensemble du cycle de conformité.
Guide sur la conformité à la norme ISO 27001:2022 Annexe A 7.10
Supports de stockage amovibles
Les supports amovibles sont indispensables à de nombreuses opérations commerciales et sont largement utilisés par le personnel. Cependant, ce sont eux qui présentent le plus grand risque pour les données sensibles.
La norme ISO 27001 :2022, annexe A 7.10, définit dix conditions que les organisations doivent respecter pour la gestion des supports de stockage amovibles pendant leur cycle de vie :
- Les organisations doivent créer une politique axée sur l'acquisition, l'autorisation, l'utilisation et l'élimination des supports de stockage amovibles, en informant tout le personnel et les parties concernées de son existence.
- Les organisations devraient, lorsque cela est pratique et nécessaire, mettre en œuvre des procédures d'autorisation pour le retrait de supports de stockage amovibles hors des locaux de l'entreprise. De plus, un journal des déménagements doit être conservé pour suivi des audits.
- Conservez tous les supports de stockage amovibles dans un endroit sécurisé comme un coffre-fort, en tenant compte des classification des informations niveau attribué à l’information et toute menace environnementale et physique envers les médias.
- Si le maintien de la confidentialité et de la fiabilité des informations sur les supports amovibles est de la plus haute importance, des méthodes cryptographiques doivent être utilisées pour protéger les supports contre tout accès non autorisé.
- Pour éviter la détérioration des supports de stockage amovibles et la perte de données, les informations doivent être déplacées vers un nouveau périphérique de stockage avant que le risque ne survienne.
- Il est crucial de copier et de stocker les données sensibles sur plusieurs supports de stockage afin de réduire le risque de perte d'informations critiques.
- Pour réduire le risque de perte totale de données, l'enregistrement des périphériques de stockage amovibles peut être une solution viable.
- Sauf nécessité professionnelle, les ports USB et les emplacements pour cartes SD ne doivent pas être utilisés.
- Il est nécessaire de surveiller le transfert d'informations vers tout périphérique de stockage amovible.
- Lors du transfert d'informations contenues dans des documents physiques par courrier ou par coursier, il existe un risque élevé d'accès non autorisé. Pour contrer cela, des mesures appropriées doivent être prises.
Conseils sur la réutilisation et l'élimination sécurisées des supports de stockage
ISO 27001: 2022 L'annexe A 7.10 propose des orientations sur la réutilisation et l'élimination sécurisées des supports de stockage pour aider les organisations à réduire et à éliminer le risque de violation de la confidentialité des informations.
Annexe A 7.10 stipule que les organisations doivent créer et mettre en œuvre des plans de recyclage et d'élimination des supports de stockage, en tenant compte de la sensibilité des données conservées sur les supports de stockage.
Les organisations doivent prendre en compte les éléments suivants lors de la mise en place de ces mesures :
- Si l'entité interne d'une organisation souhaite réutiliser un support de stockage, les informations sensibles qui y sont hébergées doivent être irrévocablement supprimées ou reformatées avant autorisation.
- La destruction sécurisée des supports de stockage hébergeant des informations sensibles est nécessaire une fois qu’elles ne sont plus nécessaires. Les documents papier peuvent être déchiquetés et les équipements numériques peuvent être physiquement détruits.
- Un système devrait être développé pour identifier les supports de stockage qui doivent être éliminés.
- Les organisations doivent faire preuve de diligence raisonnable lors de la sélection d’un tiers externe pour collecter et éliminer les supports de stockage, en s’assurant que le fournisseur choisi est compétent et qu’il dispose des contrôles appropriés.
- Documenter tous les articles éliminés pour une piste d'audit.
- Lors de la mise au rebut simultanée de plusieurs supports de stockage, il convient de prendre en compte l'effet cumulatif : la combinaison de divers éléments de données de chaque support de stockage pourrait entraîner la transformation d'informations non sensibles en éléments sensibles.
Enfin, la norme ISO 27001:2022 Annexe A 7.10 oblige les organisations à évaluer le risque lié aux données confidentielles stockées sur des équipements endommagés, afin de déterminer si l'équipement doit être détruit ou réparé.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 7.10 remplace ISO 27001:2013 Annexe A 08.3.1, 08.3.2, 08.3.3 et 11.2.5.
Il existe quatre différences notables.
Changements de structure
Contrairement à la version 2013, qui comportait trois contrôles distincts pour la gestion des médias, l'élimination des médias et le transfert de médias physiques, la version 2022 les regroupe sous l'annexe A 7.10.
Exigences pour la réutilisation des supports de stockage ajoutées à la version 2022
Contrairement à la version 2013, qui couvrait uniquement l'élimination sécurisée des supports, la version 2022 inclut également des exigences de réutilisation sécurisée des supports.
Les exigences en matière de transfert physique sont plus complètes dans la version 2013
La version 2013 comportait des exigences plus étendues en matière de transfert physique de supports de stockage, notamment la vérification de l'identité des coursiers et les normes d'emballage. En revanche, l'annexe A 7 7.10 de la version 2022 suggère uniquement que les organisations agissent avec prudence lors de la sélection des coursiers.
Politique relative aux supports de stockage amovibles spécifique à un sujet requise dans la version 2022
Bien que les versions 2022 et 2013 soient similaires en termes d'exigences en matière de supports de stockage amovibles, la version 2022 impose une politique spécifique à un sujet sur les supports de stockage amovibles. La version 2013 ne répondait pas à cette exigence.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
ISMS.en ligne adopte une approche basée sur les risques, utilisant les meilleures pratiques et modèles de pointe du secteur, pour vous aider à détecter les risques auxquels votre organisation est exposée et les contrôles nécessaires pour les gérer. Cela contribue à réduire à la fois les risques et les coûts de conformité.
Contactez-nous maintenant pour organiser une démonstration.