ISO 27001:2022 Annexe A 5.30 – Préparation aux TIC pour la continuité des activités

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 5.30 ?

La norme ISO 27001 Annexe A Contrôle 5.30 reconnaît le rôle important que jouent les plateformes et services TIC dans le maintien de la continuité des activités en cas de perturbation ou d'événement d'importance critique.

L'objectif de temps de récupération (RTO) et l'analyse d'impact commercial (BIA) d'une organisation sont définis dans l'annexe Contrôle 5.30, qui explique comment les services TIC interagissent avec ces mesures et contrôles associés.

Avant, pendant et après une interruption d’activité, l’objectif est de maintenir l’intégrité et la disponibilité des informations.

Orientations générales sur l'Annexe A 5.30

Pour créer des processus et des procédures en vertu de l'Annexe A Contrôle 5.30, une BIA approfondie doit être menée pour déterminer comment une organisation doit réagir en cas de perturbation opérationnelle.

Une analyse d’impact sur l’entreprise vise à établir comment une perturbation, quelle qu’elle soit, pourrait affecter la continuité des activités, quels que soient les types d’impacts et les variables organisationnelles impliquées.

Pour formuler un RTO convenu qui fixe des objectifs clairs pour le retour au fonctionnement normal, les organisations doivent prendre en compte deux variables clés :

• Une évaluation de l’ampleur de la perturbation.
• La nature de la perturbation.

Les organisations doivent être en mesure d’identifier les services et fonctions TIC précis requis pour le rétablissement ainsi que leurs exigences en matière de performance et de capacité au sein de leur BIA.

Il est essentiel que les organisations effectuent une évaluation des risques qui évalue leurs systèmes TIC et constitue la base d'une ou plusieurs stratégies de continuité TIC qui peuvent être lancées avant, pendant et après une interruption.

Une fois qu'une stratégie a été convenue, il est nécessaire de mettre en place des processus spécifiques pour garantir que les services TIC sont résilients et adéquats pour prendre en charge les processus et systèmes critiques pendant et après les perturbations.

Voici les principaux points d’orientation de l’Annexe A Contrôle 5.30 concernant les plans de continuité des TIC :

1. Pour accélérer le processus de récupération suite à des incidents TIC, les cadres supérieurs doivent souvent prendre des décisions rapides concernant la sécurité des informations.
2. Continuité de l'activité et le respect des RTO nécessite une chaîne de commandement solide qui comprend des personnes compétentes capables de prendre des décisions faisant autorité.
3. Pour faciliter une communication adéquate et accélérer les temps de récupération, les structures organisationnelles doivent être à jour et largement communiquées.
4. Des tests et évaluations réguliers ainsi que l'approbation de la haute direction sont des éléments essentiels des plans de continuité des TIC.
5. Un test doit être effectué pour évaluer l’efficacité des systèmes, et des indicateurs clés, tels que les temps de réponse et de résolution, doivent être mesurés.
6. Les informations suivantes doivent être incluses dans un plan de continuité des TIC :
• Les exigences de performances et de capacité de tout système ou processus utilisé dans le cadre de l’effort de récupération.
• Un RTO clair pour chaque service TIC en question et comment l'organisation compte les restaurer.
• Pour chaque ressource TIC, un objectif de point de récupération (RPO) est défini et des procédures sont créées pour garantir que les informations peuvent être restaurées.

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

Il n'y a pas de précédent pour le contrôle à 5.30hXNUMX ISO 27001:2013, c'est un nouveau contrôle dans ISO 27001:2022.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment ISMS.online vous aide

La mise en œuvre de la norme ISO 27001 est plus facile grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, de la définition de la portée de votre SMSI à identifier les risques et mettre en œuvre les contrôles de l’Annexe A.

Nous disposons d'une plateforme simple et intuitive. Il s'adresse à tous les membres de votre organisation, pas seulement aux personnes hautement techniques.

Contactez-nous dès aujourd'hui pour réserver une démo.