- See ISO 27002:2022 Contrôle 8.7 pour plus d'informations.
- See ISO 27001:2013 Annexe A 12.2.1 pour plus d'informations.
Objet de la norme ISO 27001:2022 Annexe A 8.7
Les logiciels malveillants constituent l’une des plus grandes menaces à la continuité des activités et à la sécurité des données à l’ère numérique.
Le monde des affaires mondial est confronté quotidiennement à d’innombrables dangers provenant d’un large éventail de vecteurs d’attaque visant à accéder à des systèmes et à des données confidentielles sans autorisation, à extraire des données et de l’argent, à tromper du personnel sans méfiance et à utiliser des données rançonnées pour exiger des rançons importantes.
La protection sécurisée contre les logiciels malveillants doit être une priorité lors de la création d’une politique de sécurité des informations. Il est essentiel que les organisations prennent des mesures pour se protéger contre les logiciels malveillants.
ISO 27001: 2022 L'annexe A 8.7 décrit une série de mesures visant à sensibiliser le personnel aux risques liés aux logiciels malveillants et à mettre en œuvre des mesures préventives efficaces pour se protéger contre les menaces internes et externes, évitant ainsi les perturbations et la perte de données.
Propriété de l'annexe A 8.7
La protection contre les logiciels malveillants est un sujet vaste, englobant de multiples fonctions commerciales avec différents degrés de risque et de nombreux contrôles ISO. En tant que tel, la responsabilité de l'ISO 27001:2022 Annexe A 8.7 doit être confiée au Responsable de la sécurité de l'information, ou équivalent. Le personnel administratif des TIC et les utilisateurs standards doivent prendre des mesures pratiques pour se protéger contre les logiciels malveillants.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Guide sur la conformité à la norme ISO 27001:2022 Annexe A 8.7
L'Annexe A 8.7 exige que les entreprises mettent en œuvre une défense contre les logiciels malveillants qui englobe quatre aspects principaux :
- Systèmes contrôlés et accès aux comptes.
- Gestion du changement.
- Logiciel anti-malware.
- Organisationnel sécurité de l'information sensibilisation (formation des utilisateurs).
L'ISO met en garde contre le fait de croire qu'un logiciel anti-malware suffit à fournir un environnement sécurisé. La norme ISO 27001:2022 Annexe A 8.7 appelle les organisations à adopter une stratégie de bout en bout contre les logiciels malveillants, une stratégie qui commence par l'éducation des utilisateurs et se termine par un réseau sécurisé qui minimise la possibilité d'intrusion provenant d'une multitude de sources d'attaque.
Les organisations doivent prendre des mesures pour atteindre leur objectif, notamment :
- Décourager l’utilisation de logiciels non approuvés (consulter l’annexe A 8.19 et l’annexe A 8.32).
- Arrêtez l'accès aux sites malveillants ou inappropriés.
- Réduire le nombre de vulnérabilités existant sur leur réseau qui pourraient être exploitées par des logiciels malveillants ou des individus mal intentionnés (observer l'Annexe A 8.8 et l'Annexe A 8.19).
- Effectuez des évaluations fréquentes des logiciels pour détecter les logiciels non autorisés, les modifications du système et/ou les données sur le réseau.
- Sécurisez les données et les applications avec un risque minimal, via une acquisition interne ou externe.
- Les organisations doivent mettre en œuvre une politique de détection des logiciels malveillants qui implique des analyses régulières et complètes de tous les systèmes et fichiers pertinents, adaptées aux risques distincts de chaque domaine. Une approche de « défense en profondeur » incluant les contrôles des terminaux et des passerelles doit être adoptée, en tenant compte de nombreux vecteurs d'attaque (par exemple les ransomwares).
- Évitez les intrusions provenant des protocoles et procédures d’urgence, notamment en cas d’incident ou d’activités de maintenance à haut risque.
- Rédigez un processus qui permet au personnel technique de désactiver tout ou partie des efforts anti-malware lorsqu'ils entravent les opérations de l'organisation.
- Mettre en œuvre un plan de sauvegarde et de reprise après sinistre (BUDR) solide qui facilite la reprise des opérations de l'organisation dans les plus brefs délais, après une interruption (voir Annexe A 8.13). Cela devrait comprendre des procédures pour les logiciels qui ne peuvent pas être protégés par un logiciel anti-malware (par exemple un logiciel de machine).
- Divisez le réseau et/ou les espaces de travail numériques et virtuels en sections pour éviter des dommages catastrophiques en cas d'attaque.
- Fournissez à tout le personnel une formation anti-malware pour améliorer sa compréhension d'un large éventail de sujets, notamment (mais sans s'y limiter) :
- Sécurité du courrier électronique
- Installation de logiciels malveillants
- Ingénierie sociale
- Recueillez des informations sur les dernières avancées en matière de sécurité contre les logiciels malveillants dans le secteur.
- Assurez-vous que toutes les notifications concernant des attaques potentielles de logiciels malveillants (notamment de la part de fournisseurs de logiciels et de matériel) proviennent d'une source fiable et sont précises.
Contrôles accompagnant l’Annexe A
- ISO 27001:2022 Annexe A 8.13
- ISO 27001:2022 Annexe A 8.19
- ISO 27001:2022 Annexe A 8.32
- ISO 27001:2022 Annexe A 8.8
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27001:2013
ISO 27001:2022 Annexe A 8.7 remplace ISO 27001:2013 Annexe A 12.2.1 (qui traitait des contrôles contre les logiciels malveillants).
L'ISO 27001:2022 Annexe A 8.7 est similaire à l'ISO 27001:2013 Annexe A 12.2.1, mais certains conseils supplémentaires ont reçu une priorité plus élevée, compte tenu de leur importance pour les programmes anti-malware des entreprises. Concrètement, il comprend :
- Assurer la sécurité contre les logiciels malveillants pendant les périodes de maintenance est essentiel.
La norme ISO 27001:2013 Annexe A 12.2.1 demande aux organisations de réfléchir à l'utilisation de deux plates-formes anti-malware différentes, tandis que la norme ISO 27001:2022 Annexe A 8.7 se contente d'une seule solution intégrée.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Comment l'aide d'ISMS.online
Notre plateforme vous propose des tableaux de bord personnalisables qui vous permettent de comprendre en temps réel votre niveau de conformité.
Vous pouvez superviser et contrôler l’intégralité de votre conformité ISO 27001:2022 à partir d’un seul endroit, y compris gestion des audits, analyse des écarts, gestion de la formation, évaluation des risques, etc.
Cette plateforme complète offre une solution simple et intégrée qui peut être utilisée 27001 heures sur 2022 depuis n'importe quel appareil connecté à Internet. Il facilite une collaboration transparente et sécurisée entre les employés pour surveiller les risques de sécurité et suivre les progrès de l'organisation vers l'obtention de la certification ISO XNUMX:XNUMX.
Contactez-nous maintenant pour organiser une démonstration.