ISO 27001:2022 Annexe A expliquée

Qu’est-ce que l’Annexe A et qu’est-ce qui a changé ?

L'annexe A de la norme ISO 27001 fait partie de la norme qui répertorie un ensemble de contrôles de sécurité classifiés que les organisations utilisent pour démontrer leur conformité à la norme ISO 27001 6.1.3 (Traitement des risques liés à la sécurité de l'information) et à la déclaration d'applicabilité associée (voir ci-dessous).

Il contenait auparavant 114 contrôles répartis en 14 catégories, qui couvraient un large éventail de sujets tels que le contrôle d'accès, la cryptographie, la sécurité physique et la gestion des incidents.

Suite à la publication de la norme ISO 27002:2022 (Contrôles de sécurité de l'information, de cybersécurité et de protection de la vie privée) le 15 février 2022, la norme ISO 27001:2022 a aligné ses contrôles de l'Annexe A.

La nouvelle version de la norme s'appuie sur un ensemble condensé de 93 contrôles de l'annexe A, dont 11 nouveaux contrôles.

Au total, 24 contrôles ont été fusionnés à partir de deux, trois contrôles de sécurité ou plus de la version 2013, et 58 contrôles de la norme ISO 27002:2013 ont été révisés pour s'aligner sur l'environnement actuel de cybersécurité et de sécurité de l'information.

Qu'est-ce qu'une déclaration d'applicabilité ?

Avant de continuer, il convient d'introduire une déclaration d'applicabilité (SoA), car elle décrit l'approche d'une organisation pour mettre en œuvre les contrôles spécifiés de l'Annexe A.

Une déclaration d'applicabilité (SoA) dans la norme ISO 27001 2022 est un document qui répertorie les contrôles de l'annexe A qu'une organisation mettra en œuvre pour répondre aux exigences de la norme. Il s’agit d’une étape obligatoire pour toute personne envisageant de poursuivre la certification ISO 27001.

Votre SoA doit contenir quatre éléments principaux :

• Une liste de tous les contrôles nécessaires pour satisfaire aux options de traitement des risques liés à la sécurité de l'information, y compris ceux contenus dans l'Annexe A.
• Une déclaration qui explique pourquoi tous les contrôles ci-dessus ont été inclus.
• Confirmation de mise en œuvre.
• La justification de l'organisation pour l'omission de l'un des contrôles de l'annexe A.

Les nouvelles catégories de contrôle ISO 27001:2022 expliquées

Les contrôles de l'Annexe A de la norme ISO 27001:2013 étaient auparavant divisés en 14 catégories. La norme ISO 27001 2022 adopte une approche catégorielle similaire en matière de sécurité de l'information qui répartit les processus entre quatre catégories de niveau supérieur.

Les contrôles de l'Annexe A ont désormais été regroupés en quatre catégories

Les contrôles de l'annexe ISO 27001 : 2022 ont été restructurés et consolidés pour refléter les défis de sécurité actuels. Les processus de gestion de base du SMSI restent inchangés, mais l'ensemble de contrôles de l'annexe A a été mis à jour pour refléter les risques plus modernes et leurs contrôles associés.

• Organisationnel
• Personnes
• Physique
• technologique

Chaque contrôle s'est en outre vu attribuer une taxonomie d'attribution. Chaque contrôle dispose désormais d'un tableau avec un ensemble d'attributs suggérés, et l'annexe A de la norme ISO 27002:2022 fournit un ensemble d'associations recommandées.

Ceux-ci vous permettent d’aligner rapidement votre sélection de contrôles sur le langage courant du secteur et les normes internationales. L'utilisation d'attributs soutient le travail que de nombreuses entreprises effectuent déjà dans le cadre de leur évaluation des risques et de leur déclaration d'applicabilité (SoA).

Par exemple, des concepts de cybersécurité similaires aux contrôles du NIST et du CIS peuvent être distingués, et les capacités opérationnelles liées à d'autres normes peuvent être reconnues.

Contrôles organisationnels

• Nombre de contrôles : 37
• Numéros de contrôle : ISO 27001 Annexe A 5.1 à 5.37

Les contrôles organisationnels englobent des réglementations et des mesures qui dictent l'attitude globale d'une organisation en matière de protection des données sur un large éventail de sujets. Ces contrôles comprennent des politiques, des règles, des processus, des procédures, des structures organisationnelles et bien plus encore.

Contrôles des personnes

• Nombre de contrôles : 8
• Numéros de contrôle : ISO 27001 Annexe A 6.1 à 6.8

Les contrôles des personnes permettent aux entreprises de réguler la composante humaine de leur programme de sécurité des informations, en définissant la manière dont le personnel interagit avec les données et entre eux. Ces contrôles couvrent la gestion sécurisée des ressources humaines, la sécurité du personnel, ainsi que la sensibilisation et la formation.

Contrôles physiques

• Nombre de contrôles : 14
• Numéros de contrôle : ISO 27001 Annexe A 7.1 à 7.13

Les protections physiques sont des mesures utilisées pour assurer la sécurité des actifs corporels. Ceux-ci peuvent inclure des systèmes d'entrée, des protocoles d'accès invités, des processus d'élimination des actifs, des protocoles de support de stockage et des politiques de bureau claires. De telles garanties sont essentielles à la préservation des informations confidentielles.

Contrôles technologiques

• Nombre de contrôles : 34
• Numéros de contrôle : ISO 27001 Annexe A 8.1 à 8.34

Les contraintes technologiques dictent les réglementations et procédures cybernétiques/numériques que les entreprises doivent adopter afin de mettre en œuvre une infrastructure informatique protégée et conforme, des techniques d'authentification aux paramètres, en passant par les stratégies BUDR et la journalisation des informations.

