ISO 27001:2022 Annexe A 5.9 – Inventaire des informations et autres actifs associés

• See ISO 27002:2022 Contrôle 5.9 pour plus d'informations.
• See ISO 27001:2013 Annexe A 8.1.1 pour plus d'informations.
• See ISO 27001:2013 Annexe A 8.1.2 pour plus d'informations.

ISO 27001 Annexe A 5.9 : Guide de gestion des inventaires d'actifs informationnels

ISO 27001: 2022 L'annexe A, contrôle 5.9, est intitulée Inventaire des informations et autres actifs associés.

Cela oblige les organisations à identifier et documenter les actifs importants pour leurs opérations et les risques associés, et à prendre des mesures pour les protéger. Cela garantit que les actifs sont gérés et surveillés de manière appropriée, contribuant ainsi à garantir leur sécurité.

L'annexe A de la norme ISO 27001:2022 présente le contrôle 5.9, qui explique comment une liste d'informations et d'actifs associés, ainsi que leurs propriétaires respectifs, doivent être créées et tenues à jour.

Inventaire des actifs informationnels expliqué

L'organisation doit reconnaître à quoi elle a accès pour mener ses opérations. Il doit être conscient de son patrimoine informationnel.

Une IA complète est un élément crucial de la politique de sécurité des données de toute organisation. Il s'agit d'un inventaire de chaque élément de données stocké, traité ou transmis, ainsi que des emplacements et des contrôles de sécurité pour chacun. Il s'agit essentiellement de l'équivalent en comptabilité financière de protection des données, permettant aux organisations d'identifier chaque élément de données.

Une IA peut être utilisée pour identifier les faiblesses de votre programme de sécurité et fournir des informations pour évaluer cyber-risques pouvant conduire à une violation. Cela peut également constituer une preuve démontrant que vous avez pris des mesures pour identifier les données sensibles. lors des audits de conformité, ce qui vous aide à éviter les amendes et les sanctions.

Le inventaire des actifs informationnels doit préciser qui possède et est responsable de chaque actif, ainsi que la valeur et l'importance de chaque élément pour les opérations de l'organisation.

Il est essentiel de maintenir les inventaires à jour pour garantir qu'ils reflètent fidèlement les changements au sein de l'organisation.

Pourquoi ai-je besoin d’un inventaire des actifs informationnels ?

La gestion des actifs informationnels a une longue tradition dans la planification de la continuité des activités (BCP), la reprise après sinistre (DR) et la préparation aux réponses aux incidents.

L'identification des systèmes, réseaux, bases de données, applications, flux de données et autres composants critiques qui nécessitent une sécurité constitue la première étape de chacun de ces processus. Sans savoir ce qui doit être protégé et où il se trouve, vous ne pouvez pas planifier comment le protéger.

Quel est l’objectif du contrôle 27001 de l’annexe A de la norme ISO 2022 : 5.9 ?

Le contrôle vise à reconnaître la informations et actifs associés pour assurer la sécurité de l’information et désigner le propriétaire approprié.

L'annexe A de la norme ISO 27001:2022 présente le contrôle 5.9, qui décrit l'objectif et les conseils de mise en œuvre pour créer un inventaire des informations et autres actifs en relation avec le cadre SMSI.

Faites un inventaire de toutes les informations et des actifs associés, classez-les en catégories, identifiez les propriétaires et documentez les contrôles existants/requis.

Il s’agit d’une étape essentielle pour garantir que tous les biens de données sont correctement protégés.

Qu'est-ce que cela implique et comment répondre aux exigences

Pour répondre aux critères de la norme ISO 27001:2022, vous devez identifier les informations et autres actifs associés au sein de votre organisation. Après cela, vous devez évaluer l’importance de ces éléments en ce qui concerne la sécurité des informations. Si nécessaire, conservez les enregistrements dans des inventaires dédiés ou existants.

La taille et la complexité d'une organisation, les contrôles et politiques existants, ainsi que les types d'informations et d'actifs qu'elle utilise auront tous un effet sur l'élaboration d'un inventaire.

Conformément au contrôle 5.9, il est essentiel de garantir que l'inventaire des informations et autres actifs associés est exact, à jour, cohérent et conforme aux autres inventaires. Pour garantir l’exactitude, on peut considérer les éléments suivants :

• Réaliser des évaluations systématiques des informations répertoriées et des actifs associés conformément au catalogue d'actifs.
• Pendant le processus d'installation, de modification ou de suppression d'un actif, une mise à jour de l'inventaire sera automatiquement appliquée.
• Incluez la localisation d’un actif dans l’inventaire si nécessaire.

Certaines organisations peuvent avoir besoin de conserver plusieurs inventaires à des fins diverses. Par exemple, ils peuvent disposer d’inventaires spécialisés pour les licences de logiciels ou les appareils physiques tels que les ordinateurs portables et les tablettes.

Il est essentiel d'inspecter périodiquement tout l'inventaire physique qui comprend les périphériques réseau tels que les routeurs et les commutateurs afin de maintenir l'exactitude de l'inventaire pour à des fins de gestion des risques.

Pour plus d'informations sur la réalisation du contrôle 5.9, le document ISO 27001:2022 doit être consulté.

Différences entre ISO 27001:2013 et ISO 27001:2022

Dans la norme ISO 27001:2022, 58 contrôles de la norme ISO 27001:2013 ont été révisés et 24 autres contrôles ont été fusionnés. 11 nouveaux contrôles ont été ajoutés, tandis que certains ont été supprimés.

