ISO 27001: 2022 L'annexe A, contrôle 5.9, est intitulée Inventaire des informations et autres actifs associés.
Cela oblige les organisations à identifier et documenter les actifs importants pour leurs opérations et les risques associés, et à prendre des mesures pour les protéger. Cela garantit que les actifs sont gérés et surveillés de manière appropriée, contribuant ainsi à garantir leur sécurité.
L'annexe A de la norme ISO 27001:2022 présente le contrôle 5.9, qui explique comment une liste d'informations et d'actifs associés, ainsi que leurs propriétaires respectifs, doivent être créées et tenues à jour.
L'organisation doit reconnaître à quoi elle a accès pour mener ses opérations. Il doit être conscient de son patrimoine informationnel.
Une IA complète est un élément crucial de la politique de sécurité des données de toute organisation. Il s'agit d'un inventaire de chaque élément de données stocké, traité ou transmis, ainsi que des emplacements et des contrôles de sécurité pour chacun. Il s'agit essentiellement de l'équivalent en comptabilité financière de protection des données, permettant aux organisations d'identifier chaque élément de données.
Une IA peut être utilisée pour identifier les faiblesses de votre programme de sécurité et fournir des informations pour évaluer cyber-risques pouvant conduire à une violation. Cela peut également constituer une preuve démontrant que vous avez pris des mesures pour identifier les données sensibles. lors des audits de conformité, ce qui vous aide à éviter les amendes et les sanctions.
Les inventaire des actifs informationnels doit préciser qui possède et est responsable de chaque actif, ainsi que la valeur et l'importance de chaque élément pour les opérations de l'organisation.
Il est essentiel de maintenir les inventaires à jour pour garantir qu'ils reflètent fidèlement les changements au sein de l'organisation.
La gestion des actifs informationnels a une longue tradition dans la planification de la continuité des activités (BCP), la reprise après sinistre (DR) et la préparation aux réponses aux incidents.
L'identification des systèmes, réseaux, bases de données, applications, flux de données et autres composants critiques qui nécessitent une sécurité constitue la première étape de chacun de ces processus. Sans savoir ce qui doit être protégé et où il se trouve, vous ne pouvez pas planifier comment le protéger.
Demander un devis
Le contrôle vise à reconnaître la informations et actifs associés pour assurer la sécurité de l’information et désigner le propriétaire approprié.
L'annexe A de la norme ISO 27001:2022 présente le contrôle 5.9, qui décrit l'objectif et les conseils de mise en œuvre pour créer un inventaire des informations et autres actifs en relation avec le cadre SMSI.
Faites un inventaire de toutes les informations et des actifs associés, classez-les en catégories, identifiez les propriétaires et documentez les contrôles existants/requis.
Il s’agit d’une étape essentielle pour garantir que tous les biens de données sont correctement protégés.
Pour répondre aux critères de la norme ISO 27001:2022, vous devez identifier les informations et autres actifs associés au sein de votre organisation. Après cela, vous devez évaluer l’importance de ces éléments en ce qui concerne la sécurité des informations. Si nécessaire, conservez les enregistrements dans des inventaires dédiés ou existants.
La taille et la complexité d'une organisation, les contrôles et politiques existants, ainsi que les types d'informations et d'actifs qu'elle utilise auront tous un effet sur l'élaboration d'un inventaire.
Conformément au contrôle 5.9, il est essentiel de garantir que l'inventaire des informations et autres actifs associés est exact, à jour, cohérent et conforme aux autres inventaires. Pour garantir l’exactitude, on peut considérer les éléments suivants :
Certaines organisations peuvent avoir besoin de conserver plusieurs inventaires à des fins diverses. Par exemple, ils peuvent disposer d’inventaires spécialisés pour les licences de logiciels ou les appareils physiques tels que les ordinateurs portables et les tablettes.
Il est essentiel d'inspecter périodiquement tout l'inventaire physique qui comprend les périphériques réseau tels que les routeurs et les commutateurs afin de maintenir l'exactitude de l'inventaire pour à des fins de gestion des risques.
Pour plus d'informations sur la réalisation du contrôle 5.9, le document ISO 27001:2022 doit être consulté.
Dans la norme ISO 27001:2022, 58 contrôles de la norme ISO 27001:2013 ont été révisés et 24 autres contrôles ont été fusionnés. 11 nouveaux contrôles ont été ajoutés, tandis que certains ont été supprimés.
Vous ne trouverez donc pas Annexe A Contrôle 5.9 – Inventaire des informations et autres actifs associés – dans la version 2013, car il s’agit désormais d’une combinaison de ISO 27001:2013 Annexe A 8.1.1 – Inventaire des actifs - et ISO 27001:2013 Annexe A 8.1.2 – Propriété des actifs – dans la version 2022.
