- Voir ISO 27002:2022 Contrôle 7.7 pour en profiter.
- Voir ISO 27001:2013 Annexe A 11.2.9 pour en profiter.
ISO 27001 Annexe A 7.7 : Protection des informations sensibles grâce aux politiques Clear Desk et Clear Screen
ISO 27001: 2022 L'Annexe A 7.7 explique comment les organisations peuvent protéger et maintenir la confidentialité des informations sensibles sur les écrans numériques et sur papier en mettant en œuvre des règles de bureau et d'écran clairs.
Un employé qui laisse son poste de travail sans surveillance risque un accès non autorisé, une perte de confidentialité et des dommages aux informations sensibles contenues dans les supports numériques et physiques.
Par exemple, des parties malveillantes peuvent exploiter l’opportunité de voler et d’utiliser à mauvais escient des données de santé sensibles si un employé laisse son ordinateur sans surveillance pendant une pause déjeuner alors qu’il utilise un outil de gestion de la relation client.
Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 7.7 ?
La norme ISO 27001:2022 Annexe A 7.7 fournit aux organisations une méthode pour éliminer et/ou atténuer les risques d'accès non autorisé, d'utilisation, de dommage ou de perte d'informations sensibles sur les écrans et les documents des postes de travail des employés lorsqu'ils ne sont pas présents.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété de la norme ISO 27001:2022 Annexe A 7.7
Conformément à l'Annexe 7.7, les organisations doivent adopter et mettre en œuvre une politique à l'échelle de l'organisation concernant les bureaux et les écrans clairs. Les responsables de la sécurité de l’information doivent être responsables de la production, du maintien et de l’application de politiques de bureau et d’écran clairs dans toute l’organisation.
Orientations générales sur la norme ISO 27001:2022 Annexe A 7.7
L'annexe A 7.7 recommande de créer et d'appliquer une politique spécifique à un sujet qui décrit les règles pour des bureaux et des écrans clairs.
En outre, l'annexe A 7.7 spécifie sept exigences spécifiques que les organisations doivent prendre en compte lors de l'établissement et de l'application de politiques de bureau et d'écran clairs :
- Les actifs numériques et physiques contenant des informations sensibles ou critiques doivent être verrouillés de manière sécurisée lorsqu'ils ne sont pas utilisés ou lorsque le poste de travail qui les héberge est vide. Par exemple, les dossiers papier, les ordinateurs portables et les imprimantes doivent être stockés dans des meubles sécurisés tels que des tiroirs ou des armoires dotées de serrures.
- Les appareils utilisés par les employés, tels que les ordinateurs portables, les scanners, les imprimantes et les ordinateurs portables, doivent être protégés par des verrous à clé lorsqu'ils ne sont pas utilisés ou laissés sans surveillance.
- Les employés doivent laisser leurs appareils déconnectés lorsqu'ils quittent leur espace de travail et les laisser sans surveillance. La réactivation de l'appareil ne devrait être possible qu'avec l'authentification de l'utilisateur. Tous les appareils des employés, tels que les ordinateurs, doivent disposer de fonctionnalités d'expiration et de déconnexion automatiques.
- L'imprimante doit être conçue de manière à ce que les impressions puissent être récupérées immédiatement par la personne qui les a imprimées (auteur). En outre, seul l'expéditeur devrait être autorisé à collecter les impressions via un mécanisme d'authentification robuste.
- Le matériel contenant des informations sensibles, y compris les supports amovibles, doit être conservé en sécurité à tout moment. Lorsqu’ils ne sont plus nécessaires, ils doivent être éliminés de manière sécurisée.
- Il est essentiel pour les organisations de créer des règles d'affichage des pop-ups sur les écrans et de communiquer ces règles à tous les collaborateurs concernés. Par exemple, les fenêtres contextuelles (telles que les notifications par courrier électronique) contenant des informations sensibles peuvent compromettre la confidentialité des informations sensibles si elles sont affichées lors d'une présentation ou dans un espace public.
- Les tableaux blancs doivent être effacés lorsque des informations sensibles ou critiques ne sont plus nécessaires.
Orientations supplémentaires sur l'Annexe A 7.7
ISO 27001 Annexe A 7.7 avertit les organisations des risques découlant des installations libérées. Les documents physiques et numériques précédemment stockés dans une installation doivent être retirés en toute sécurité lorsqu'une organisation quitte l'établissement afin d'éviter la perte d'informations sensibles.
Par conséquent, l'annexe A 7.7 stipule que les organisations doivent établir des procédures pour la mise hors service des installations afin de garantir que les informations sensibles sont éliminées en toute sécurité. Un balayage final peut être effectué pour garantir qu’aucune information sensible n’est laissée sans protection.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?
ISO 27001:2022 Annexe A 7.7 remplace ISO 27001:2013 Annexe A 11.2.9 («Politique de bureau et d'écran clairs').
Il existe deux différences notables entre les versions ISO 27001:2022 et ISO 27001:2013 :
- La version ISO 27001:2022 n'inclut pas de critères à prendre en compte lors de l'établissement et de la mise en œuvre de politiques de bureau et d'écran clairs.
Alors que la version 2013 précise que les organisations devraient considérer l'ensemble de l'organisation classification des informations niveaux, les exigences légales et contractuelles et les types de risques auxquels ils sont confrontés lorsqu'ils établissent une politique de bureau et d'écran clairs.
La version ISO 27001:2022 ne mentionne cependant pas ces éléments. La norme ISO 27001:2022 introduit de nouvelles exigences plus complètes en matière de bureaux et d'écrans clairs.
La version ISO 27001:2022 spécifie les exigences suivantes que les organisations doivent prendre en compte lors de l'établissement de politiques de bureau et d'écran clairs :
- Les organisations doivent préserver la confidentialité des informations sensibles en créant des directives spécifiques sur les écrans contextuels.
- Supprimez les informations sensibles écrites sur un tableau blanc si vous n’en avez plus besoin.
- Les ordinateurs et autres appareils terminaux utilisés par les employés doivent être protégés par des verrous à clé lorsqu'ils ne sont pas utilisés ou sans surveillance.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
La mise en œuvre et la conformité à la norme ISO 27001 : 2022 sont simples grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus.
Votre solution complète de conformité pour ISO/CEI 27001:2022 :
- Jusqu'à 81 % de progression à partir du moment où vous vous connectez.
- Solution simple et totale de conformité à la norme ISO 27001:2022.
À planifier une démo, contactez-nous dès aujourd'hui.