- Voir ISO 27002:2022 Contrôle 7.3 pour plus d'informations.
- Voir ISO 27001:2013 Annexe A 11.1.3 pour plus d'informations.
Qu'est-ce que l'ISO 27001:2022, annexe A 7.3 ?
L’annexe A 7.3 de la norme ISO 27001:2022 décrit les exigences relatives à la construction et à la mise en œuvre de la sécurité physique des bureaux, des chambres et des lieux.
Ce contrôle encourage les organisations à mettre en place des mesures appropriées pour empêcher tout accès non autorisé aux locaux, bureaux et installations, notamment en matière de sécurité de l'information . Ces mesures peuvent inclure des serrures, des alarmes, des agents de sécurité ou tout autre moyen adéquat pour protéger la sécurité de l'information.
La sécurité physique des bureaux, des chambres et des installations expliquée
La sécurité physique est une composante essentielle de la sécurité de l’information. Les deux doivent être pris en compte ensemble. La sécurité de l'information est la protection des données et des systèmes contre tout accès, utilisation, divulgation, perturbation, altération ou destruction non autorisés.
La sécurité physique implique de prendre des mesures pour protéger le personnel, les installations, les équipements et autres actifs contre les dangers potentiels, tels que le cambriolage, le sabotage, le terrorisme et autres activités criminelles, en réduisant les risques associés.
Déterminer si un lieu contient des informations sensibles est la première étape de la sécurité physique . Il peut s'agir de bureaux, de pièces ou d'installations abritant des ordinateurs contenant des données sensibles, ou de lieux où se trouve du personnel autorisé à accéder à des informations sensibles.
Serrures et clés
Sécurisez toutes les portes, fenêtres et placards ; apposer des sceaux de sécurité sur les ordinateurs portables et les appareils mobiles ; installer une protection par mot de passe pour les ordinateurs ; chiffrer les données sensibles.
CCTV
Les caméras en circuit fermé constituent un moyen efficace de surveillance de l'activité sur le terrain ou dans des zones particulières d'une structure.
Alarmes d'intrusion
Le mouvement, la chaleur ou le son peuvent déclencher ces alarmes, qui vous alertent de tout intrus ou personne non autorisée dans une zone (par exemple, une alarme de sécurité se déclenche si quelqu'un tente de s'introduire par effraction dans le bureau).
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Quel est l’objectif de l’Annexe A 27001 de la norme ISO 2022 : 7.3 ?
L'objectif du contrôle 7.3 de l'annexe A de la norme ISO 27001:2022 est de protéger les informations et autres actifs associés de l'organisation dans les bureaux, les salles et les installations contre tout accès physique non autorisé, tout dommage et toute interférence.
L'objectif principal de la norme ISO 27001:2022 Annexe A 7.3 est de réduire le risque d'accès physique non autorisé aux bureaux, aux salles et aux installations à un niveau acceptable en :
- Il est essentiel d’empêcher les personnes non autorisées d’entrer dans les bureaux, les pièces et les installations. Tout le personnel doit être autorisé avant de pouvoir accéder.
- Empêcher tout dommage ou toute perturbation des données de l'organisation et d'autres actifs associés dans les zones de travail, les salles et les installations.
- Assurez-vous que les zones sensibles en matière de sécurité des informations sont discrètes afin qu’il soit difficile de discerner leur objectif.
- Minimiser les risques de vol ou de perte de biens dans les bureaux, les chambres et les installations.
- Assurer l’identification du personnel autorisé à accéder physiquement via une combinaison d’uniformes, de systèmes d’entrée électronique et de laissez-passer pour les visiteurs.
- Dans la mesure du possible, des systèmes de vidéosurveillance ou d'autres systèmes de surveillance doivent être mis en œuvre pour assurer la sécurité dans les zones vitales telles que les portes/sorties.
L'annexe A 7.3 concerne toutes les structures utilisées par l'organisation pour les bureaux ou les opérations administratives. Elle couvre également les pièces dans lesquelles des données confidentielles sont conservées ou traitées, y compris les zones où se déroulent des conversations sensibles.
Cela n'inclut pas les zones de réception ou autres parties publiques des locaux d'une organisation, à moins qu'elles ne soient utilisées à des fins administratives, par exemple lorsqu'une zone de réception sert de bureau.
Qu'est-ce que cela implique et comment répondre aux exigences
L'annexe A 7.3 de la norme ISO 27001:2022 stipule que les locaux et les installations doivent être sécurisés. Pour répondre à ces exigences, les mesures de sécurité suivantes doivent être prises :
- Localiser les installations critiques pour empêcher l’accès du public.
- Veiller à ce que les bâtiments ne soient pas intrusifs et démontrent un minimum d'indications quant à leur objectif, sans aucun signe clair, à l'intérieur ou à l'extérieur du bâtiment, indiquant que des activités de traitement de l'information ont lieu.
- Mettre en place des systèmes pour protéger les données et activités confidentielles contre toute écoute ou vue de l’extérieur. Un blindage électromagnétique peut être nécessaire.
