ISO 27001:2022 Annexe A Contrôle 5.16

Orientations générales sur la norme ISO 27001:2022 Annexe A 5.16

La conformité à l'annexe A 5.16 est obtenue en exprimant clairement les procédures basées sur l'identité dans les documents de politique et en surveillant quotidiennement le respect par le personnel.

Six procédures sont répertoriées à l'annexe A 5.16, pour garantir qu'une organisation répond aux normes requises en matière de sécurité de l'information et de gouvernance de la cybersécurité :

1. Chaque fois qu'une identité est attribuée à une personne, cette personne est la seule à pouvoir s'authentifier avec cette identité et/ou l'utiliser lors de l'accès aux ressources du réseau.

Pour assurer la conformité, les politiques informatiques doivent stipuler clairement que les utilisateurs ne doivent pas partager leurs informations de connexion ni autoriser d'autres utilisateurs à parcourir le réseau en utilisant une identité autre que celle qui leur a été attribuée.

2. Dans certains cas, il peut être nécessaire d'attribuer une identité unique à plusieurs personnes, également appelée « identité partagée ». N'utilisez cette approche que lorsqu'un ensemble explicite d'exigences opérationnelles est nécessaire.

Pour garantir la conformité, l’enregistrement des identités partagées doit être traité séparément de l’enregistrement d’un seul utilisateur, avec un processus d’approbation dédié.

3. Les entités « non humaines » (toute identité qui n'est pas liée à une personne réelle) doivent être traitées différemment des identités basées sur les utilisateurs lors de l'enregistrement.

Une identité non humaine devrait également avoir son propre processus d’approbation et d’enregistrement, reconnaissant la différence fondamentale entre attribuer une identité à une personne et en accorder une à un actif, une application ou un appareil.

4. En cas de départ, d'actifs redondants ou d'autres identités non requises, un administrateur réseau doit les désactiver ou les supprimer complètement.

Le service informatique doit effectuer des audits réguliers pour déterminer quelles identités sont utilisées et quelles entités peuvent être suspendues ou supprimées. Il est important que le personnel RH inclue la gestion des identités dans les procédures de départ et qu'il informe immédiatement le personnel informatique du départ d'un employé.

5. Il est impératif d’éviter à tout prix les duplications d’identité. La règle « une entité, une identité » devrait être suivie par toutes les organisations.

Pour se conformer, le personnel informatique doit s'assurer que les entités ne reçoivent pas de droits d'accès basés sur plusieurs identités lors de l'attribution de rôles sur un réseau.

6. Gestion des identités et informations d'authentification doit être documenté de manière adéquate pour tous les « événements importants ».

Il est possible d'interpréter le terme « événement important » différemment, mais à un niveau fondamental, les organisations doivent s'assurer que leurs procédures de gouvernance incluent une liste complète des identités attribuées à tout moment, des protocoles de demande de changement robustes avec des procédures d'approbation appropriées et un protocole de demande de changement approuvé.

Orientations supplémentaires supplémentaires pour l'annexe A 5.16

Lors de la création d'une identité et de son accès aux ressources du réseau, l'annexe A 5.16 répertorie également quatre étapes que les entreprises doivent suivre (la modification ou la suppression des droits d'accès est indiquée dans ISO 27001:2022 Annexe A 5.18):

1. Avant de créer une identité, établissez une analyse de rentabilisation.

Chaque fois qu’une identité est créée, la gestion de l’identité devient exponentiellement plus difficile. Il est conseillé aux organisations de créer de nouvelles identités uniquement lorsque cela est clairement nécessaire.

2. Assurez-vous que l’entité (humaine ou non humaine) à laquelle une identité a été attribuée a été vérifiée de manière indépendante.

Les procédures de gestion des identités et des accès doivent garantir qu'une fois l'analyse de rentabilisation approuvée, une personne ou un actif recevant de nouvelles identités dispose de l'autorité requise avant qu'une identité ne soit créée.

3. Créer une identité

Votre personnel informatique devrait construire une identité en adéquation avec le business case exigences, et cela doit être limité à ce qui est décrit dans toute documentation de demande de modification.

4. Les étapes de configurations finales pour une identité

Lors de la dernière étape du processus, une identité est attribuée à chacune de ses autorisations et rôles basés sur l'accès (RBAC), ainsi qu'à tous les services d'authentification requis.

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

ISO 27001: 2022 L'Annexe A 5.16 remplace l'ISO 27001:2013 A.9.2.1 (anciennement connu sous le nom d'« Inscription et désinscription d'utilisateurs »).

Bien que les deux contrôles partagent des similitudes frappantes – principalement dans les protocoles de maintenance et la désactivation des identifiants redondants – l’annexe A 5.16 contient un ensemble complet de lignes directrices qui traitent de la gestion des identités et des accès dans son ensemble.

Annexe A 5.16 Identités humaines et non humaines expliquées

Il existe quelques différences entre l'Annexe 2022 et son prédécesseur dans la mesure où malgré les différences dans les processus d'enregistrement, les humains et les non-humains ne sont plus traités séparément en ce qui concerne l'administration générale du réseau.

Il est devenu plus courant dans les directives de gouvernance informatique et de bonnes pratiques de parler d'identités humaines et non humaines de manière interchangeable depuis l'avènement de la gestion moderne des identités et des accès et des protocoles RBAC basés sur Windows.

Dans l'annexe A 9.2.1 de la norme ISO 27001:2013, il n'y a aucune indication sur la façon de gérer les identités non humaines, et le texte ne concerne que la gestion de ce qu'il appelle les « ID utilisateur » (c'est-à-dire les informations de connexion accompagnées d'un mot de passe utilisé). pour accéder à un réseau).

ISO 27001:2022 Annexe A 5.16 Documentation

L'Annexe A 5.16 fournit des conseils explicites sur les implications générales de sécurité de la gouvernance des identités et sur la manière dont les organisations doivent enregistrer et traiter les informations avant l'attribution des identités, ainsi que tout au long du cycle de vie de l'identité.

À titre comparatif, la norme ISO 27001:2013 A.9.2.1 ne mentionne que brièvement le rôle de gouvernance informatique qui entoure l'administration des identités et se limite à la pratique physique de l'administration des identités.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment ISMS.online vous aide à respecter l’Annexe A 5.16

Tant que vous mettez à jour les processus de votre système de gestion de la sécurité pour refléter les contrôles améliorés, vous serez en conformité avec la norme ISO 27001:2022. Cela peut être géré par ISMS.online si vous ne disposez pas des ressources nécessaires en interne.

Nous simplifions la mise en œuvre de la norme ISO 27001:2022 grâce à notre flux de travail et à nos outils intuitifs, notamment des cadres, des politiques, des contrôles, une documentation exploitable et des conseils. Avec notre logiciel basé sur le cloud, vous pouvez gérer tous vos Solutions SMSI dans un endroit.

Notre plateforme vous permet de définir le périmètre de votre ISMS, identifiez les risques et mettez en œuvre des contrôles facilement.

Pour en savoir plus sur la façon dont ISMS.online peut vous aider à atteindre vos objectifs ISO 27001, veuillez contactez-nous aujourd'hui pour réserver une démo.