ISO 27001:2022 Annexe A 7.4 – Surveillance de la sécurité physique

Renforcement de la sécurité physique grâce à la conformité à la norme ISO 27001:2022

Dans le cas où un accès non autorisé est accordé à des zones physiques restreintes telles que les salles de serveurs et les salles d'équipement informatique, actifs informationnels peuvent être compromis en termes de confidentialité, de disponibilité, d’intégrité et de sécurité.

Dans la norme ISO 27001 : 2022, annexe A 7.4, il est interdit aux intrus de pénétrer dans des locaux physiques sensibles sans autorisation.

L’objectif de la norme ISO 27001 : 2022, annexe A 7.4 ?

L'Annexe A, Contrôle 7.4, exige que les organisations mettent en œuvre des outils de surveillance appropriés. Il s’agit de détecter et d’empêcher les intrus externes et internes de pénétrer dans des zones physiques restreintes sans autorisation.

Les outils de surveillance capables de surveiller et d'enregistrer les zones à accès restreint protègent contre les risques résultant d'un accès non autorisé aux zones à accès restreint, y compris, mais sans s'y limiter :

• Le vol de données.
• La perte des actifs informationnels.
• Dommage financier.
• Suppression des ressources de supports amovibles à des fins malveillantes.
• Infection par des logiciels malveillants des actifs informatiques.
• Les attaques sont menées par un intrus utilisant un ransomware.

Qui est propriétaire de l’annexe A 7.4 ?

Selon ISO 27001 Annexe A Contrôle 7.4, le respect de ce contrôle nécessite l'identification de toutes les zones réglementées. Cela nécessite également l’identification d’outils de surveillance adaptés à la zone physique spécifique à surveiller.

Par conséquent, le chef de la sécurité doit être responsable de la mise en œuvre, de la maintenance, de la gestion et de l’examen des systèmes de surveillance de manière efficace.

Conseils sur la façon de se conformer à la norme ISO 27001:2022, Annexe A 7.4

Selon la norme ISO 27001 Annexe A Contrôle 7.4, les organisations doivent mettre en œuvre les trois étapes suivantes pour détecter et dissuader tout accès non autorisé aux installations qui hébergent des informations critiques et empêcher qu'elles ne soient compromises.

Mettre en place un système de surveillance vidéo pour garder un œil sur la situation

Pour surveiller en permanence l'accès aux zones restreintes qui hébergent des informations critiques, une organisation doit disposer d'un système de vidéosurveillance, tel que des caméras de vidéosurveillance. Ceci est un exemple d'un tel système. En outre, il est également essentiel que ce système de surveillance conserve une trace de toutes les entrées et sorties dans les locaux.

Installation de détecteurs pour déclencher une alarme

La possibilité de déclencher une alarme lorsqu'un intrus pénètre dans les locaux physiques permet à l'équipe de sécurité de réagir rapidement à toute faille de sécurité. Cela peut également être un moyen efficace de dissuader les intrus d’entrer dans votre maison.

Il est recommandé aux organisations d'acheter des détecteurs de mouvement, de son et de contact qui les alerteront lorsqu'une activité anormale est détectée dans les locaux physiques de l'organisation.

Cela comprend, mais sans s'y limiter:

• Un détecteur de contact doit être installé dans l'environnement. Lorsqu'un objet ou un individu inconnu entre en contact avec un objet spécifique ou rompt le contact avec un certain objet, une alarme doit être activée. Un détecteur de contact peut, par exemple, être configuré pour déclencher une alarme lorsque le détecteur de contact entre en contact avec une fenêtre ou une porte.
• Les détecteurs de mouvement peuvent être configurés pour vous alerter s'ils détectent un mouvement dans leur champ de vision d'un objet se déplaçant dans leur champ de vision.
• Un détecteur sonore, tel qu'un détecteur de bris de vitre, peut être activé lorsqu'il détecte un son, ce qui peut aider à prévenir les accidents de voiture.

Configuration des alarmes pour tous les locaux internes

Il est impératif de s'assurer que le système d'alarme a été correctement configuré. Cela garantira que toutes les zones sensibles, y compris toutes les portes extérieures, fenêtres, zones inoccupées et salles informatiques, sont à portée du système d'alarme. Cela empêchera l’exploitation de toute vulnérabilité.

Par exemple, les intrus peuvent utiliser les zones fumeurs ou les entrées de gymnases comme vecteurs d’attaque s’ils ne sont pas surveillés.

Les types de systèmes de surveillance disponibles

Bien que ISO 27001 L'Annexe A Contrôle 7.4 n'exige pas que les organisations choisissent un système de surveillance plutôt qu'un autre, elle répertorie plusieurs outils de surveillance qui peuvent être utilisés séparément ou en combinaison avec d'autres, notamment :

• Caméra de surveillance.
• Gardes de sécurité.
• Systèmes d'alarme anti-intrusion.
• Logiciel de gestion de la sécurité physique.

ISO 27001:2022 Annexe A 7.4 Lignes directrices supplémentaires

Les considérations suivantes doivent être prises en compte lors de la mise en œuvre de systèmes de surveillance de la sécurité physique conformément à l'Annexe A, Contrôle 7.4 :

• Il est essentiel de maintenir la confidentialité sur la conception et le fonctionnement interne des systèmes de surveillance.
• Pour éliminer le risque de désactivation à distance des systèmes de surveillance par des parties malveillantes, des mesures appropriées doivent être mises en œuvre. Ces mesures devraient être mises en œuvre pour empêcher la divulgation de activités de surveillance, et des flux vidéo vers des parties non autorisées.
• Il est essentiel que la centrale d'alarme soit située dans une zone équipée d'alarme. De plus, il est essentiel que la personne qui déclenche l’alarme dispose d’un accès sûr et facile pour sortir de la zone.
• Un détecteur inviolable et un panneau de contrôle d'alarme doivent être utilisés.
• Les individus doivent être surveillés et enregistrés à l’aide de systèmes de surveillance uniquement à des fins légitimes. Cette surveillance et cet enregistrement doivent être conformes à toutes les lois et réglementations applicables, y compris les lois sur la protection des données. Par exemple, l'UE et le Royaume-Uni GDPR peut exiger que les organisations effectuent une évaluation d’impact avant de déployer des caméras de vidéosurveillance. De plus, l'enregistrement des flux vidéo doit respecter les périodes de conservation des données établies par les lois locales applicables.

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

Il est pertinent de noter que le contrôle 7.4 est un tout nouveau contrôle de l'Annexe A non abordé dans la norme ISO 27001:2013.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Les avantages d’ISMS.online

ISMS.online propose une large gamme d'outils puissants qui simplifient la mise en œuvre, la maintenance et l'amélioration de votre système de gestion de la sécurité de l'information (ISMS) pour répondre aux exigences de conformité ISO 27001.

En plus de fournir des outils complets, ISMS.online vous permet de créer des politiques et procédures sur mesure adaptées aux risques et aux exigences de votre organisation. Il permet également la collaboration entre collègues et partenaires externes tels que des fournisseurs ou des auditeurs tiers.

Contactez-nous dès aujourd'hui pour réserver une démo.