ISO 27001:2022 Annexe A 5.18 – Droits d'accès

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 5.18 ?

Selon l'Annexe A Contrôle 5.18, une organisation peut mettre en œuvre des procédures et des contrôles pour attribuer, modifier et révoquer les droits d'accès aux systèmes d'information conformément à sa politique de contrôle d'accès.

Qui est propriétaire de l’annexe A 5.18 ?

Le responsable de la sécurité de l'information doit être chargé d'établir, de mettre en œuvre et de réviser les règles, processus et contrôles appropriés pour la fourniture, la modification et la révocation des droits d'accès aux systèmes d'information.

Il est de la responsabilité du responsable de la sécurité de l'information d'examiner attentivement les besoins de l'entreprise lors de l'attribution, de la modification et de la révocation des droits d'accès. De plus, le responsable de la sécurité de l'information devrait travailler en étroite collaboration avec les propriétaires d’actifs informationnels pour garantir que les politiques et procédures sont respectées.

Droits d'accès – Conseils sur l'octroi et la révocation

Pour attribuer ou révoquer des droits d'accès pour tous types d'utilisateurs à tous les systèmes et services, un processus doit être mis en œuvre (aussi simple et documenté soit-il). Idéalement, cela serait lié aux points ci-dessus et à l’initiative plus large de sécurité des ressources humaines.

Un système ou un service d'information doit être fourni ou révoqué sur la base des critères suivants : autorisation du propriétaire du système d'information ou du service, vérification que l'accès est approprié au rôle joué et protection contre un provisionnement avant l'obtention de l'autorisation.

Les utilisateurs doivent toujours bénéficier d'un accès conforme aux exigences de l'entreprise, dans le cadre d'une approche axée sur l'entreprise. Même si cela peut paraître bureaucratique, ce n’est pas obligatoire. En mettant en œuvre des procédures efficaces avec un accès basé sur les rôles aux systèmes et services, ce problème peut être résolu efficacement.

Examen des droits d'accès des utilisateurs

Les propriétaires d'actifs doivent examiner régulièrement les droits d'accès des utilisateurs lors de changements individuels (intégration, changements de rôle et sorties) et lors d'audits plus larges de l'accès au système.

Les autorisations devraient être révisées plus fréquemment à la lumière du risque plus élevé associé à droits d'accès privilégiés. Comme pour 9.2, cela doit être fait au moins une fois par an ou chaque fois que des changements importants ont été apportés.

Supprimer ou ajuster les droits d'accès

Il est nécessaire de supprimer les droits d'accès de tous les employés et utilisateurs externes aux informations et aux installations de traitement de l'information à la fin de leur emploi, contrat ou accord (ou d'ajuster leurs droits d'accès en cas de changement de rôle si nécessaire).

Si les politiques et procédures de sortie sont bien conçues et alignées sur A.7, cet objectif sera également atteint et démontré à des fins d’audit lorsque les salariés partent.

Pour l'attribution et la révocation des droits d'accès aux personnes authentifiées, les organisations doivent intégrer les règles et contrôles suivants :

• Pour accéder et utiliser les actifs informationnels pertinents, le propriétaire de l’actif informationnel doit autoriser l’accès et l’utilisation. De plus, les organisations devraient envisager de demander une approbation distincte à la direction avant d'accorder des droits d'accès.
• Il faut tenir compte des besoins commerciaux de l'organisation et de sa politique. concernant le contrôle d'accès.
• Les organisations devraient envisager la séparation des tâches. À titre d'exemple, l'approbation et la mise en œuvre des droits d'accès peuvent être gérées par des personnes distinctes.
• Les droits d'accès d'une personne doivent être immédiatement révoqués lorsqu'elle n'a plus besoin d'accéder aux actifs informationnels, en particulier si elle a quitté l'organisation.
• Un droit d'accès temporaire peut être accordé aux employés ou autres membres du personnel travaillant temporairement pour l'organisation. Lorsqu'ils cessent d'être employés par l'organisation, leurs droits doivent être révoqués.
• La politique de contrôle d'accès de l'organisation doit déterminer le niveau d'accès d'un individu et être revue et vérifiée régulièrement. En outre, il doit respecter d'autres exigences en matière de sécurité de l'information, telles que la norme ISO 27001:2022 Contrôle 5.3, qui spécifie la séparation des tâches.
• L'organisation doit s'assurer que les droits d'accès sont activés une fois le processus d'autorisation approprié terminé.
• Les droits d'accès associés à chaque identification, telle qu'une pièce d'identité ou physique, doivent être conservés dans un système central de gestion du contrôle d'accès.
• Il est impératif de mettre à jour le niveau de droits d'accès d'une personne si son rôle ou ses fonctions changent.
• Les méthodes suivantes peuvent être utilisées pour supprimer ou modifier les droits d'accès physiques ou logiques : Suppression ou remplacement de clés, de cartes d'identité ou d'informations d'authentification.
• Il est obligatoire de consigner et de conserver les modifications apportées aux droits d'accès physiques et logiques d'un utilisateur.

