ISO 27001 : 2022 Annexe A 7.3 – Sécurisation des bureaux, des salles et des installations

• See ISO 27002:2022 Contrôle 7.3 pour plus d'informations.
• See ISO 27001:2013 Annexe A 11.1.3 pour plus d'informations.

Qu'est-ce que l'ISO 27001:2022, annexe A 7.3 ?

ISO 27001: 2022 L'annexe A 7.3 décrit les exigences relatives à la construction et à l'exécution d'une sécurité physique pour les bureaux, les chambres et les lieux.

Ce contrôle encourage les organisations à mettre en place des mesures appropriées pour se prémunir contre tout accès non autorisé aux locaux, bureaux et installations, en particulier lorsque gérer la sécurité de l'information. Ces mesures peuvent inclure des serrures, des alarmes, des agents de sécurité ou d'autres moyens appropriés pour se protéger contre les problèmes de sécurité des informations.

La sécurité physique des bureaux, des chambres et des installations expliquée

La sécurité physique est une composante essentielle de la sécurité de l’information. Les deux doivent être pris en compte ensemble. La sécurité de l'information est la protection des données et des systèmes contre tout accès, utilisation, divulgation, perturbation, altération ou destruction non autorisés.

La sécurité physique implique de prendre des mesures pour protéger le personnel, les installations, les équipements et autres actifs contre les dangers potentiels, tels que le cambriolage, le sabotage, le terrorisme et autres activités criminelles, en réduisant les risques associés.

Déterminer si vous disposez d'un emplacement sensible en termes d'informations est la première étape de la sécurité physique. Il peut s'agir de bureaux, de pièces ou d'installations dotées d'ordinateurs contenant des données délicates, ou de personnes dont le personnel a accès à des informations délicates.

Serrures et clés

Sécurisez toutes les portes, fenêtres et placards ; apposer des sceaux de sécurité sur les ordinateurs portables et les appareils mobiles ; installer une protection par mot de passe pour les ordinateurs ; chiffrer les données sensibles.

CCTV

Les caméras en circuit fermé constituent un moyen efficace de surveillance de l'activité sur le terrain ou dans des zones particulières d'une structure.

Alarmes d'intrusion

Le mouvement, la chaleur ou le son peuvent déclencher ces alarmes, qui vous alertent de tout intrus ou personne non autorisée dans une zone (par exemple, une alarme de sécurité se déclenche si quelqu'un tente de s'introduire par effraction dans le bureau).

Quel est l’objectif de l’Annexe A 27001 de la norme ISO 2022 : 7.3 ?

L'objectif de ISO 27001:2022 Annexe A Le contrôle 7.3 vise à protéger les informations de l'organisation et autres actifs associés dans les bureaux, les salles et les installations contre tout accès physique non autorisé, tout dommage et toute interférence.

L'objectif principal de la norme ISO 27001:2022 Annexe A 7.3 est de réduire le risque d'accès physique non autorisé aux bureaux, aux salles et aux installations à un niveau acceptable en :

• Il est essentiel d’empêcher les personnes non autorisées d’entrer dans les bureaux, les pièces et les installations. Tout le personnel doit être autorisé avant de pouvoir accéder.
• Empêcher tout dommage ou toute perturbation des données de l'organisation et d'autres actifs associés dans les zones de travail, les salles et les installations.
• Assurez-vous que les zones sensibles en matière de sécurité des informations sont discrètes afin qu’il soit difficile de discerner leur objectif.
• Minimiser les risques de vol ou de perte de biens dans les bureaux, les chambres et les installations.
• Assurer l’identification du personnel autorisé à accéder physiquement via une combinaison d’uniformes, de systèmes d’entrée électronique et de laissez-passer pour les visiteurs.
• Dans la mesure du possible, des systèmes de vidéosurveillance ou d'autres systèmes de surveillance doivent être mis en œuvre pour assurer la sécurité dans les zones vitales telles que les portes/sorties.

L'annexe A 7.3 concerne toutes les structures utilisées par l'organisation pour les bureaux ou les opérations administratives. Elle couvre également les pièces dans lesquelles des données confidentielles sont conservées ou traitées, y compris les zones où se déroulent des conversations sensibles.

