ISO 27001:2022 Annexe A 5.37 – Procédures opérationnelles documentées

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 5.37 ?

ISO 27001:2022 Annexe A 5.37 décrit la sécurité des informations comme une activité opérationnelle, dont les éléments constitutifs sont réalisés et/ou gérés par des individus.

L'annexe A 5.37 décrit les procédures opérationnelles pour maintenir les installations de sécurité des informations d'une organisation selon ses besoins documentés afin de garantir qu'elles restent efficaces et sécurisées.

Qui est propriétaire de l’annexe A 5.37 ?

L'annexe A 5.37 couvre diverses circonstances pouvant impliquer plusieurs départements et rôles professionnels. Cela dit, on peut supposer que la plupart des procédures affecteront le personnel, les équipements et les systèmes TIC.

Un membre de l'équipe de direction responsable de toutes les activités liées aux TIC, telles que Head of IT, devrait être responsable de la propriété de l'Annexe A 5.37.

Orientations générales sur l'Annexe A 5.37

Les procédures liées à la sécurité de l’information doivent être élaborées sur la base de cinq considérations opérationnelles clés :

1. Instances d’une activité réalisée par un ou plusieurs individus de la même manière.
2. Lorsqu'une activité est pratiquée rarement.
3. Quand il y a des procédures qui risquent d’être oubliées.
4. De nouvelles activités que les membres du personnel ne connaissent pas et présentent donc un risque plus élevé.
5. Lorsque la responsabilité de l’exercice d’une activité est transférée à un autre employé ou groupe d’employés.

Lorsque de tels cas se produisent, les procédures opérationnelles doivent clairement décrire ce qui doit être fait dans ces situations :

• Les personnes responsables – qu’il s’agisse d’opérateurs historiques ou de nouveaux opérateurs.
• Lignes directrices pour maintenir la sécurité lors de l’installation et de la configuration de tout système d’entreprise associé.
• Tout au long de l'activité, comment les informations sont traitées.
• Plans BUDR et implications en cas de perte de données ou de sinistre (voir Annexe A 8.13).
• Il doit y avoir un lien entre les dépendances et tout autre système, y compris la planification.
• Il doit y avoir une procédure claire pour traiter les « erreurs de gestion » ou les événements divers qui peuvent survenir (voir Annexe A 8.18).
• Il doit y avoir une liste complète du personnel à contacter en cas de perturbation, ainsi que des procédures de remontée d'informations claires.
• Lignes directrices opérationnelles pour tout supports de stockage associée à l'activité (voir Annexe A 7.10 , Annexe A 7.14).
• En cas de panne du système, comment redémarrer et récupérer.
• Journalisation de des pistes de vérification, y compris les journaux système et d'événements (voir Annexe A 8.15 , Annexe A 8.17).
• Systèmes d'observation des activités sur site qui se déroulent (voir Annexe A 7.4).
• Un système de surveillance robuste qui répond à la capacité opérationnelle, au potentiel de performance et à la sécurité de l'activité.
• Afin de maintenir des niveaux de performance optimaux, il est essentiel de savoir ce qu’il faut faire pour maintenir l’activité.

Les approches ci-dessus devraient faire l’objet d’examens périodiques et/ou ponctuels, selon les besoins. Toutes les modifications apportées aux procédures doivent être ratifiées par la direction dans les plus brefs délais afin de protéger toutes les activités de sécurité de l'information menées au sein de l'organisation.

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 5.37 remplace ISO 27001:2013 Annexe A 12.1.1 (« Procédures opérationnelles documentées »).

L'ISO 27001:2022 Annexe A 5.37 développe l'ISO 27001:2013 Annexe A 12.1.1 en offrant un ensemble beaucoup plus large de circonstances qui garantiraient le respect d'une procédure documentée.

ISO 27001:2013, l'Annexe A 12.1.1 décrit les activités de traitement de l'information telles que le démarrage et l'arrêt de l'ordinateur, la sauvegarde, la maintenance de l'équipement et la gestion des supports. En revanche, ISO 27001: 2022 L'annexe A 5.37 étend la portée du contrôle à des activités généralisées non limitées à des fonctions techniques spécifiques.

Hormis quelques ajouts mineurs, tels que la catégorisation des personnes responsables d'une activité, l'ISO 27001:2022 Annexe A 5.37 contient les mêmes points d'orientation généraux que l'ISO 27001:2013 Annexe A 12.1.1.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Mise en œuvre de la norme ISO 27001 : 2022 est simplifié grâce à notre liste de contrôle étape par étape qui vous guide à travers toutes les phases, de la définition de la portée de votre SMSI à l'identification des risques et à la mise en œuvre des contrôles.

Les avantages d’ISMS.online incluent :

• La conformité peut être démontrée par l'accomplissement de tâches et la présentation de preuves.
• Il est facile de surveiller les progrès de la conformité et de déléguer des responsabilités.
• Du temps et des efforts sont économisés tout au long du évaluation des risques processus avec l’ensemble complet d’outils d’évaluation des risques.
• Nous disposons d’une équipe dédiée de consultants disponibles pour vous aider tout au long de votre parcours de conformité.

Contactez-nous dès aujourd'hui pour réserver une courte démo de 30 minutes.