Lignes directrices supplémentaires pour l'examen des droits d'accès

Les examens périodiques des droits d'accès physiques et logiques doivent prendre en compte les éléments suivants :

• Lorsqu'un utilisateur est promu ou rétrogradé au sein de la même organisation ou lorsque son emploi prend fin, ses droits d'accès peuvent changer.
• Procédure d’autorisation d’accès privilégié.

Conseils sur les changements d’emploi ou la cessation d’emploi

Les facteurs de risque doivent être pris en compte lors de l'évaluation et de la modification des droits d'accès d'un employé aux systèmes de traitement de l'information. C’est avant qu’ils ne soient promus ou rétrogradés au sein de la même organisation :

• Cela inclut de déterminer si l'employé a lancé le processus de licenciement ou si l'organisation l'a initié et le motif du licenciement.
• Une description des responsabilités actuelles de l'employé au sein de l'organisation.
• Accès des employés aux actifs informationnels, ainsi que leur importance et leur valeur.

Conseils supplémentaires sur les suppléments

Il est recommandé aux organisations d'établir des rôles d'accès utilisateur conformément à leurs exigences commerciales. Outre les types et le nombre de droits d'accès à accorder à chaque groupe d'utilisateurs, ces rôles doivent spécifier le type de droits d'accès.

La création de tels rôles rendra demandes d'accès et les droits doivent être gérés et révisés plus facilement.

Il est recommandé aux organisations d'inclure des dispositions dans leurs contrats de travail/de service avec leur personnel qui traitent de l'accès non autorisé à leurs systèmes et des sanctions pour un tel accès. Les contrôles 5.20, 6.2, 6.4 et 6.6 de l'Annexe A doivent être suivis.

Les organisations doivent être prudentes lorsqu'elles traitent avec des employés mécontents licenciés par la direction, car ils pourraient intentionnellement endommager les systèmes d'information.

Les organisations qui décident d'utiliser des techniques de clonage pour accorder des droits d'accès doivent le faire en fonction des rôles définis par l'organisation.

Il existe un risque associé au clonage dans la mesure où des droits d'accès excessifs peuvent être accordés.

Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 5.18 remplace ISO 27001:2013 Annexe A Contrôles 9.2.2, 9.2.5 et 9.2.6.

La version 2022 contient des exigences plus complètes pour l'octroi et la révocation des droits d'accès

La version 2013 de l'Annexe A Contrôle 9.2.2 décrivait six exigences pour l'attribution et la révocation des droits d'accès ; cependant, l'Annexe A, Contrôle 5.18, introduit trois exigences supplémentaires en plus de ces six :

1. Des droits d'accès temporaires peuvent être temporairement accordés aux employés ou à d'autres membres du personnel travaillant pour l'organisation. Dès qu'ils cessent de travailler pour l'organisation, ces droits doivent être révoqués.
2. La suppression ou la modification des droits d'accès physiques ou logiques peut être effectuée des manières suivantes : Suppression ou remplacement de clés, de cartes d'identification ou d'informations d'authentification.
3. La modification des droits d'accès physiques ou logiques d'un utilisateur doit être enregistrée et documentée.

Les exigences en matière de droits d'accès privilégiés sont plus détaillées dans la version 2013

Selon la norme ISO 27001:2013, l'Annexe A Contrôle 9.5 indique explicitement que les organisations doivent réviser l'autorisation pour les droits d'accès privilégiés plus fréquemment que pour les autres droits d'accès. Cette exigence n’était pas incluse dans l’annexe A Contrôle 5.18 de la version 2022.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

L'ISO 27001:2022, Annexe A 5.18, est l'une des clauses les plus discutées. Beaucoup soutiennent qu’il s’agit de la clause la plus importante de tout le document.

C'est parce que l'ensemble Système de gestion de la sécurité de l'information (SMSI) consiste à garantir que les personnes appropriées ont accès aux informations correctes au bon moment. Pour réussir, il faut bien faire les choses, mais cela peut avoir de graves conséquences sur votre entreprise.

Par exemple, imaginez si vous révéliez accidentellement des informations confidentielles sur un employé à la mauvaise personne, comme le salaire de chaque employé.

Une erreur ici pourrait avoir des conséquences importantes, il vaut donc la peine de prendre le temps d’y réfléchir attentivement.

Notre la plateforme peut être extrêmement utile à cet égard. De ce fait, il adhère à toute la structure de ISO 27001 et vous permet d'adopter, d'adapter et d'ajouter au contenu que nous proposons. Cela vous donne un avantage significatif. Pourquoi pas planifier une démo pour en savoir plus?