ISO 27001:2022 Annexe A 6.4 – Processus disciplinaire

• See ISO 27002:2022 Contrôle 6.4 pour plus d'informations.
• See ISO 27001:2013 Annexe A 7.2.3 pour plus d'informations.

Qu'est-ce que l'ISO 27001:2022, annexe A 6.4 ?

L'Annexe A 27001 de la norme ISO 2022:6.4 exige que les organisations établissent un processus disciplinaire pour dissuader les sécurité de l'information violations.

Une communication formelle de ce processus doit être mise en œuvre et une sanction adaptée aux employés et autres parties prenantes qui enfreignent la politique de sécurité de l'information doit être établie.

Violation de la sécurité de l'information expliquée

Info politique de sécurité les violations constituent une violation de la réglementation régissant le bon traitement des informations. Les organisations établissent ces politiques pour protéger les données confidentielles, exclusives et personnelles, telles que les dossiers clients et les numéros de carte de crédit. De plus, des politiques de sécurité informatique y sont également incluses pour garantir que les données stockées sur les ordinateurs restent sécurisées et intactes.

Si vous utilisez le courrier électronique de l'entreprise pour envoyer des communications personnelles sans l'autorisation de votre superviseur, cela pourrait constituer une violation de la politique de l'entreprise. De plus, si vous commettez une erreur lors de l'utilisation de l'équipement ou des logiciels de l'entreprise, entraînant des dommages à l'équipement ou aux données qui y sont stockées, cela constitue également une infraction à la politique de sécurité de l'information.

Si un employé enfreint la politique de sécurité des informations d'une organisation, des mesures disciplinaires ou un licenciement peuvent en résulter. Dans certaines situations, une entreprise peut choisir de ne pas licencier un travailleur qui enfreint sa politique d'utilisation de l'ordinateur, mais de prendre d'autres mesures appropriées pour mettre fin à toute nouvelle infraction à la politique de l'entreprise.

L’objectif de la norme ISO 27001 : 2022, annexe A 6.4 ?

Le but du processus disciplinaire est de s'assurer que le personnel et toute autre partie intéressée reconnaissent les conséquences d'une violation de la politique de sécurité de l'information.

L'Annexe A 6.4 est conçue à la fois pour dissuader et aider à gérer toute violation des politiques de sécurité de l'information, en garantissant que les employés et autres parties prenantes concernées sont conscients des ramifications.

Un programme de sécurité de l'information efficace doit inclure la capacité d'administrer des mesures disciplinaires appropriées aux travailleurs qui enfreignent les réglementations sur la sécurité de l'information. Cela garantit que le personnel comprend les implications du non-respect des réglementations prédéfinies, réduisant ainsi le risque de fuite de données délibérée ou involontaire.

Voici des exemples d'activités qui pourraient être incluses lors de l'application de ce contrôle :

• Organiser des sessions de formation régulières pour tenir le personnel informé des changements de politique.
• Concevoir des mesures disciplinaires en cas de non-respect des politiques de sécurité des informations.
• Fournissez à chaque employé une copie des procédures disciplinaires de l’organisation.
• Dans des situations similaires, assurez-vous que les procédures disciplinaires sont suivies de manière cohérente.

Les mesures disciplinaires décrites dans le cadre doivent être rapidement mises en œuvre à la suite d'un incident, afin de décourager toute nouvelle violation des politiques organisationnelles.

Qu'est-ce que cela implique et comment répondre aux exigences

Rencontrer le exigences de l’Annexe A 6.4, des mesures disciplinaires doivent être prises lorsqu'il existe des preuves de non-respect des politiques, procédures ou réglementations de l'organisation. Cela inclut également toute législation et réglementation applicable.

Conformément à l'annexe A 6.4, le processus disciplinaire formel doit tenir compte des éléments suivants lors de l'adoption d'une approche progressive :

• L'étendue de la violation, sa nature, sa gravité et ses conséquences doivent être prises en compte.
• Si l'infraction était délibérée ou accidentelle.
• Qu’il s’agisse d’une première infraction ou d’une récidive.
• Il faut se demander si le transgresseur a reçu une formation suffisante.

Tenez compte de toutes les obligations juridiques, législatives, réglementaires, contractuelles et de l’entreprise pertinentes, ainsi que de tout autre facteur pertinent, lorsque vous prenez des mesures.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 6.4 remplace ISO 27001:2013 Annexe A 7.2.3 dans la version révisée 2022 de l'ISO 27001.

