ISO 27001:2022 Annexe A Contrôle 6.7

Quel est l’objectif de l’Annexe A 27001 de la norme ISO 2022 : 6.7 ?

L'objectif de la norme ISO 27001:2022 Annexe A 6.7 est de garantir que le personnel distant dispose des contrôles d'accès nécessaires pour protéger la confidentialité, l'intégrité et la disponibilité des informations, procédures et systèmes confidentiels ou exclusifs contre tout accès non autorisé ou toute divulgation par des personnes non autorisées.

Les organisations doivent assurer la sécurité des informations lorsque le personnel travaille à distance. Ainsi, ils devraient émettre une politique sur mesure concernant le travail à distance qui définit les conditions et limites applicables en matière de sécurité des données. Cette politique doit être diffusée à tout le personnel, y compris des instructions sur la façon d'utiliser les technologies d'accès à distance en toute sécurité.

Cette politique est susceptible de répondre à :

• Les conditions dans lesquelles le travail à distance est autorisé.
• Processus permettant de garantir que les travailleurs à distance ont accès aux informations confidentielles.
• Garantir la protection des informations lors de leur transmission entre différents lieux physiques implique le respect de certaines procédures.

Il est essentiel d'établir un cadre clair système de signalement des incidents, y compris les bonnes informations de contact. Cela peut aider à prévenir les failles de sécurité ou d’autres incidents.

La politique doit également couvrir le cryptage, les pare-feu, les mises à jour des logiciels antivirus et les instructions aux employés sur la façon d'utiliser en toute sécurité les connexions à distance.

Qu'est-ce que cela implique et comment répondre aux exigences

Afin de se conformer à l'annexe A 6.7, les organisations proposant du travail à distance doivent publier une politique concernant le travail à distance qui précise les réglementations et limites associées.

La politique doit être évaluée périodiquement, en particulier lorsque la technologie ou la législation évolue.

Tout le personnel, les sous-traitants et les entités impliqués dans des activités de travail à distance doivent être informés de la politique.

La politique doit être documentée, rendue accessible aux parties prenantes, telles que les régulateurs et les auditeurs, et tenue à jour.

Les organisations doivent s'assurer qu'elles disposent des garanties nécessaires pour sécuriser les informations sensibles ou confidentielles transmises ou stockées électroniquement lors d'opérations à distance.

Conformément à l'annexe A 6.7, les éléments suivants doivent être pris en compte :

• Tenez compte de la sécurité physique du site de travail à distance, à la fois existant et proposé, englobant la sécurité du lieu, de la zone environnante et des systèmes juridiques des régions dans lesquelles le personnel est basé.
• Règles d'environnement physique sécurisé, telles que classeurs verrouillables, transport sécurisé entre les sites, réglementations d'accès à distance, bureau dégagé, impression et élimination des données et des actifs associés, ainsi que reporting sur les événements de sécurité, doit être mis en œuvre.
• Les environnements physiques anticipés pour le travail à distance.
• Des communications sécurisées doivent être assurées, en tenant compte des besoins d'accès à distance de l'organisation, de la sensibilité des données transférées et de la vulnérabilité des systèmes et des applications.
• L'accès à distance, tel que l'accès au bureau virtuel, permet le traitement et le stockage des informations sur des appareils personnels.
• Le danger d’un accès non autorisé aux données ou aux actifs par des personnes extérieures à l’espace de travail à distance – comme des parents et des amis – est réel.
• Le risque d’accès non autorisé aux données ou aux actifs par des personnes dans les espaces publics est préoccupant.
• L'utilisation de réseaux domestiques et publics, ainsi que de règles ou d'interdictions liées à la configuration de services de réseaux sans fil, est nécessaire.
• L'utilisation de mesures de sécurité, telles que des pare-feu et une protection anti-malware, est essentielle.
• Assurez-vous que les systèmes peuvent être déployés et lancés à distance avec des protocoles sécurisés.
• Des mécanismes d'authentification sécurisés doivent être activés pour accorder des privilèges d'accès, en tenant compte de la sensibilité des mécanismes d'authentification à facteur unique lorsque l'accès à distance au réseau de l'organisation est autorisé.

Les lignes directrices et les mesures à prendre en compte devraient inclure :

• L'organisation doit fournir des équipements et du mobilier de stockage adaptés aux activités de travail à distance, en interdisant l'utilisation d'équipements privés échappant à son contrôle.
• Ce travail implique les tâches suivantes : définir le travail autorisé, classer les informations pouvant être détenues et autoriser les travailleurs à distance à accéder aux systèmes et services internes.
• Une formation devrait être dispensée à ceux qui travaillent à distance et à ceux qui offrent un soutien. Cela devrait expliquer comment mener des affaires en toute sécurité en dehors du bureau.
• Il est essentiel de veiller à ce qu'un équipement de communication approprié soit fourni, par exemple en exigeant des verrouillages d'écran de l'appareil et des minuteries d'inactivité pour l'accès à distance.
• L'activation du suivi de la localisation de l'appareil est possible.
• L’installation de capacités d’effacement à distance est indispensable.
• Sécurité physique.
• Les lignes directrices et les règles concernant l’accès des familles et des visiteurs à l’équipement et aux données doivent être respectées.
• L'entreprise fournit un support et une maintenance matériels et logiciels.
• La fourniture d'une assurance.
• Le protocole de sauvegarde des données et de continuité des opérations.
• Audit et surveillance de la sécurité.
• À la fin des activités de travail à distance, l'autorité et les droits d'accès doivent être révoqués et tout l'équipement doit être restitué.