Cela n'inclut pas les zones de réception ou autres parties publiques des locaux d'une organisation, à moins qu'elles ne soient utilisées à des fins administratives, par exemple lorsqu'une zone de réception sert de bureau.

Qu'est-ce que cela implique et comment répondre aux exigences

L'annexe A 7.3 de la norme ISO 27001:2022 stipule que les locaux et les installations doivent être sécurisés. Pour répondre à ces exigences, les mesures de sécurité suivantes doivent être prises :

• Localiser les installations critiques pour empêcher l’accès du public.
• Veiller à ce que les bâtiments ne soient pas intrusifs et démontrent un minimum d'indications quant à leur objectif, sans aucun signe clair, à l'intérieur ou à l'extérieur du bâtiment, indiquant que des activités de traitement de l'information ont lieu.
• Mettre en place des systèmes pour protéger les données et activités confidentielles contre toute écoute ou vue de l’extérieur. Un blindage électromagnétique peut être nécessaire.
• Assurez-vous que les annuaires, les annuaires téléphoniques internes et les cartes en ligne indiquant la localisation des installations de traitement d'informations confidentielles sont accessibles à toute personne non autorisée.

Pour plus de détails sur l'atteinte du contrôle stipulé dans la norme ISO 27001:2022, consultez le document.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 7.3 remplace ISO 27001:2013 Annexe A 11.1.3 de la norme révisée 2022.

L'Annexe A 7.3 n'est pas un nouveau contrôle. Il s'agit d'une version modifiée de l'Annexe A 11.1.3 de la norme ISO 27001:2013. La distinction la plus significative entre les versions 2013 et 2022 est que le numéro de contrôle de l'annexe A a été modifié. Hormis cet ajustement, le contexte et le sens général restent inchangés, malgré la reformulation.

Le contrôle de l'annexe A 2022 comprend un tableau d'attributs et une déclaration d'intention, qui sont absents de la version 2013.

Qui est en charge de ce processus ?

La première personne à consulter lors de l'aménagement des bureaux, des chambres et des installations est généralement le gestionnaire ou le directeur en charge du bâtiment et de son contenu.

Le responsable de la sécurité supervise la sécurité dans toutes les zones, y compris les bureaux et les installations. Il/Elle garde un œil sur tout le personnel ayant accès à ces zones et s’assure que leur utilisation est appropriée.

Dans certains cas, plusieurs personnes peuvent être responsables de la sécurité. Par exemple, lorsqu'une personne a accès à des informations sensibles qui pourraient être préjudiciables à l'entreprise ou à la vie privée des autres membres du personnel, il est essentiel que plusieurs personnes soient impliquées dans sa sécurité.

Le service RH est responsable des politiques d'assurance et des avantages sociaux des employés, tandis que le service informatique gère les systèmes et réseaux informatiques. Les deux départements sont impliqués dans la gestion de la sécurité physique, ainsi que dans les problèmes de cybersécurité tels que les escroqueries par phishing et les tentatives d'accès non autorisées.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Que signifient ces changements pour vous ?

Aucune modification significative n'est nécessaire pour se conformer à la version la plus récente de la norme ISO 27001:2022.

Évaluez votre solution de sécurité des informations existante pour vous assurer qu’elle répond à la norme renouvelée. Si vous avez modifié quelque chose depuis 2013, date de parution de la dernière édition, envisagez de revoir ces modifications pour décider si elles sont toujours applicables ou si elles doivent être révisées.

Comment ISMS.Aide en ligne

Notre la plateforme est parfaite pour les débutants en sécurité de l'information ou ceux qui souhaitent acquérir rapidement une compréhension de la norme ISO 27001:2022 sans avoir besoin d'investir du temps dans l'étude dès le début ou dans la révision de longs documents.

ISMS.online est équipé de tous les outils nécessaires pour respecter la conformité, notamment des modèles de documents personnalisés, des listes de contrôle et des politiques.

Contactez-nous maintenant pour programmer une démonstration.