ISO 27001:2022 Annexe A 5.29 – Sécurité des informations en cas de perturbation

Propriété de la norme ISO 27001:2022 Annexe A Contrôle 5.29

ISO 27001: 2022 L'Annexe A, Contrôle 5.29, traite des processus et procédures opérationnelles de sécurité de l'information qui sont activés lorsqu'un événement critique ou une interruption des activités se produit.

Il est préférable d'attribuer la propriété du contrôle 27001 de l'Annexe A de la norme ISO 2022 : 5.29 à un cadre supérieur supervisant les opérations quotidiennes et la planification de la continuité de l'organisation, comme le Chef de l'exploitation (COO).

Orientations générales sur la norme ISO 27001:2022 Annexe A 5.29

La norme ISO 27001:2022, Annexe A 5.29, stipule que la sécurité des informations doit faire partie intégrante du plan plus large de gestion de la continuité des activités d'une organisation.

Les organisations doivent élaborer des plans pour maintenir la sécurité des informations et la restaurer si une interruption des opérations ou une panne des systèmes entraîne une violation.

Les niveaux de sécurité doivent être rapidement rétablis aux niveaux d’avant l’interruption, afin d’éviter tout dommage supplémentaire.

Les organisations doivent prendre les mesures suivantes :

1. Mettre en œuvre et maintenir des mesures générales de sécurité de l'information, y compris les systèmes d'entreprise et les cadres TIC, dans le cadre des plans globaux de continuité de l'entreprise.
2. Mettre en œuvre des procédures qui s’efforcent de maintenir les mesures de sécurité des informations lors de toute interruption.
3. Le cas échéant, des contrôles de substitution doivent être appliqués à toute tentative de sécurité des informations qui ne peut être soutenue en cas de perturbation.

Orientations supplémentaires sur l'Annexe A 5.29

La norme ISO 27001:2022 Annexe A 5.29 reconnaît la grande variabilité de la planification de la continuité, accordant aux organisations une marge de manœuvre considérable pour appliquer des contrôles de sécurité de l'information adaptés aux différents types d'interruption d'activité qu'elles pourraient rencontrer.

L'ISO exhorte les organisations à accorder une attention particulière à deux domaines lors de la conception d'un plan de continuité des activités :

• La divulgation d'informations confidentielles.
• Garantir l’exactitude, la fiabilité et l’intégrité des informations est de la plus haute importance.

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 5.29 remplace les trois directives précédentes 17.1.1, 17.1.2 et 17.1.3 de la norme ISO 27001:2013.

• 17.1.1 – Planifier la continuité de la sécurité de l'information
• 17.1.2 – Mettre en œuvre la continuité de la sécurité de l’information
• 17.1.3 – Vérifier, examiner et évaluer la continuité de la sécurité de l'information

En reconnaissant la complexité complexe des plans de continuité des activités – et la manière dont ils varient en fonction du type d'interruption – l'ISO a simplifié ses orientations en s'éloignant d'une approche détaillée et en demandant plutôt aux organisations de réfléchir à quelques éléments essentiels lors de la création de plans spécifiques à le sujet (voir ci-dessus).

Par exemple, l'annexe A 27001 de la norme ISO 2013:17.1.2 explique :

Personnel responsable de la réponse aux incidents, ayant la capacité de gérer un incident et maintenir la sécurité des informations, sont assignés.

Malgré leur importance pour une planification efficace de la continuité, la section 5.29 ne mentionne pas spécifiquement les équipes de réponse aux incidents, mais fait plutôt confiance à l'organisation pour qu'elle les examine attentivement lorsqu'elle suit les notes d'orientation, en particulier dans les domaines suivants :

Déployer et maintenir des contrôles de sécurité pour les informations générales, les systèmes commerciaux et les plateformes TIC conformément aux plans de continuité de l'organisation.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment l'aide d'ISMS.online

ISMS.online fournit une plate-forme basée sur le cloud pour faciliter la mise en œuvre de la norme ISO 27001. Elle rend la gestion de vos processus de risque de sécurité de l'information simple et efficace.

ISMS.online propose une suite d'outils pour rationaliser la documentation, la mise en œuvre, la maintenance et l'amélioration de votre système de gestion de la sécurité de l'information (ISMS) et garantir la conformité à la norme ISO 27001:2022.

Contactez-nous maintenant pour réserver une démonstration.