ISO 27001:2022 utilise un langage convivial pour garantir que les utilisateurs de la norme peuvent comprendre son contenu. Il existe des variations mineures dans la formulation, mais le contexte général et le contenu restent les mêmes.

La seule distinction que vous remarquerez est que le numéro de contrôle de l'annexe A a été modifié de 7.2.3 à 6.4. De plus, la norme 2022 présente l’avantage supplémentaire d’un tableau d’attributs et d’une déclaration d’intention qui sont absents dans la version 2013.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Qui est en charge de ce processus ?

Dans la majorité des cas, le processus disciplinaire est supervisé par le chef de service ou le représentant des RH. Il n'est pas rare que le représentant des RH confie la responsabilité des mesures disciplinaires à quelqu'un d'autre dans l'organisation, comme un expert en sécurité de l'information.

L'objectif principal des mesures disciplinaires est de protéger l'organisation de toute infraction supplémentaire de la part du membre du personnel. Il vise en outre à prévenir toute nouvelle occurrence d'incidents similaires en veillant à ce que tous les employés soient conscients de l'importance des violations de la sécurité des informations.

Il est essentiel pour toute organisation de veiller à ce que des mesures disciplinaires soient prises lorsqu'un membre du personnel a enfreint l'une de ses politiques ou procédures. Pour garantir cela, des orientations claires doivent être établies sur la manière de gérer de telles situations, y compris des instructions sur la manière de mener des enquêtes et les mesures à prendre par la suite.

Que signifient ces changements pour vous ?

Si vous vous demandez comment ces modifications vous affectent, voici un résumé concis des points les plus critiques :

• Pas besoin de recertifier ; ce n'est qu'une modification mineure.
• Conservez votre certification actuelle jusqu'à son expiration, à condition qu'elle reste valide.
• Aucune modification majeure n'a été apportée à l'ISO 27001:2022 Annexe A 6.4.
• L’objectif est d’aligner la norme sur les meilleures pratiques et normes les plus récentes.

Si vous visez à gagner Certification SMSI, vous devez évaluer vos mesures de sécurité pour vous assurer qu'elles sont conformes à la norme révisée.

Pour avoir un aperçu de l'impact que la nouvelle norme ISO 27001:2022 pourrait avoir sur vos procédures de sécurité des données et votre accréditation ISO 27001, veuillez vous référer à notre guide ISO 27001:2022 gratuit.

Comment ISMS.Aide en ligne

ISMS.online est le leader Logiciel de système de management ISO 27001, contribuant au respect de la norme ISO 27001. Il aide les entreprises à garantir que leurs politiques et procédures de sécurité sont conformes aux exigences.

Ce plate-forme en nuage propose une gamme complète d'outils pour aider les organisations à établir un système de gestion de la sécurité de l'information (ISMS) basé sur la norme ISO 27001.

Ces outils comprennent :

• Une bibliothèque de modèles pour les documents d'entreprise fréquemment rencontrés est disponible.
• Un ensemble de lignes directrices et de protocoles préétablis est en place.
• Un outil d’audit pour faciliter les audits internes est disponible.
• Une interface permettant de personnaliser les politiques et procédures du système de gestion de la sécurité de l'information (ISMS) est fournie.
• Toutes les modifications apportées aux politiques et procédures doivent être approuvées via un processus de flux de travail.
• Créez une liste pour vous assurer que vos politiques et mesures de protection des informations sont conformes aux normes internationales.

ISMS.Online offre aux utilisateurs la possibilité de :

• Gérez facilement tous les domaines du cycle de vie du SMSI.
• Obtenez une compréhension immédiate de leur état de sécurité et de leurs problèmes de conformité.
• Intégrez-vous à d’autres systèmes tels que les ressources humaines, les finances et la gestion de projet.
• Assurer la conformité du SMSI aux critères ISO 27001.

ISMS.Online offre des conseils sur la manière d'exécuter votre SMSI de manière optimale, avec des conseils sur l'élaboration de politiques et de protocoles associés à la gestion des risques, formation de sensibilisation à la sécurité du personnel et préparation à la réponse aux incidents.

Contactez-nous maintenant pour programmer une démonstration.