Chaque employé de votre organisation doit avoir accès à des ordinateurs, bases de données, systèmes d'information et applications spécifiques pour exercer ses fonctions.
Par exemple, votre ressources humaines Le ministère peut avoir besoin d’accéder à des informations de santé sensibles sur les employés. De plus, votre service financier peut avoir besoin d'accéder à des bases de données contenant des informations sur les salaires des employés et de les utiliser.
Vous devez fournir, modifier et révoquer les droits d'accès conformément à la politique de contrôle d'accès et aux mesures de contrôle d'accès de l'entreprise. Cela empêchera l’accès non autorisé, la modification et la destruction des actifs informationnels.
Si vous ne révoquez pas les droits d'accès de votre ancien employé, celui-ci pourrait voler des données sensibles.
Conformément à la norme ISO 27001 : 2022, l'annexe A, contrôle 5.18, explique comment les droits d'accès doivent être attribués, modifiés et révoqués en fonction des exigences de l'entreprise.
Selon l'Annexe A Contrôle 5.18, une organisation peut mettre en œuvre des procédures et des contrôles pour attribuer, modifier et révoquer les droits d'accès aux systèmes d'information conformément à sa politique de contrôle d'accès.
Le responsable de la sécurité de l'information doit être chargé d'établir, de mettre en œuvre et de réviser les règles, processus et contrôles appropriés pour la fourniture, la modification et la révocation des droits d'accès aux systèmes d'information.
Il est de la responsabilité du responsable de la sécurité de l'information d'examiner attentivement les besoins de l'entreprise lors de l'attribution, de la modification et de la révocation des droits d'accès. De plus, le responsable de la sécurité de l'information devrait travailler en étroite collaboration avec les propriétaires d’actifs informationnels pour garantir que les politiques et procédures sont respectées.
Pour attribuer ou révoquer des droits d'accès pour tous types d'utilisateurs à tous les systèmes et services, un processus doit être mis en œuvre (aussi simple et documenté soit-il). Idéalement, cela serait lié aux points ci-dessus et à l’initiative plus large de sécurité des ressources humaines.
Un système ou un service d'information doit être fourni ou révoqué sur la base des critères suivants : autorisation du propriétaire du système d'information ou du service, vérification que l'accès est approprié au rôle joué et protection contre un provisionnement avant l'obtention de l'autorisation.
Les utilisateurs doivent toujours bénéficier d'un accès conforme aux exigences de l'entreprise, dans le cadre d'une approche axée sur l'entreprise. Même si cela peut paraître bureaucratique, ce n’est pas obligatoire. En mettant en œuvre des procédures efficaces avec un accès basé sur les rôles aux systèmes et services, ce problème peut être résolu efficacement.
Les propriétaires d'actifs doivent examiner régulièrement les droits d'accès des utilisateurs lors de changements individuels (intégration, changements de rôle et sorties) et lors d'audits plus larges de l'accès au système.
Les autorisations devraient être révisées plus fréquemment à la lumière du risque plus élevé associé à droits d'accès privilégiés. Comme pour 9.2, cela doit être fait au moins une fois par an ou chaque fois que des changements importants ont été apportés.
Il est nécessaire de supprimer les droits d'accès de tous les employés et utilisateurs externes aux informations et aux installations de traitement de l'information à la fin de leur emploi, contrat ou accord (ou d'ajuster leurs droits d'accès en cas de changement de rôle si nécessaire).
Si les politiques et procédures de sortie sont bien conçues et alignées sur A.7, cet objectif sera également atteint et démontré à des fins d’audit lorsque les salariés partent.
Pour l'attribution et la révocation des droits d'accès aux personnes authentifiées, les organisations doivent intégrer les règles et contrôles suivants :
Les examens périodiques des droits d'accès physiques et logiques doivent prendre en compte les éléments suivants :
Les facteurs de risque doivent être pris en compte lors de l'évaluation et de la modification des droits d'accès d'un employé aux systèmes de traitement de l'information. C’est avant qu’ils ne soient promus ou rétrogradés au sein de la même organisation :
Il est recommandé aux organisations d'établir des rôles d'accès utilisateur conformément à leurs exigences commerciales. Outre les types et le nombre de droits d'accès à accorder à chaque groupe d'utilisateurs, ces rôles doivent spécifier le type de droits d'accès.
La création de tels rôles rendra demandes d'accès et les droits doivent être gérés et révisés plus facilement.
Il est recommandé aux organisations d'inclure des dispositions dans leurs contrats de travail/de service avec leur personnel qui traitent de l'accès non autorisé à leurs systèmes et des sanctions pour un tel accès. Les contrôles 5.20, 6.2, 6.4 et 6.6 de l'Annexe A doivent être suivis.
Les organisations doivent être prudentes lorsqu'elles traitent avec des employés mécontents licenciés par la direction, car ils pourraient intentionnellement endommager les systèmes d'information.
Les organisations qui décident d'utiliser des techniques de clonage pour accorder des droits d'accès doivent le faire en fonction des rôles définis par l'organisation.
Il existe un risque associé au clonage dans la mesure où des droits d'accès excessifs peuvent être accordés.
ISO 27001:2022 Annexe A 5.18 remplace ISO 27001:2013 Annexe A Contrôles 9.2.2, 9.2.5 et 9.2.6.