L'annexe A de la norme ISO 27001:2022 décrit le contrôle 8.1.2, Propriété des actifs. Cela garantit que tous les actifs informationnels sont clairement identifiés et détenus. Savoir qui possède quoi aide à déterminer quels actifs doivent être protégés et qui doit rendre des comptes.
ISO 27001:2013 et ISO 27001:2022 ont toutes deux des contrôles similaires, cependant, l'Annexe A Contrôle 5.9 de ce dernier a été élargie pour fournir une interprétation plus simple. Par exemple, les directives de mise en œuvre sur la propriété des actifs dans le contrôle 8.1.2 indiquent que le propriétaire de l'actif doit :
La section relative à la propriété du contrôle 5.9 a été étendue pour inclure neuf points, au lieu des quatre d'origine. Des corrections ont été apportées à l'orthographe et à la grammaire, et le ton a été changé pour un style professionnel et convivial. La redondance et la répétition ont été éliminées et l'écriture est désormais dans un style actif.
Le propriétaire de l'actif doit assumer la responsabilité de la surveillance appropriée d'un actif tout au long de son cycle de vie, en s'assurant que :
La fusion de ces deux contrôles en un seul facilite la compréhension de l'utilisateur.
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 | Annexe A 5.1.1 Annexe A 5.1.2 | Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les cybermenaces |
| Contrôles organisationnels | Annexe A 5.8 | Annexe A 6.1.5 Annexe A 14.1.1 | Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 | Annexe A 8.1.1 Annexe A 8.1.2 | Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 | Annexe A 8.1.3 Annexe A 8.2.3 | Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 | Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 | Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 | Annexe A 9.1.1 Annexe A 9.1.2 | Contrôle d'accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 | Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 | Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 | Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 | Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 | Annexe A 15.2.1 Annexe A 15.2.2 | Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 | Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 | Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 | Annexe A 18.1.1 Annexe A 18.1.5 | Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 | Annexe A 18.2.2 Annexe A 18.2.3 | Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Tamisage |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 | Annexe A 16.1.2 Annexe A 16.1.3 | Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 | Annexe A 11.1.2 Annexe A 11.1.6 | Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 | Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 | stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 | Annexe A 6.2.1 Annexe A 11.2.8 | Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 | Annexe A 12.6.1 Annexe A 18.2.3 | Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 | Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 | Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation de programmes utilitaires privilégiés |
| Contrôles technologiques | Annexe A 8.19 | Annexe A 12.5.1 Annexe A 12.6.2 | Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 | Annexe A 10.1.1 Annexe A 10.1.2 | Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 | Annexe A 14.1.2 Annexe A 14.1.3 | Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Architecture de système sécurisée et principes d’ingénierie |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 | Annexe A 14.2.8 Annexe A 14.2.9 | Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 | Annexe A 12.1.4 Annexe A 14.2.6 | Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 | Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 | La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
Les dernières modifications ISO 27001 n'affectent pas votre certification actuelle selon les normes ISO 27001. Seules les mises à niveau vers ISO 27001 peut avoir un effet sur les certifications existantes. Les organismes d'accréditation travailleront avec les organismes de certification pour concevoir une période de transition qui donne aux organisations Les certificats ISO 27001 disposent de suffisamment de temps pour passer d'une version à la suivante.
Ces étapes doivent être suivies pour respecter la version révisée :
Au cours de la transition vers la nouvelle norme, nous aurons accès à de nouvelles meilleures pratiques et qualités pour la sélection des contrôles, permettant un processus de sélection plus efficace et efficient.
Vous devez persister avec une méthode basée sur les risques pour garantir que seuls les contrôles les plus pertinents et les plus efficaces sont sélectionnés pour votre entreprise.
ISMS.online est idéal pour mettre en œuvre votre système de gestion de la sécurité de l'information ISO 27001. Il a été spécialement conçu pour aider les entreprises à répondre aux exigences de la norme.
Les la plateforme applique une méthode orientée risque en conjonction avec les meilleures pratiques et modèles de pointe du secteur pour vous aider à déterminer les risques auxquels votre organisation est confrontée et les contrôles requis pour les gérer. Cela vous permet de réduire systématiquement votre exposition aux risques et vos coûts de conformité.
Vous pouvez profiter d'ISMS.online pour créer un SMSI, créer un ensemble personnalisé de politiques et de processus, adhérer aux critères ISO 27001 et obtenir l'aide de conseillers expérimentés.
La plateforme ISMS.online est basée sur Plan-Do-Check-Act (PDCA), une procédure itérative en quatre étapes pour une amélioration continue, qui répond à toutes les exigences de la norme ISO 27001:2022. C'est simple. Contactez-nous maintenant pour organisez votre démonstration.
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
