- See ISO 27002:2022 Contrôle 8.29 pour plus d'informations.
- See ISO 27001:2013 Annexe A 14.2.8 pour plus d'informations.
- See ISO 27001:2013 Annexe A 14.2.9 pour plus d'informations.
Assurer un développement sécurisé : explication des tests de sécurité de la norme ISO 27001 Annexe A 8.29
Les cybercriminels conçoivent continuellement de nouvelles méthodes et améliorent leurs tactiques pour pirater les réseaux d'entreprise et accéder aux données confidentielles.
Les cybercriminels pourraient exploiter une faille liée au processus d'authentification dans le code source pour pénétrer dans les réseaux. De plus, ils peuvent essayer de persuader les utilisateurs finaux côté client de faire des choses qui leur permettraient d'accéder aux données, d'infiltrer les réseaux ou d'exécuter des attaques de ransomware.
Si une application, un logiciel ou un système informatique est déployé avec des vulnérabilités, des informations sensibles risquent d'être compromises.
Les organisations doivent mettre en place et exécuter un processus de test de sécurité approprié afin d'identifier et de corriger toute vulnérabilité des systèmes informatiques avant leur déploiement dans le monde réel.
Objet de la norme ISO 27001:2022 Annexe A 8.29
ISO 27001: 2022 Annexe A Control 8.29 permet aux organisations de garantir que toutes les exigences de sécurité sont respectées lorsque de nouvelles applications, bases de données, logiciels ou codes sont implémentés. Cela se fait en créant et en suivant un processus de test de sécurité approfondi.
Les organisations peuvent identifier et supprimer les faiblesses potentielles de leur code, de leurs réseaux, de leurs serveurs, de leurs applications et autres systèmes informatiques avant leur mise en œuvre dans le monde réel.
Propriété de l'annexe A 8.29
Agent de sécurité de l'information doit garantir que le contrôle 27001 de l'Annexe A de la norme ISO 2022:8.29 est respecté, exigeant l'établissement, la maintenance et la mise en œuvre d'une procédure de tests de sécurité qui couvre tous les nouveaux systèmes d'information, qu'ils soient créés en interne ou par des tiers.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.29
Les organisations doivent intégrer des tests de sécurité dans le processus de test de tous les systèmes, garantissant que tous les nouveaux systèmes d'information, ainsi que leurs versions nouvelles/mises à jour, satisfont aux exigences de sécurité des informations lorsqu'ils se trouvent dans l'environnement de production.
La norme ISO 27001 :2022, Annexe A, Contrôle 8.29 décrit trois éléments comme composants essentiels des tests de sécurité :
- Assurer la sécurité grâce à l'authentification des utilisateurs conformément à la norme ISO 27001:2022 Annexe A 8.5, à la restriction d'accès conformément à la norme ISO 27001:2022 Annexe A 8.3 et à la cryptographie selon la norme ISO 27001:2022 Annexe A 8.24.
- Assurez-vous que le code est écrit en toute sécurité conformément à la norme ISO 27001:2022, annexe A 8.28.
- Assurez-vous que les configurations répondent aux exigences décrites dans les annexes A 8.9, 8.20 et 8.22, qui peuvent impliquer des pare-feu et des systèmes d'exploitation.
Que doit inclure un plan de test ?
Lors de l’élaboration de plans de tests de sécurité, les organisations doivent tenir compte de l’urgence et du caractère du système d’information impliqué.
Ce plan de tests de sécurité doit intégrer les éléments suivants :
- Constituer un agenda complet des engagements et des tests à entreprendre.
- Les résultats attendus lorsque certaines conditions sont remplies incluent à la fois les intrants et les extrants.
- Des critères d'évaluation des résultats doivent être établis.
- Une fois les résultats obtenus, des décisions sur les mesures à prendre peuvent être prises.
Développement interne
L'équipe de développement interne doit effectuer les tests de sécurité initiaux pour garantir que le système informatique respecte les spécifications de sécurité.
Une première série de tests doit être effectuée, suivie de tests d'acceptation indépendants conformément à la norme ISO 27001:2022, annexe A 5.8.
Concernant le développement en interne, les éléments suivants doivent être pris en compte :
- Effectuer des revues de code pour identifier et résoudre les problèmes de sécurité, englobant les entrées et les situations anticipées.
- Effectuer des analyses de vulnérabilité afin d'identifier les paramètres non sécurisés et d'autres faiblesses potentielles.
- Effectuer des tests d'intrusion pour identifier les faiblesses du codage et de la conception.
Externalisation
Les organisations doivent adhérer à une approche rigoureuse procédure d’acquisition lorsqu’ils délèguent le développement ou acheter des éléments informatiques auprès de sources externes.
Les organisations doivent conclure un contrat avec leurs fournisseurs qui répond aux critères de sécurité des informations énoncés dans la norme ISO 27001:2022, annexe A 5.20.
Les organisations doivent garantir que les biens et services qu'elles acquièrent sont conformes aux normes de sécurité en matière de sécurité de l'information.
Guide supplémentaire sur la norme ISO 27001:2022 Annexe A 8.29
Les organisations peuvent générer plusieurs environnements de test pour entreprendre une gamme de tests, notamment fonctionnels, non fonctionnels et de performance. Ils peuvent créer des environnements de test virtuels, les configurer pour tester les systèmes informatiques dans différents paramètres opérationnels et les affiner en conséquence.
L'annexe A 8.29 souligne la nécessité de tests de sécurité efficaces, ce qui oblige les organisations à tester et à superviser les environnements, outils et technologies de test.
Les organisations doivent prendre en compte le niveau de sensibilité et d’importance lorsqu’elles décident du nombre de couches de méta-tests à utiliser.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 8.29 remplace ISO 27001:2013 Annexe A 14.2.8 et 14.2.9 dans la dernière révision.
Changements structurels
ISO 27001: 2022 consolide les tests sécurisés en un seul contrôle, par opposition à la norme ISO 27001:2013, qui faisait référence à des tests sécurisés dans deux contrôles différents ; Tests de sécurité du système (annexe A 14.2.8) et tests d'acceptation du système (annexe A 14.2.9).
ISO 27001 : 2022, l'annexe A 8.29 apporte des exigences plus complètes
Contrairement à l'ISO 27001:2013, la révision de l'ISO 27001:2022 contient des exigences et des conseils plus complets sur :
- Un plan de tests de sécurité qui doit inclure une variété d’éléments.
- Critères d'évaluation de la sécurité lors du développement de systèmes informatiques en interne.
- Ce qui devrait être inclus dans le processus de test de sécurité.
- L’utilisation de plusieurs environnements de test est essentielle. Il garantit la rigueur et la précision du processus.
La norme ISO 27001:2013 était plus détaillée en ce qui concerne les tests d'acceptation
Contrairement à la norme ISO 27001:2022, la norme ISO 27001:2013 était plus détaillée concernant les tests d'acceptation du système. Cela comprenait des tests de sécurité pour les composants entrants et l'utilisation d'outils automatisés.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
ISMS.online simplifie le processus de mise en œuvre de la norme ISO 27001 : 2022 grâce à un cadre sophistiqué basé sur le cloud, qui fournit une documentation sur les processus et des listes de contrôle du système de gestion de la sécurité de l'information pour garantir la compatibilité avec les normes acceptées.
Contactez-nous pour organiser une démonstration.