La version 2013 de l'Annexe A Contrôle 9.2.2 décrivait six exigences pour l'attribution et la révocation des droits d'accès ; cependant, l'Annexe A, Contrôle 5.18, introduit trois exigences supplémentaires en plus de ces six :
Selon la norme ISO 27001:2013, l'Annexe A Contrôle 9.5 indique explicitement que les organisations doivent réviser l'autorisation pour les droits d'accès privilégiés plus fréquemment que pour les autres droits d'accès. Cette exigence n’était pas incluse dans l’annexe A Contrôle 5.18 de la version 2022.
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.
Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
---|---|---|---|
Contrôles organisationnels | Annexe A 5.1 | Annexe A 5.1.1 Annexe A 5.1.2 | Politiques de sécurité des informations |
Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les cybermenaces |
Contrôles organisationnels | Annexe A 5.8 | Annexe A 6.1.5 Annexe A 14.1.1 | Sécurité de l'information dans la gestion de projet |
Contrôles organisationnels | Annexe A 5.9 | Annexe A 8.1.1 Annexe A 8.1.2 | Inventaire des informations et autres actifs associés |
Contrôles organisationnels | Annexe A 5.10 | Annexe A 8.1.3 Annexe A 8.2.3 | Utilisation acceptable des informations et autres actifs associés |
Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
Contrôles organisationnels | Annexe A 5.14 | Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 | Transfert d'information |
Contrôles organisationnels | Annexe A 5.15 | Annexe A 9.1.1 Annexe A 9.1.2 | Contrôle d'accès |
Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
Contrôles organisationnels | Annexe A 5.17 | Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 | Informations d'authentification |
Contrôles organisationnels | Annexe A 5.18 | Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 | Des droits d'accès |
Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
Contrôles organisationnels | Annexe A 5.22 | Annexe A 15.2.1 Annexe A 15.2.2 | Surveillance, révision et gestion du changement des services des fournisseurs |
Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
Contrôles organisationnels | Annexe A 5.29 | Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 | Sécurité des informations en cas de perturbation |
Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
Contrôles organisationnels | Annexe A 5.31 | Annexe A 18.1.1 Annexe A 18.1.5 | Exigences légales, statutaires, réglementaires et contractuelles |
Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
Contrôles organisationnels | Annexe A 5.36 | Annexe A 18.2.2 Annexe A 18.2.3 | Conformité aux politiques, règles et normes en matière de sécurité de l'information |
Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
---|---|---|---|
Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Tamisage |
Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
Contrôles des personnes | Annexe A 6.8 | Annexe A 16.1.2 Annexe A 16.1.3 | Rapport d'événements liés à la sécurité de l'information |
Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
---|---|---|---|
Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
Contrôles physiques | Annexe A 7.2 | Annexe A 11.1.2 Annexe A 11.1.6 | Entrée physique |
Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
Contrôles physiques | Annexe A 7.10 | Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 | stockage des médias |
Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
---|---|---|---|
Contrôles technologiques | Annexe A 8.1 | Annexe A 6.2.1 Annexe A 11.2.8 | Périphériques de point de terminaison utilisateur |
Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
Contrôles technologiques | Annexe A 8.8 | Annexe A 12.6.1 Annexe A 18.2.3 | Gestion des vulnérabilités techniques |
Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
Contrôles technologiques | Annexe A 8.15 | Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 | Journal |
Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation de programmes utilitaires privilégiés |
Contrôles technologiques | Annexe A 8.19 | Annexe A 12.5.1 Annexe A 12.6.2 | Installation de logiciels sur les systèmes opérationnels |
Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
Contrôles technologiques | Annexe A 8.24 | Annexe A 10.1.1 Annexe A 10.1.2 | Utilisation de la cryptographie |
Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
Contrôles technologiques | Annexe A 8.26 | Annexe A 14.1.2 Annexe A 14.1.3 | Exigences de sécurité des applications |
Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Architecture de système sécurisée et principes d’ingénierie |
Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
Contrôles technologiques | Annexe A 8.29 | Annexe A 14.2.8 Annexe A 14.2.9 | Tests de sécurité en développement et acceptation |
Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
Contrôles technologiques | Annexe A 8.31 | Annexe A 12.1.4 Annexe A 14.2.6 | Séparation des environnements de développement, de test et de production |
Contrôles technologiques | Annexe A 8.32 | Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 | La Gestion du changement |
Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
L'ISO 27001:2022, Annexe A 5.18, est l'une des clauses les plus discutées. Beaucoup soutiennent qu’il s’agit de la clause la plus importante de tout le document.
C'est parce que l'ensemble Système de gestion de la sécurité de l'information (SMSI) consiste à garantir que les personnes appropriées ont accès aux informations correctes au bon moment. Pour réussir, il faut bien faire les choses, mais cela peut avoir de graves conséquences sur votre entreprise.
Par exemple, imaginez si vous révéliez accidentellement des informations confidentielles sur un employé à la mauvaise personne, comme le salaire de chaque employé.
Une erreur ici pourrait avoir des conséquences importantes, il vaut donc la peine de prendre le temps d’y réfléchir attentivement.
Notre la plateforme peut être extrêmement utile à cet égard. De ce fait, il adhère à toute la structure de ISO 27001 et vous permet d'adopter, d'adapter et d'ajouter au contenu que nous proposons. Cela vous donne un avantage significatif. Pourquoi pas planifier une démo pour en savoir plus?
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo