- See ISO 27002:2022 Contrôle 8.5 pour plus d'informations.
- See ISO 27001:2013 Annexe A 9.4.2 pour plus d'informations.
Objet de la norme ISO 27001:2022 Annexe A 8.5
L'authentification sécurisée constitue le principal moyen par lequel les utilisateurs, humains et non humains, accèdent aux ressources TIC d'une organisation.
Au cours des dix dernières années, la technologie d'authentification a connu une transformation majeure, passant de la validation classique du nom d'utilisateur/mot de passe à une variété de méthodes supplémentaires impliquant des données biométriques, des contrôles d'accès logiques et physiques, des authentifications d'appareils externes, des codes SMS et des mots de passe à usage unique (OTP). .
L'Annexe A 8.5 fournit aux organisations un cadre pour contrôler l'accès à leurs systèmes et actifs TIC via une passerelle de connexion sécurisée. Il décrit précisément comment cela doit être fait.
ISO 27001: 2022 L'Annexe A Le contrôle 8.5 est un mesure préventive qui maintient le risque niveaux en introduisant la technologie et en instituant des procédures d'authentification sécurisées, qui garantissent que les utilisateurs et les identités humains et non humains entreprennent un processus d'authentification sécurisé lorsqu'ils tentent d'accéder aux ressources TIC.
Propriété de l'annexe A 8.5
L'Annexe A 27001 de la norme ISO 2022 : 8.5 traite de la capacité d'une organisation à contrôler l'accès à son réseau (et aux données et informations qui y sont hébergées) à des points clés, par exemple un portail de connexion.
Le contrôle couvre la sécurité des informations et des données dans son ensemble, les orientations opérationnelles se concentrant principalement sur les aspects techniques.
La Head of IT (ou équivalent) doit en être propriétaire en raison de sa responsabilité quotidienne dans les tâches d'administration informatique.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la norme ISO 27001:2022 Annexe A 8.5
Les organisations doivent prendre en compte le type et la sensibilité des données et du réseau auxquels ils accèdent lorsqu'elles envisagent des contrôles d'authentification. Voici des exemples de tels contrôles :
- Contrôles d'accès intelligents (cartes à puce).
- Connexions biométriques.
- Jetons sécurisés.
- Authentification multifacteur (MFA).
- Certificats numériques.
L'objectif principal des mesures d'authentification sécurisée d'une entreprise devrait être de dissuader et de réduire la possibilité d'un accès non autorisé à ses systèmes protégés.
Pour y parvenir, la norme ISO 27001:2022 Annexe A 8.5 définit douze lignes directrices principales. Les entreprises devraient :
- Assurez-vous que les informations ne sont affichées qu’après un processus d’authentification réussi.
- Afficher un message d'avertissement avant de vous connecter indiquant clairement que seuls les utilisateurs autorisés peuvent accéder aux données.
- Réduisez l’aide apportée aux personnes non autorisées qui tentent d’accéder au système. Par exemple, les entreprises ne devraient pas révéler quelle partie de la connexion a été incorrecte, comme un facteur biométrique d’une connexion à authentification multifactorielle – mais plutôt indiquer que la connexion n’a pas fonctionné.
- Vérifiez la tentative de connexion uniquement lorsque toutes les informations nécessaires ont été fournies au service de connexion, pour garantir la sécurité.
- Mettez en œuvre des mesures de sécurité conformes aux normes de l'industrie pour vous protéger contre l'accès généralisé et les attaques par force brute sur les portails de connexion. Ceux-ci peuvent inclure :
- CAPTCHA est une fonctionnalité de sécurité qui vous oblige à saisir une chaîne de caractères pour vérifier que vous êtes un utilisateur humain.
- Imposer la réinitialisation d'un mot de passe après un nombre défini de tentatives de connexion infructueuses.
- Après un certain nombre de tentatives infructueuses, les connexions ultérieures sont bloquées. Pour éviter cela, fixez une limite.
- Pour des raisons d'audit et de sécurité, chaque tentative de connexion échouée sera notée, y compris dans le cadre de procédures pénales et/ou réglementaires.
- En cas de divergences majeures de connexion, telles qu'une suspicion d'intrusion, un incident de sécurité doit être immédiatement déclenché. Le personnel interne, notamment ceux disposant d’un accès administrateur système ou de la capacité de contrecarrer les tentatives de connexion malveillantes, doit être immédiatement informé.
- Une fois la connexion réussie confirmée, certaines données doivent être transmises à un autre référentiel qui détaille :
- La dernière connexion réussie a eu lieu le [date] à [heure].
- Enregistrement de toutes les tentatives de connexion depuis la dernière connexion authentifiée.
- Afficher les mots de passe sous forme d'astérisques ou d'autres symboles abstraits similaires, sauf s'il y a une raison de ne pas le faire (par exemple, accessibilité des utilisateurs).
- Aucune tolérance pour que les mots de passe soient partagés ou affichés en texte clair et lisible.
- Assurez-vous que les sessions de connexion inactives se terminent après un délai défini. Ceci est particulièrement pertinent pour les sessions dans des endroits à haut risque (travail à distance situations) ou sur les appareils appartenant aux utilisateurs, tels que les ordinateurs portables personnels ou les téléphones mobiles.
- Limitez la durée pendant laquelle une session authentifiée peut rester ouverte, même lorsqu'elle est active, en fonction des données consultées (par exemple, des informations commerciales vitales ou des programmes liés à l'argent).
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Conseils sur les connexions biométriques
L'Organisation internationale de normalisation recommande que les processus de connexion biométrique soient combinés avec au moins une autre technique de connexion, en raison de leur efficacité et de leur intégrité comparatives par rapport aux méthodes traditionnelles telles que les mots de passe, l’AMF et les jetons.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 8.5 remplace ISO 27001:2013 Annexe A 9.4.2 (Protocoles de connexion sécurisée).
ISO 27001:2022 Annexe A 8.5 est une révision de la version 2013, avec de légères modifications de langage et les mêmes principes de sécurité qui la sous-tendent. Le document contient toujours les 12 points d’orientation familiers.
Conformément à l'utilisation croissante des technologies d'authentification multifacteur et de connexion biométrique au cours des dix dernières années, l'Annexe A 27001 de la norme ISO 2022:8.5 fournit des instructions explicites sur la manière dont les organisations doivent intégrer ces techniques lors de la formulation de leurs propres contrôles de connexion.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
Notre plateforme basée sur le cloud vous offre un cadre solide de sécurité de l'information contrôles pour faciliter le processus SMSI et garantir qu’il répond aux critères ISO 27001:2022. Utilisé correctement, ISMS.online peut vous aider à obtenir la certification avec un minimum de temps et de ressources.
Contactez-nous aujourd'hui pour organiser une démonstration.