- Voir ISO 27002:2022 Contrôle 8.22 pour en profiter.
- Voir ISO 27001:2013 Annexe A 13.1.3 pour en profiter.
ISO 27001 Annexe A 8.22 : Renforcement de la sécurité grâce à la séparation des réseaux
Lorsque les cybercriminels infiltrent des systèmes, des services ou des appareils informatiques, ils ne se limitent pas à ces seuls actifs.
Ils profitent de la première infiltration pour pénétrer dans l'ensemble du réseau d'une entreprise, accéder à des données sensibles ou lancer des attaques de ransomware.
Les cybercriminels pourraient voler les informations de connexion du personnel RH d'un hôpital après une attaque de phishing réussie, leur permettant ainsi d'accéder aux systèmes RH.
Grâce à leur point d'accès, les attaquants peuvent traverser le réseau et découvrir des réseaux contenant des données confidentielles sur les patients. Cette intrusion pourrait entraîner une perte de données, perturber les opérations, voire ouvrir la porte à une attaque de ransomware.
L'hôpital pourrait empêcher tout accès non autorisé aux données confidentielles et réduire les conséquences d'une violation en utilisant des techniques de segmentation du réseau telles que des pare-feu, des réseaux virtuels ou l'isolation des serveurs.
L'ISO 27001 :2022, Annexe A 8.22, décrit comment les entreprises peuvent appliquer et préserver des méthodes de ségrégation de réseau appropriées pour éviter les risques pour la disponibilité, l'intégrité et la confidentialité des actifs informationnels.
Objet de la norme ISO 27001:2022 Annexe A 8.22
La norme ISO 27001:2022 Annexe A 8.22 permet aux organisations de diviser leurs réseaux informatiques en sous-réseaux en fonction du degré de sensibilité et d'importance, et de limiter la transmission d'informations entre ces différents sous-réseaux.
Les organisations peuvent l'utiliser pour empêcher les logiciels malveillants et les virus de voyager des réseaux infectés vers ceux contenant des données sensibles.
Cela garantit que organisations sécurisées la confidentialité, l’intégrité et l’accessibilité des actifs de données stockés sur les sous-réseaux essentiels.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété de l'annexe A 8.22
L'espace Agent de sécurité de l'information doit être tenu responsable du respect de la norme ISO 27001:2022 Annexe A 8.22, qui exige la segmentation des réseaux, des appareils et des systèmes en fonction des risques et l'application de techniques et de procédures de ségrégation des réseaux.
Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.22
Les organisations doivent s’efforcer d’atteindre un équilibre entre les nécessités opérationnelles et les inquiétudes en matière de sécurité lorsqu’elles instituent des réglementations sur la ségrégation des réseaux.
ISO 27001: 2022 Annexe A Control 8.22 fournit trois recommandations à prendre en compte lors de la mise en place de la ségrégation du réseau.
Comment séparer le réseau en sous-réseaux plus petits
Lorsqu'elles divisent le réseau en sous-domaines plus petits, les organisations doivent tenir compte de la sensibilité et de l'importance de chaque domaine réseau. En fonction de cette évaluation, les sous-domaines du réseau peuvent être étiquetés comme « domaines publics », « domaines de bureau », « domaines de serveur » ou « systèmes à haut risque ».
Les organisations doivent prendre en compte les services métiers tels que les ressources humaines, le marketing et les finances dans le processus de segmentation de leur réseau.
Les organisations peuvent également fusionner ces deux critères, en attribuant des sous-domaines de réseau en catégories telles que « domaine de serveur lié au service commercial ».
Périmètres de sécurité et contrôle d'accès
Les organisations doivent délimiter explicitement les frontières de chaque sous-domaine du réseau. S'il doit y avoir un accès entre deux domaines réseau différents, cette connexion doit être limitée au niveau périmétrique grâce à l'utilisation de passerelles telles que des pare-feu ou des routeurs filtrants.
Les organisations doivent évaluer les besoins de sécurité de chaque domaine lors de l'établissement de la séparation du réseau et lors de l'octroi de l'accès via des passerelles.
Cette évaluation doit être menée conformément à la politique de contrôle d'accès mandatée par la norme ISO 27001:2022 Annexe A 5.15, en tenant compte des éléments suivants :
- La classification attribuée aux actifs d'informations correspond à quel niveau.
- L’importance de l’information est primordiale.
- Le coût et l’aspect pratique sont des facteurs majeurs lorsqu’il s’agit de décider quelle technologie de passerelle utiliser.
Réseaux sans fil
ISO 27001: 2022 L'Annexe A 8.22 recommande aux organisations de respecter les pratiques suivantes lors de la création de paramètres de sécurité réseau pour les réseaux sans fil :
- Évaluer l'utilisation de méthodes d'ajustement de la couverture radio pour diviser les réseaux sans fil.
- Pour les réseaux délicats, les organisations peuvent considérer toutes les tentatives d'accès sans fil comme des connexions externes et interdire l'accès aux réseaux internes jusqu'à ce que le contrôle de la passerelle donne son approbation.
- Le personnel ne doit utiliser que ses propres appareils, conformément à la politique de l'organisation ; l'accès au réseau fourni au personnel et aux invités doit être séparé.
- Les visiteurs doivent être soumis aux mêmes règles concernant l’utilisation du Wi-Fi que les membres de l’équipe.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Guide supplémentaire sur la norme ISO 27001:2022 Annexe A 8.22
Les organisations doivent s'assurer que tous les partenariats commerciaux sont soumis à des mesures de sécurité appropriées. L'annexe A 8.22 conseille aux organisations de mettre en œuvre des mesures pour protéger leur réseau, leurs appareils informatiques et autres installations d'information lorsqu'elles interagissent avec des partenaires commerciaux.
Les réseaux sensibles peuvent être exposés à un risque accru d’accès non autorisé. Pour se protéger contre cela, les organisations doivent prendre les mesures appropriées.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 8.22 remplace ISO 27001:2013 Annexe A 13.1.3 dans la dernière révision ISO.
Par rapport à la norme ISO 27001:2013, la révision ISO 27001:2022 nécessite les éléments suivants pour les réseaux sans fil :
- Si le personnel respecte la politique de l'organisation et n'utilise que ses propres appareils, l'accès au réseau sans fil fourni au personnel et aux visiteurs doit être séparé.
- Les clients doivent être soumis aux mêmes restrictions et contrôles concernant le Wi-Fi que le personnel.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
ISMS.Online vous permet de :
- Documentez facilement les processus grâce à cette interface conviviale. Aucune installation de logiciel n'est requise sur votre ordinateur ou votre réseau.
- Rationalisez votre procédure d’évaluation des risques en l’automatisant.
- Obtenez facilement la conformité en utilisant des rapports et des listes de contrôle en ligne.
- Gardez une trace de votre progression tout au long de votre démarche vers la certification.
ISMS.online fournit un ensemble complet de fonctionnalités pour aider les organisations et les entreprises à rencontrer le secteur. ISO 27002 et/ou la norme ISMS ISO 27001:2022.
Contactez-nous pour organiser une manifestation.