Pourquoi l’Annexe A est-elle importante pour mon organisation ?

La norme ISO 27001 est formulée de manière à permettre aux organisations de toutes formes et tailles de satisfaire aux exigences de la norme tout en adhérant au principe fondamental de mise en œuvre et de maintien de pratiques globales de sécurité de l'information.

Les organisations disposent de diverses options pour atteindre et préserver la conformité à la norme ISO 27001, en fonction de la nature de leur activité et de l'étendue de leurs activités de traitement de données.

L'Annexe A offre aux organisations un ensemble de conseils simples à partir desquels élaborer un plan de sécurité des informations bien structuré qui répond à leurs besoins commerciaux et opérationnels exclusifs.

L'Annexe A sert d'outil permettant d'économiser du temps et des ressources pour les processus de certification initiale et d'adhésion ultérieure et fournit une base pour les audits, les revues de processus et la planification stratégique. Il peut être utilisé comme document de gouvernance interne (c'est-à-dire un plan de traitement des risques) qui présente une approche formelle de la sécurité de l'information.

Comprendre le traitement des risques dans la norme ISO 27001 6.1.3

L'exigence 27001 de la norme ISO 6.1.3 concerne l'établissement et le maintien d'un processus d'évaluation des risques liés à la sécurité de l'information qui comprend des critères d'acceptation et d'évaluation des risques.

La norme ISO 27001 6.1.3 permet aux organisations de garantir que leurs procédures de risque en matière de sécurité de l'information, y compris leurs alternatives de gestion des risques, sont conformes aux normes recommandées par l'ISO, dans le cadre de leur démarche de certification.

Le traitement des risques en tant que concept

Les organisations certifiées et conformes gèrent les risques de plusieurs manières. La gestion des risques ne se limite pas aux actions curatives nécessaires pour réduire le risque. Après avoir identifié un risque, les organisations doivent :

• Acceptez le risque.
• Traitez le risque.
• Atténuez le risque.
• Transférez le risque.
• Évitez le risque.

La norme ISO 27001 6.1.3 demande aux organisations de formuler un plan de traitement des risques, comprenant l'approbation des propriétaires des risques et une large acceptation de ce que l'ISO considère comme des « risques résiduels ».

Ce processus commence par l'identification des risques associés à la perte de confidentialité, d'intégrité et de disponibilité des informations. L'organisation doit ensuite sélectionner les options appropriées de traitement des risques liés à la sécurité de l'information en fonction des résultats de l'évaluation des risques.

D'autres facteurs

En tant qu'exigence directrice, la norme ISO 27001 6.1.3 n'est pas l'autorité ultime en matière de gestion des risques. Les grandes organisations intègrent fréquemment des protocoles de sécurité d'autres entités d'accréditation (NIST, Trust Service Criteria de SOC2).

Les organisations doivent cependant donner la priorité aux contrôles de l'Annexe A tout au long du processus de certification et de conformité. Les auditeurs ISO sont chargés d'identifier l'authenticité et la pertinence des réglementations ISO comme d'habitude. Cela devrait donc être le premier choix d'une organisation lors de la création d'une norme ISO 27001. système de gestion de la sécurité de l’information conforme.

Certaines normes de données tierces des secteurs public et privé – telles que la boîte à outils de sécurité et de protection des données (DSPT) du National Health Service – nécessitent un alignement des normes de sécurité de l'information entre les organisations et les entités publiques avec lesquelles elles interagissent.

La norme ISO 27001 6.1.3 permet aux organisations de coordonner leurs opérations de traitement des risques avec de nombreux critères externes, permettant ainsi une adhésion totale aux mesures de sécurité des données auxquelles elles sont susceptibles d'être confrontées.

Quels contrôles de l’annexe A dois-je inclure ?

Il est essentiel d'évaluer les risques exclusifs en matière de sécurité des informations de votre entreprise avant de prendre une décision sur les contrôles à mettre en place et de choisir les contrôles qui aideront à maîtriser les risques identifiables.

Outre le traitement des risques, les contrôles peuvent également être sélectionnés en raison d'une intention ou d'un objectif d'entreprise ou commercial, d'une exigence légale ou dans le cadre du respect d'obligations contractuelles et/ou réglementaires.

De plus, les organisations sont tenues d'illustrer pourquoi elles n'ont pas intégré certains contrôles dans leur SOA – par exemple, il n'est pas nécessaire d'incorporer des contrôles qui traitent du travail à distance ou hybride si ce n'est pas une politique que votre institution pratique, mais un auditeur devra quand même être présenté ces données lors de l’évaluation de vos tâches de certification/conformité.

Comment ISMS.online peut vous aider

La plateforme ISMS.online, associée à nos conseils intégrés et à notre SMSI préconfiguré, permet aux organisations de démontrer sans effort leur conformité à chaque contrôle de l'annexe A. Nous sommes là pour vous aider, que vous soyez nouveau dans la norme ISO 27001 ou que vous deviez faire évoluer votre SMSI existant pour l'aligner sur la version 2022 de la norme.

Notre liste de contrôle étape par étape vous guide tout au long du processus, en vous offrant un aperçu clair des progrès et des exigences en suspens. Notre logiciel facilite la cartographie des contrôles de sécurité des informations de votre organisation par rapport à chaque aspect de votre SMSI.

Réservez une démo de plateforme dès aujourd’hui et découvrez par vous-même les avantages de notre solution.