Vous ne trouverez donc pas Annexe A Contrôle 5.9 – Inventaire des informations et autres actifs associés – dans la version 2013, car il s’agit désormais d’une combinaison de ISO 27001:2013 Annexe A 8.1.1 – Inventaire des actifs - et ISO 27001:2013 Annexe A 8.1.2 – Propriété des actifs – dans la version 2022.

L'annexe A de la norme ISO 27001:2022 décrit le contrôle 8.1.2, Propriété des actifs. Cela garantit que tous les actifs informationnels sont clairement identifiés et détenus. Savoir qui possède quoi aide à déterminer quels actifs doivent être protégés et qui doit rendre des comptes.

ISO 27001:2013 et ISO 27001:2022 ont toutes deux des contrôles similaires, cependant, l'Annexe A Contrôle 5.9 de ce dernier a été élargie pour fournir une interprétation plus simple. Par exemple, les directives de mise en œuvre sur la propriété des actifs dans le contrôle 8.1.2 indiquent que le propriétaire de l'actif doit :

• Assurez-vous que tous les actifs sont enregistrés avec précision dans l’inventaire.
• Veiller à ce que les actifs soient classés et protégés de manière appropriée.
• Examiner périodiquement et définir des restrictions d'accès et les classifications des actifs clés, en tenant compte des politiques de contrôle d'accès applicables.
• Assurez-vous que les mesures appropriées sont prises lorsque l’actif est éliminé ou détruit.

La section relative à la propriété du contrôle 5.9 a été étendue pour inclure neuf points, au lieu des quatre d'origine. Des corrections ont été apportées à l'orthographe et à la grammaire, et le ton a été changé pour un style professionnel et convivial. La redondance et la répétition ont été éliminées et l'écriture est désormais dans un style actif.

Le propriétaire de l'actif doit assumer la responsabilité de la surveillance appropriée d'un actif tout au long de son cycle de vie, en s'assurant que :

• Toutes les données et ressources associées sont répertoriées et documentées.
• Assurez-vous que toutes les données, actifs associés et autres ressources associées sont correctement classés et protégés.
• La classification est révisée régulièrement pour garantir son exactitude.
• Les composants qui soutiennent les actifs technologiques sont enregistrés et interdépendants, y compris les bases de données, le stockage, les composants et sous-composants logiciels.
• Les exigences relatives à l’utilisation acceptable des informations et autres actifs associés sont énoncées au point 5.10.
• Les restrictions d'accès correspondent à la classification et s'avèrent efficaces, revues périodiquement pour assurer une protection continue.
• Les informations et autres actifs associés sont traités en toute sécurité lorsqu'ils sont supprimés ou éliminés, et retirés de l'inventaire.
• Ils sont responsables de l’identification et du traitement des risques liés à leur(s) actif(s).
• Ils fournissent un soutien au personnel qui gère leurs informations, en assumant les rôles et les responsabilités qui y sont associés.

La fusion de ces deux contrôles en un seul facilite la compréhension de l'utilisateur.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Que signifient ces changements pour vous ?

Les dernières modifications ISO 27001 n'affectent pas votre certification actuelle selon les normes ISO 27001. Seules les mises à niveau vers ISO 27001 peut avoir un effet sur les certifications existantes. Les organismes d'accréditation travailleront avec les organismes de certification pour concevoir une période de transition qui donne aux organisations Les certificats ISO 27001 disposent de suffisamment de temps pour passer d'une version à la suivante.

Ces étapes doivent être suivies pour respecter la version révisée :

• Assurez-vous que votre entreprise respecte les dernières réglementations en examinant le registre des risques et les procédures de gestion des risques.
• L'annexe A devrait être modifiée pour refléter toute modification apportée à la déclaration d'applicabilité.
• Assurez-vous que vos politiques et procédures sont à jour pour respecter les nouvelles réglementations.

Au cours de la transition vers la nouvelle norme, nous aurons accès à de nouvelles meilleures pratiques et qualités pour la sélection des contrôles, permettant un processus de sélection plus efficace et efficient.

Vous devez persister avec une méthode basée sur les risques pour garantir que seuls les contrôles les plus pertinents et les plus efficaces sont sélectionnés pour votre entreprise.

Comment ISMS.online vous aide

ISMS.online est idéal pour mettre en œuvre votre système de gestion de la sécurité de l'information ISO 27001. Il a été spécialement conçu pour aider les entreprises à répondre aux exigences de la norme.

Le la plateforme applique une méthode orientée risque en conjonction avec les meilleures pratiques et modèles de pointe du secteur pour vous aider à déterminer les risques auxquels votre organisation est confrontée et les contrôles requis pour les gérer. Cela vous permet de réduire systématiquement votre exposition aux risques et vos coûts de conformité.

ISMS.online vous permet de :

1. Développer un Système de gestion de la sécurité de l'information (SMSI).
2. Construire un ensemble de politiques et de procédures sur mesure.
3. Mettre en œuvre un SMSI pour répondre aux normes ISO 27001.
4. Bénéficiez de l’assistance de consultants expérimentés.

Vous pouvez profiter d'ISMS.online pour créer un SMSI, créer un ensemble personnalisé de politiques et de processus, adhérer aux critères ISO 27001 et obtenir l'aide de conseillers expérimentés.

La plateforme ISMS.online est basée sur Plan-Do-Check-Act (PDCA), une procédure itérative en quatre étapes pour une amélioration continue, qui répond à toutes les exigences de la norme ISO 27001:2022. C'est simple. Contactez-nous maintenant pour organisez votre démonstration.