ISO 27001:2022 Annexe A 5.12 – Classification des informations

Objet de la norme ISO 27001:2022 Annexe A 5.12

L'Annexe A Le contrôle 5.12 est un contrôle préventif qui permet aux organisations d’identifier les risques en déterminant le niveau de protection approprié pour chaque actif informationnel en fonction de son importance et de sa sensibilité.

Dans les directives supplémentaires, l'annexe A, Contrôle 5.12, met explicitement en garde contre la sur- ou la sous-classification des informations. Les organisations doivent tenir compte des exigences de confidentialité, de disponibilité et d’intégrité lorsqu’elles attribuent des actifs à leurs catégories respectives. Cela permet de garantir que le système de classification équilibre les besoins commerciaux en informations et les exigences de sécurité pour chaque catégorie d'informations.

Propriété de l'annexe A 5.12

S'il est essentiel d'établir un système de classification des actifs informationnels dans l'ensemble de l'organisation, il incombe en fin de compte aux propriétaires des actifs de garantir qu'il est correctement mis en œuvre.

Conformément à la norme ISO 27001 : 2022, annexe A 5.12, ceux qui disposent d’actifs informationnels pertinents doivent être tenus responsables. Par exemple, le service comptable doit classer les informations sur la base du système de classification à l'échelle de l'organisation lorsqu'il accède aux dossiers contenant des rapports de paie et des relevés bancaires.

Lors de la classification des informations, il est crucial pour les propriétaires d'actifs de prendre en compte les besoins de l'entreprise et les impact potentiel qu’une compromission d’informations pourrait avoir sur l’organisation. De plus, ils doivent tenir compte de l'importance et des niveaux de sensibilité des informations.

Orientations générales sur la norme ISO 27001:2022 Annexe A 5.12

Pour réussir à mettre en œuvre un système robuste de classification des informations, les organisations doivent adopter une approche thématique, prendre en compte les besoins d'information spécifiques de chaque unité commerciale et évaluer le niveau de sensibilité et de criticité des informations.

Conformément à l'Annexe A Contrôle 5.12, les organisations doivent évaluer les sept critères suivants lors de la mise en œuvre d'un système de classification :

Établir une politique spécifique à un sujet et répondre aux besoins commerciaux spécifiques

Annexe A Contrôle 5.12 du système de gestion de la sécurité de l'information fait référence à l’Annexe A Contrôle 5.1, qui concerne le contrôle d’accès. Il exige que les organisations adhèrent aux politiques spécifiques à un sujet stipulées dans l’Annexe A Contrôle 5.1. De plus, le système et les niveaux de classification doivent tenir compte des besoins spécifiques de l'entreprise lors de la classification des actifs informationnels.

Les organisations doivent prendre en compte leurs besoins commerciaux en matière de partage et d’utilisation des informations, ainsi que la nécessité de disponibilité de ces informations. Cependant, la classification d'un actif informationnel peut perturber les fonctions commerciales critiques en restreignant l'accès et l'utilisation des informations.

Par conséquent, les organisations doivent équilibrer leurs besoins commerciaux spécifiques en matière de disponibilité et d’utilisation des données et l’exigence de maintenir la confidentialité et l’intégrité de ces informations.

Tenir compte des obligations légales

Des lois spécifiques peuvent exiger que les organisations mettent l'accent sur la protection de la confidentialité, de l'intégrité et de la disponibilité des informations. Par conséquent, les obligations légales doivent avoir la priorité sur la classification interne de l'organisation lors de la catégorisation des actifs informationnels.

Adopter une approche basée sur les risques et évaluer l’impact potentiel d’une faille ou d’un compromis de sécurité sur actifs informationnels est conseillé. Cela aidera à prioriser et à mettre en œuvre des mesures de sécurité appropriées pour atténuer les risques identifiés.

Chaque forme d'information revêt un niveau d'importance unique pour les fonctions d'une organisation et possède différents degrés de sensibilité en fonction des circonstances particulières.

Lorsqu'une organisation met en œuvre un système de classification des informations, elle doit prendre en compte l'impact potentiel que la compromission de la confidentialité, de l'intégrité ou de la disponibilité des informations pourrait avoir sur l'organisation.

Par exemple, la sensibilité et l'impact potentiel d'une base de données contenant les adresses e-mail professionnelles de prospects qualifiés seraient très différents de ceux des dossiers médicaux des employés. Par conséquent, l’organisation doit examiner attentivement le niveau de protection requis par chaque catégorie d’informations et allouer les ressources en conséquence.

Mettre à jour et réviser régulièrement la classification

L'Annexe A, Contrôle 5.12, reconnaît que la valeur, l'importance et le niveau de sensibilité des informations peuvent changer au fil du temps, à mesure que les données suivent leur cycle de vie. En conséquence, les organisations doivent revoir régulièrement leur classification des informations et effectuer toutes les mises à jour nécessaires.

Le contrôle 27001 de l'annexe A de la norme ISO 5.12 concerne la réduction significative de la valeur et de la sensibilité des informations.

Il est essentiel de consulter d’autres organisations avec vous pour partager des informations et résoudre toute disparité.

Chaque organisation peut avoir une terminologie, des niveaux et des normes distincts pour ses systèmes de classification des informations.

Les divergences dans la classification des informations entre les organisations peuvent entraîner des risques potentiels lors de l'échange d'actifs informationnels.

Les organisations doivent collaborer avec leurs homologues pour établir un consensus afin de garantir l'uniformité de la classification des informations et une interprétation cohérente des niveaux de classification afin d'atténuer ces risques.

Cohérence au niveau organisationnel

Chaque département d'une organisation doit avoir une compréhension commune des niveaux et des protocoles de classification pour garantir l'uniformité des classifications dans l'ensemble de l'organisation.

Conseils sur la façon de mettre en œuvre le système de classification des informations

Bien que l'Annexe A 5.12 reconnaisse qu'il n'existe pas de système de classification universellement applicable et que les organisations ont la flexibilité d'établir et de définir leurs niveaux de classification, elle illustre un système de classification des informations :

• La divulgation ne cause aucun préjudice.
• La divulgation entraîne une atteinte mineure à la réputation ou un impact opérationnel mineur.
• La divulgation a un impact significatif à court terme sur les opérations ou les objectifs commerciaux.
• La divulgation a un impact sérieux sur les objectifs commerciaux à long terme ou met en danger la survie de l'organisation.

Changements et différences par rapport à la norme ISO 27002:2013

L'annexe A 8.2.1 de la version précédente traitait de la classification des informations.

Bien que les deux versions soient assez similaires, il existe deux différences principales :

1. Premièrement, la version précédente ne mentionnait pas la nécessité d’une cohérence dans les niveaux de classification lorsque les informations sont partagées entre organisations. Cependant, la norme ISO 27001:2022 exige que les organisations collaborent avec leurs homologues pour garantir l'uniformité dans la classification et la compréhension des informations.
2. Deuxièmement, la version mise à jour exige explicitement que les organisations élaborent des politiques adaptées à des sujets spécifiques. Seule une brève référence au contrôle d'accès était faite dans l'ancienne version.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque norme ISO 27001:2022. Annexe A Contrôle.

Comment l'aide d'ISMS.online

Notre la plateforme est conçue pour être conviviale et simple, s'adressant aux personnes hautement techniques et à tous les membres du personnel de votre organisation.

Nous préconisons d'impliquer les employés à tous les niveaux de l'entreprise dans la construction de votre SMSI, car cela contribue à l'établissement d'un système durable.

En savoir plus par réserver une démo.