- Voir ISO 27002:2022 Contrôle 7.9 pour en profiter.
- Voir ISO 27001:2013 Annexe A 11.2.6 pour en profiter.
ISO 27001:2022 Contrôle 7.9 – Sécurité des actifs en dehors du bureau
Lorsque les appareils contenant des informations précieuses sont retirés de l'emplacement physique de l'organisation, ils sont plus susceptibles d'être endommagés, volés, perdus, détruits ou violés.
Les contrôles de sécurité physique au sein des installations d'une organisation ne seront pas efficaces, laissant ses actifs hors site exposés à des menaces telles que des risques physiques et des individus malveillants tentant d'obtenir un accès non autorisé.
Collaborateurs travailler à distance peuvent retirer de l'entreprise les ordinateurs d'entreprise contenant des données confidentielles, travailler dans un café, le hall d'un hôtel, etc., se connecter à un réseau Wi-Fi public non sécurisé et laisser leurs appareils sans surveillance. Ces actions présentent un risque pour la sécurité, la confidentialité, l'intégrité et la disponibilité des informations détenues sur les appareils.
Les organisations doivent s’assurer que les appareils emportés à l’extérieur des locaux restent sécurisés.
L'annexe A 27001 de la norme ISO 2022 : 7.9 décrit comment les organisations peuvent garantir la sécurité des appareils situés à l'écart du site principal, qui hébergent des actifs informationnels. Ils doivent mettre en place des contrôles et des procédures adaptés pour y parvenir.
Objet de la norme ISO 27001:2022 Annexe A 7.9
ISO 27001: 2022 L'Annexe A 7.9 permet aux organisations de protéger la sécurité des actifs informationnels hébergés dans le matériel en contrecarrant deux risques distincts :
- Minimiser les risques de perte, d'endommagement, de destruction ou d'exposition des données contenues dans des appareils hors site.
- Éviter toute interruption du fonctionnement de l'entreprise informatique opérations contre la violation de périphériques externes.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété de l'annexe A 7.9
La norme ISO 27001:2022 Annexe A 7.9 oblige les organisations à établir et à mettre en œuvre des protocoles et des réglementations qui couvrent tous les appareils détenus ou utilisés au nom de l'entreprise. De plus, il est essentiel pour la protection efficace des appareils hors site qu'un inventaire des actifs soit créé et que la haute direction approuve l'utilisation des appareils personnels.
Gestionnaire de la sécurité de l'information devrait s'entretenir avec la direction et les propriétaires d'actifs et être responsable de l'élaboration, de l'exécution et du maintien de procédures et de mesures visant à garantir la sécurité des appareils retirés des locaux de l'entreprise.
Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 7.9
Annexe A 7.9 détaille six nécessités que les organisations doivent respecter lors de la construction et de l'application de mesures et de protocoles pour la sauvegarde des actifs retirés des locaux :
- Les ordinateurs, clés USB, disques durs et moniteurs retirés du site par l'entreprise ne doivent jamais être laissés sans surveillance dans les espaces publics comme les cafés, ni dans aucun endroit non sécurisé.
- Respectez à tout moment les instructions et les spécifications du fabricant de l'appareil concernant la protection physique de l'appareil. Par exemple, respectez leurs instructions pour protéger l'appareil de l'eau, de la chaleur, des champs électromagnétiques et de la poussière.
- Les employés et autres organisations qui transportent du matériel informatique en dehors des locaux de l'entreprise doivent tenir un journal détaillant la chaîne de traçabilité. Ce journal doit inclure, au minimum, les noms des personnes responsables de l'appareil et leur organisation.
- Si une organisation estime qu’une autorisation est nécessaire et pratique pour retirer du matériel des locaux de l’entreprise, elle doit établir une procédure. Cette procédure doit couvrir le retrait de certains équipements hors site et conserver un enregistrement de toutes les actions de retrait afin de fournir à l'organisation un Piste d'audit.
- Il est essentiel de prendre les mesures nécessaires pour éviter le risque de visualisation non autorisée de données sur les écrans des transports publics.
- L'organisation doit installer des outils de suivi de localisation et permettre l'accès à distance, afin que la localisation de l'appareil puisse être surveillée et, si nécessaire, toutes les données stockées sur l'appareil puissent être effacées à distance.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Orientations supplémentaires sur l'Annexe A 7.9
L'Annexe A 27001 de la norme ISO 2022 :7.9 définit les exigences relatives à la protection des équipements installés de manière permanente à l'extérieur des locaux d'une entreprise.
Cet équipement pourrait comprendre des antennes et des guichets automatiques.
Compte tenu du risque accru de dommages et de perte de cet équipement, l'annexe A 7.9 oblige les organisations à prendre en compte les éléments suivants lors de leur protection hors site :
- La norme ISO 27001 :2022, Annexe A 7.4, Surveillance de la sécurité physique, doit être prise en compte.
- Veiller à ce que la norme ISO 27001:2022 Annexe A 7.5 soit prise en compte, qui concerne la protection contre les menaces environnementales et physiques.
- Des contrôles d'accès doivent être créés et des mesures appropriées doivent être prises pour mettre fin aux interférences.
- Créez et appliquez des contrôles d’accès logiques.
L'annexe A 7.9 conseille aux organisations de garder à l'esprit l'annexe A 6.7 et l'annexe A 8.1 lors de la formulation et de la mise en place de mesures de protection des dispositifs et équipements.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 7.9 remplace ISO 27001:2013 Annexe A 11.2.6.
Il y a trois distinctions majeures à noter :
ISO 27001:2022 Annexe A Contrôle 7.9 nécessite un ensemble complet d'instructions.
L'Annexe A 7.9 introduit deux nouvelles exigences par rapport à sa version ISO 27001:2013 :
- Des mesures appropriées doivent être prises pour empêcher les personnes non autorisées de voir les informations affichées dans les transports publics.
- La surveillance de la localisation et l'accès à distance doivent être activés pour permettre le suivi de l'appareil et la possibilité d'effacer à distance les informations stockées sur l'appareil, si nécessaire.
L'annexe A 7.9 introduit de nouveaux critères pour les appareils situés en permanence à l'écart des locaux.
Par rapport à la version ISO 27001:2013, l'ISO 27001:2022 Annexe A 7.9 fournit des conseils distincts sur la sécurisation des équipements fixés dans un emplacement hors site.
Il pourrait s'agir d'antennes et de guichets automatiques.
L'interdiction du travail à distance est mise en place pour réduire les risques.
La version ISO 27001:2013 indiquait clairement que les organisations pouvaient interdire à leurs employés de travailler à distance si cela était cohérent avec les niveaux de risque identifiés. En revanche, la version ISO 27001:2022 ne le mentionne pas.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
ISMS.online est l'outil parfait pour gérer une mise en œuvre de la norme ISO 27001:2022. Il est conçu pour aider les entreprises à mettre en œuvre un système de gestion de la sécurité de l'information (ISMS) qui répond aux normes ISO 27001:2022.
La plateforme utilise une approche basée sur les risques, ainsi que des meilleures pratiques et modèles de pointe, pour vous aider à reconnaître les risques auxquels votre organisation est confrontée et les contrôles nécessaires pour les gérer. Ce faisant, vous pouvez minimiser efficacement votre exposition aux risques et vos coûts de conformité.
Contactez-nous maintenant pour organiser une démonstration.