Modifications et différences par rapport à la norme ISO 27001:2013

L'Annexe A 27001 de l'ISO 2022:6.7 est une adaptation de l'Annexe A 6.2.2 de l'ISO 27001:2013. et non un élément nouveau.

Les annexes A 27001 et 2022 de l'ISO 6.7 :6.2.2 partagent de nombreuses similitudes, bien que la nomenclature et la formulation diffèrent. Dans la norme ISO 27001:2013, 6.2.2 est appelé télétravail, tandis que 6.7 est appelé travail à distance. Ce changement se reflète dans la nouvelle version de la norme, qui remplace le télétravail par le travail à distance.

Dans l'annexe A 6.7 de la norme ISO 27001:2022, la norme décrit ce qui est considéré comme du travail à distance, y compris le télétravail – le nom de contrôle initial dans la version ISO 27001:2013.

La version 2022 des directives de mise en œuvre est largement similaire, bien que le langage et les termes diffèrent. Pour garantir que les utilisateurs du standard comprennent, un langage convivial est utilisé.

Certains ajouts ont été effectués à l'annexe A 6.7 et certaines suppressions ont eu lieu à l'annexe A 6.2.2.

Ajouté à l'Annexe A de la norme ISO 27001:2022 6.7 Travail à distance

• Garantissez la sécurité physique avec des classeurs verrouillables, fournissez des instructions de transport et d'accès sécurisées, imposez des politiques de bureau claires, définissez des protocoles d'impression/élimination des informations/actifs et mettez en œuvre un système de réponse aux incidents.
• Il est prévu que les gens travaillent à distance. Des circonstances physiques sont attendues.
• Le risque d’accès non autorisé à des informations ou à des ressources par des étrangers dans les espaces publics.
• Méthodes sécurisées pour le déploiement et la configuration à distance des systèmes.
• Des mécanismes sécurisés sont en place pour authentifier et permettre privilèges d'accès, en tenant compte de la sensibilité des mécanismes d'authentification à facteur unique lorsque l'accès à distance au réseau de l'organisation est activé.

Supprimé de la norme ISO 27001:2013, Annexe A 6.2.2 Télétravail

• La mise en œuvre de réseaux domestiques et les réglementations ou limitations sur la configuration des services de réseau sans fil sont nécessaires.
• Des politiques et des procédures visant à atténuer les litiges concernant les droits de propriété intellectuelle développés sur des équipements privés devraient être instituées.
• L'accès à des machines privées (pour assurer leur sécurité ou à des fins d'enquête) peut être interdit par la loi.
• Les organisations peuvent être responsables des licences logicielles sur les postes de travail appartenant à leur personnel ou à des utilisateurs externes.

La norme ISO 27001:2022 fournit des déclarations d'objectif et des tableaux d'attributs pour chaque contrôle, aidant ainsi les utilisateurs à comprendre et à mettre en pratique les contrôles plus efficacement.

La version ISO 27001:2013 ne dispose pas de ces deux composants.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Qui est en charge de ce processus ?

Le devoir premier de concevoir un politique de sécurité de l'information pour les employés distants incombe au responsable de la sécurité de l'information de l'organisation. Néanmoins, d’autres parties prenantes devraient également être impliquées dans le processus.

Les responsables informatiques et RH sont conjointement responsables de garantir que la politique est mise en œuvre et maintenue, et que les employés la comprennent et la respectent.

Si vous disposez d'un programme de gestion des fournisseurs, il est probable que la personne responsable de la gestion des sous-traitants et des fournisseurs sera chargée d'élaborer une politique de sécurité pour les travailleurs externes de ce service.

Que signifient ces changements pour vous ?

La norme ISO 27001:2022 reste largement inchangée ; ainsi, vous devez simplement vous assurer que vos processus de sécurité des informations sont conformes à la nouvelle version.

La modification de certains contrôles et la clarification de certaines exigences constituent le principal changement. L'annexe A 6.7 a eu l'effet le plus significatif : si vous sous-traitez des opérations ou employez des personnes à distance, vous devez vous assurer qu'elles disposent de mesures de sécurité appropriées.

Si votre organisation détient déjà un Certification ISO 27001, le processus que vous employez pour gérer la sécurité des informations sera conforme aux nouvelles réglementations.

Si vous cherchez à renouveler votre ISO 27001 certification, vous n’avez aucune démarche à entreprendre. Assurez-vous seulement que vos procédures sont toujours conformes à la nouvelle norme.

Si vous commencez dès le début, il est nécessaire de réfléchir à la manière de protéger les données et informations de votre entreprise contre les cyberattaques et autres risques.

Il est essentiel de prendre les cyber-risques au sérieux et de les gérer dans le cadre du plan d’affaires global, plutôt que de les considérer uniquement comme un problème pour les services informatiques ou de sécurité.

Comment l'aide d'ISMS.online

Les Plateforme ISMS.online assiste dans toutes les facettes de la mise en œuvre de la norme ISO 27001:2022, de la réalisation d'activités d'évaluation des risques à la conception de politiques, de procédures et de directives pour satisfaire aux spécifications de la norme.

ISMS.online fournit une plate-forme pour documenter et partager les résultats avec des collègues. De plus, il vous permet de générer et de stocker des listes de contrôle de toutes les tâches nécessaires à la mise en œuvre de la norme ISO 27001, vous permettant ainsi de surveiller facilement les mesures de sécurité de votre organisation.

Nous fournissons aux organisations un ensemble d'outils automatisés pour faciliter la démonstration de la conformité à la norme ISO 27001.

Contactez-nous maintenant pour réserver une démonstration.