ISO 27001:2022 Annexe A 7.7 – Bureau clair et écran clair

• See ISO 27002:2022 Contrôle 7.7 pour plus d'informations.
• See ISO 27001:2013 Annexe A 11.2.9 pour plus d'informations.

ISO 27001 Annexe A 7.7 : Protection des informations sensibles grâce aux politiques Clear Desk et Clear Screen

ISO 27001: 2022 L'Annexe A 7.7 explique comment les organisations peuvent protéger et maintenir la confidentialité des informations sensibles sur les écrans numériques et sur papier en mettant en œuvre des règles de bureau et d'écran clairs.

Un employé qui laisse son poste de travail sans surveillance risque un accès non autorisé, une perte de confidentialité et des dommages aux informations sensibles contenues dans les supports numériques et physiques.

Par exemple, des parties malveillantes peuvent exploiter l’opportunité de voler et d’utiliser à mauvais escient des données de santé sensibles si un employé laisse son ordinateur sans surveillance pendant une pause déjeuner alors qu’il utilise un outil de gestion de la relation client.

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 7.7 ?

La norme ISO 27001:2022 Annexe A 7.7 fournit aux organisations une méthode pour éliminer et/ou atténuer les risques d'accès non autorisé, d'utilisation, de dommage ou de perte d'informations sensibles sur les écrans et les documents des postes de travail des employés lorsqu'ils ne sont pas présents.

Propriété de la norme ISO 27001:2022 Annexe A 7.7

Conformément à l'Annexe 7.7, les organisations doivent adopter et mettre en œuvre une politique à l'échelle de l'organisation concernant les bureaux et les écrans clairs. Les responsables de la sécurité de l’information doivent être responsables de la production, du maintien et de l’application de politiques de bureau et d’écran clairs dans toute l’organisation.

Orientations générales sur la norme ISO 27001:2022 Annexe A 7.7

L'annexe A 7.7 recommande de créer et d'appliquer une politique spécifique à un sujet qui décrit les règles pour des bureaux et des écrans clairs.

En outre, l'annexe A 7.7 spécifie sept exigences spécifiques que les organisations doivent prendre en compte lors de l'établissement et de l'application de politiques de bureau et d'écran clairs :

• Les actifs numériques et physiques contenant des informations sensibles ou critiques doivent être verrouillés de manière sécurisée lorsqu'ils ne sont pas utilisés ou lorsque le poste de travail qui les héberge est vide. Par exemple, les dossiers papier, les ordinateurs portables et les imprimantes doivent être stockés dans des meubles sécurisés tels que des tiroirs ou des armoires dotées de serrures.
• Les appareils utilisés par les employés, tels que les ordinateurs portables, les scanners, les imprimantes et les ordinateurs portables, doivent être protégés par des verrous à clé lorsqu'ils ne sont pas utilisés ou laissés sans surveillance.
• Les employés doivent laisser leurs appareils déconnectés lorsqu'ils quittent leur espace de travail et les laisser sans surveillance. La réactivation de l'appareil ne devrait être possible qu'avec l'authentification de l'utilisateur. Tous les appareils des employés, tels que les ordinateurs, doivent disposer de fonctionnalités d'expiration et de déconnexion automatiques.
• L'imprimante doit être conçue de manière à ce que les impressions puissent être récupérées immédiatement par la personne qui les a imprimées (auteur). En outre, seul l'expéditeur devrait être autorisé à collecter les impressions via un mécanisme d'authentification robuste.
• Le matériel contenant des informations sensibles, y compris les supports amovibles, doit être conservé en sécurité à tout moment. Lorsqu’ils ne sont plus nécessaires, ils doivent être éliminés de manière sécurisée.
• Il est essentiel pour les organisations de créer des règles d'affichage des pop-ups sur les écrans et de communiquer ces règles à tous les collaborateurs concernés. Par exemple, les fenêtres contextuelles (telles que les notifications par courrier électronique) contenant des informations sensibles peuvent compromettre la confidentialité des informations sensibles si elles sont affichées lors d'une présentation ou dans un espace public.
• Les tableaux blancs doivent être effacés lorsque des informations sensibles ou critiques ne sont plus nécessaires.

Orientations supplémentaires sur l'Annexe A 7.7

ISO 27001 Annexe A 7.7 avertit les organisations des risques découlant des installations libérées. Les documents physiques et numériques précédemment stockés dans une installation doivent être retirés en toute sécurité lorsqu'une organisation quitte l'établissement afin d'éviter la perte d'informations sensibles.

Par conséquent, l'annexe A 7.7 stipule que les organisations doivent établir des procédures pour la mise hors service des installations afin de garantir que les informations sensibles sont éliminées en toute sécurité. Un balayage final peut être effectué pour garantir qu’aucune information sensible n’est laissée sans protection.

Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 7.7 remplace ISO 27001:2013 Annexe A 11.2.9 («Politique de bureau et d'écran clairs').

Il existe deux différences notables entre les versions ISO 27001:2022 et ISO 27001:2013 :

• La version ISO 27001:2022 n'inclut pas de critères à prendre en compte lors de l'établissement et de la mise en œuvre de politiques de bureau et d'écran clairs.

Alors que la version 2013 précise que les organisations devraient considérer l'ensemble de l'organisation classification des informations niveaux, les exigences légales et contractuelles et les types de risques auxquels ils sont confrontés lorsqu'ils établissent une politique de bureau et d'écran clairs.

La version ISO 27001:2022 ne mentionne cependant pas ces éléments. La norme ISO 27001:2022 introduit de nouvelles exigences plus complètes en matière de bureaux et d'écrans clairs.

La version ISO 27001:2022 spécifie les exigences suivantes que les organisations doivent prendre en compte lors de l'établissement de politiques de bureau et d'écran clairs :

• Les organisations doivent préserver la confidentialité des informations sensibles en créant des directives spécifiques sur les écrans contextuels.
• Supprimez les informations sensibles écrites sur un tableau blanc si vous n’en avez plus besoin.
• Les ordinateurs et autres appareils terminaux utilisés par les employés doivent être protégés par des verrous à clé lorsqu'ils ne sont pas utilisés ou sans surveillance.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment l'aide d'ISMS.online

La mise en œuvre et la conformité à la norme ISO 27001 : 2022 sont simples grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus.

Votre solution complète de conformité pour ISO/CEI 27001:2022 :

• Jusqu'à 81 % de progression à partir du moment où vous vous connectez.
• Solution simple et totale de conformité à la norme ISO 27001:2022.

À planifier une démo, contactez-nous dès aujourd'hui.