- Assurez-vous que les annuaires, les annuaires téléphoniques internes et les cartes en ligne indiquant la localisation des installations de traitement d'informations confidentielles sont accessibles à toute personne non autorisée.
Pour plus de détails sur l'atteinte du contrôle stipulé dans la norme ISO 27001:2022, consultez le document.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27001:2013
L’annexe A 7.3 de la norme ISO 27001:2022 remplace l’annexe A 11.1.3 de la norme ISO 27001:2013 dans la norme révisée de 2022.
L'Annexe A 7.3 n'est pas un nouveau contrôle. Il s'agit d'une version modifiée de l'Annexe A 11.1.3 de la norme ISO 27001:2013. La distinction la plus significative entre les versions 2013 et 2022 est que le numéro de contrôle de l'annexe A a été modifié. Hormis cet ajustement, le contexte et le sens général restent inchangés, malgré la reformulation.
Le contrôle de l'annexe A 2022 comprend un tableau d'attributs et une déclaration d'intention, qui sont absents de la version 2013.
Qui est en charge de ce processus ?
La première personne à consulter lors de l'aménagement des bureaux, des chambres et des installations est généralement le gestionnaire ou le directeur en charge du bâtiment et de son contenu.
Le responsable de la sécurité supervise la sécurité dans toutes les zones, y compris les bureaux et les installations. Il/Elle garde un œil sur tout le personnel ayant accès à ces zones et s’assure que leur utilisation est appropriée.
Dans certains cas, plusieurs personnes peuvent être responsables de la sécurité. Par exemple, lorsqu'une personne a accès à des informations sensibles qui pourraient être préjudiciables à l'entreprise ou à la vie privée des autres membres du personnel, il est essentiel que plusieurs personnes soient impliquées dans sa sécurité.
Le service RH est responsable des politiques d'assurance et des avantages sociaux des employés, tandis que le service informatique gère les systèmes et réseaux informatiques. Les deux départements sont impliqués dans la gestion de la sécurité physique, ainsi que dans les problèmes de cybersécurité tels que les escroqueries par phishing et les tentatives d'accès non autorisées.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Que signifient ces changements pour vous ?
Aucune modification significative n'est nécessaire pour se conformer à la version la plus récente de la norme ISO 27001:2022.
Évaluez votre solution de sécurité des informations existante pour vous assurer qu’elle répond à la norme renouvelée. Si vous avez modifié quelque chose depuis 2013, date de parution de la dernière édition, envisagez de revoir ces modifications pour décider si elles sont toujours applicables ou si elles doivent être révisées.
NHS Professionals obtient la certification ISO 27001 et améliore sa gestion de la sécurité de l'information
Confrontée à un délai serré de six mois et à de multiples cadres existants à intégrer, NHS Professionals avait besoin d'une plateforme capable d'intégrer la norme ISO 27001 sans dupliquer les politiques ni ajouter de risques à son environnement de conformité déjà complexe.
L'outil Xergy Proteus génère de la croissance grâce à la conformité ISO 27001 grâce à ISMS.online
En tant que start-up développant des logiciels pour des secteurs d'ingénierie hautement réglementés, Xergy avait besoin de la norme ISO 27001 pour générer de la croissance grâce à la confiance — et d'un partenaire externe éprouvé pour gérer les exigences rigoureuses sans détourner l'équipe de développement.
Comment Blue Services a réussi à obtenir la triple certification ISO
Blue Services avait besoin d'un soutien externe pour les guider dans la mise en œuvre des normes ISO 27001, ISO 9001 et ISO 14001 et des meilleures pratiques, ainsi que d'une plateforme pour centraliser leur gestion globale de la conformité.
Comment Evolution Funding a réussi sa certification ISO 27001
L’obtention de la certification ISO 27001 était un objectif primordial pour Evolution Funding. L’équipe avait besoin d’une plateforme centralisée pour mettre en œuvre la norme ISO 27001 et mener à bien le processus de conformité.
Comment 4way Consulting a ouvert la voie au succès de la norme ISO 27001
Gérant des données clients sensibles selon de multiples normes, 4way avait besoin d'un moyen rentable et rapide d'obtenir la certification ISO 27001, sans avoir à créer un système de gestion de l'information (SGSI) à partir de zéro ni à faire appel à des consultants externes coûteux.
Succès de nesevo en matière de conformité multi-certifications avec IO
Peinant à gérer la conformité à la norme ISO 27001 à travers des documents et des feuilles de calcul dispersés, nesevo avait besoin d'une plateforme centralisée capable de les guider à travers la norme sans les coûts continus de consultants externes.
Comment ISMS.Aide en ligne
Notre plateforme est idéale pour les débutants en sécurité de l'information ou pour ceux qui souhaitent acquérir rapidement une compréhension de la norme ISO 27001:2022 sans avoir à investir du temps dans des études initiales ou dans l'examen de longs documents.
ISMS.online est équipé de tous les outils nécessaires pour respecter la conformité, notamment des modèles de documents personnalisés, des listes de contrôle et des politiques.
Contactez-nous dès maintenant pour programmer une démonstration.