ISO 27001 :2022 Annexe A 7.9 – Sécurité des actifs hors site

• See ISO 27002:2022 Contrôle 7.9 pour plus d'informations.
• See ISO 27001:2013 Annexe A 11.2.6 pour plus d'informations.

ISO 27001:2022 Contrôle 7.9 – Sécurité des actifs en dehors du bureau

Lorsque les appareils contenant des informations précieuses sont retirés de l'emplacement physique de l'organisation, ils sont plus susceptibles d'être endommagés, volés, perdus, détruits ou violés.

Les contrôles de sécurité physique au sein des installations d'une organisation ne seront pas efficaces, laissant ses actifs hors site exposés à des menaces telles que des risques physiques et des individus malveillants tentant d'obtenir un accès non autorisé.

Employés travailler à distance peuvent retirer de l'entreprise les ordinateurs d'entreprise contenant des données confidentielles, travailler dans un café, le hall d'un hôtel, etc., se connecter à un réseau Wi-Fi public non sécurisé et laisser leurs appareils sans surveillance. Ces actions présentent un risque pour la sécurité, la confidentialité, l'intégrité et la disponibilité des informations détenues sur les appareils.

Les organisations doivent s’assurer que les appareils emportés à l’extérieur des locaux restent sécurisés.

L'annexe A 27001 de la norme ISO 2022 : 7.9 décrit comment les organisations peuvent garantir la sécurité des appareils situés à l'écart du site principal, qui hébergent des actifs informationnels. Ils doivent mettre en place des contrôles et des procédures adaptés pour y parvenir.

Objet de la norme ISO 27001:2022 Annexe A 7.9

ISO 27001: 2022 L'Annexe A 7.9 permet aux organisations de protéger la sécurité des actifs informationnels hébergés dans le matériel en contrecarrant deux risques distincts :

• Minimiser les risques de perte, d'endommagement, de destruction ou d'exposition des données contenues dans des appareils hors site.
• Éviter toute interruption du fonctionnement de l'entreprise informatique opérations contre la violation de périphériques externes.

Propriété de l'annexe A 7.9

La norme ISO 27001:2022 Annexe A 7.9 oblige les organisations à établir et à mettre en œuvre des protocoles et des réglementations qui couvrent tous les appareils détenus ou utilisés au nom de l'entreprise. De plus, il est essentiel pour la protection efficace des appareils hors site qu'un inventaire des actifs soit créé et que la haute direction approuve l'utilisation des appareils personnels.

La série Gestionnaire de la sécurité de l'information devrait s'entretenir avec la direction et les propriétaires d'actifs et être responsable de l'élaboration, de l'exécution et du maintien de procédures et de mesures visant à garantir la sécurité des appareils retirés des locaux de l'entreprise.

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 7.9

Annexe A 7.9 détaille six nécessités que les organisations doivent respecter lors de la construction et de l'application de mesures et de protocoles pour la sauvegarde des actifs retirés des locaux :

1. Les ordinateurs, clés USB, disques durs et moniteurs retirés du site par l'entreprise ne doivent jamais être laissés sans surveillance dans les espaces publics comme les cafés, ni dans aucun endroit non sécurisé.
2. Respectez à tout moment les instructions et les spécifications du fabricant de l'appareil concernant la protection physique de l'appareil. Par exemple, respectez leurs instructions pour protéger l'appareil de l'eau, de la chaleur, des champs électromagnétiques et de la poussière.
3. Les employés et autres organisations qui transportent du matériel informatique en dehors des locaux de l'entreprise doivent tenir un journal détaillant la chaîne de traçabilité. Ce journal doit inclure, au minimum, les noms des personnes responsables de l'appareil et leur organisation.
4. Si une organisation estime qu’une autorisation est nécessaire et pratique pour retirer du matériel des locaux de l’entreprise, elle doit établir une procédure. Cette procédure doit couvrir le retrait de certains équipements hors site et conserver un enregistrement de toutes les actions de retrait afin de fournir à l'organisation un Piste d'audit.
5. Il est essentiel de prendre les mesures nécessaires pour éviter le risque de visualisation non autorisée de données sur les écrans des transports publics.
6. L'organisation doit installer des outils de suivi de localisation et permettre l'accès à distance, afin que la localisation de l'appareil puisse être surveillée et, si nécessaire, toutes les données stockées sur l'appareil puissent être effacées à distance.

Orientations supplémentaires sur l'Annexe A 7.9

L'Annexe A 27001 de la norme ISO 2022 :7.9 définit les exigences relatives à la protection des équipements installés de manière permanente à l'extérieur des locaux d'une entreprise.

Cet équipement pourrait comprendre des antennes et des guichets automatiques.

Compte tenu du risque accru de dommages et de perte de cet équipement, l'annexe A 7.9 oblige les organisations à prendre en compte les éléments suivants lors de leur protection hors site :

• La norme ISO 27001 :2022, Annexe A 7.4, Surveillance de la sécurité physique, doit être prise en compte.
• Veiller à ce que la norme ISO 27001:2022 Annexe A 7.5 soit prise en compte, qui concerne la protection contre les menaces environnementales et physiques.
• Des contrôles d'accès doivent être créés et des mesures appropriées doivent être prises pour mettre fin aux interférences.
• Créez et appliquez des contrôles d’accès logiques.

L'annexe A 7.9 conseille aux organisations de garder à l'esprit l'annexe A 6.7 et l'annexe A 8.1 lors de la formulation et de la mise en place de mesures de protection des dispositifs et équipements.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 7.9 remplace ISO 27001:2013 Annexe A 11.2.6.

Il y a trois distinctions majeures à noter :

ISO 27001:2022 Annexe A Contrôle 7.9 nécessite un ensemble complet d'instructions.

L'Annexe A 7.9 introduit deux nouvelles exigences par rapport à sa version ISO 27001:2013 :

• Des mesures appropriées doivent être prises pour empêcher les personnes non autorisées de voir les informations affichées dans les transports publics.
• La surveillance de la localisation et l'accès à distance doivent être activés pour permettre le suivi de l'appareil et la possibilité d'effacer à distance les informations stockées sur l'appareil, si nécessaire.

L'annexe A 7.9 introduit de nouveaux critères pour les appareils situés en permanence à l'écart des locaux.

Par rapport à la version ISO 27001:2013, l'ISO 27001:2022 Annexe A 7.9 fournit des conseils distincts sur la sécurisation des équipements fixés dans un emplacement hors site.

Il pourrait s'agir d'antennes et de guichets automatiques.

L'interdiction du travail à distance est mise en place pour réduire les risques.

La version ISO 27001:2013 indiquait clairement que les organisations pouvaient interdire à leurs employés de travailler à distance si cela était cohérent avec les niveaux de risque identifiés. En revanche, la version ISO 27001:2022 ne le mentionne pas.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment l'aide d'ISMS.online

ISMS.online est l'outil parfait pour gérer une mise en œuvre de la norme ISO 27001:2022. Il est conçu pour aider les entreprises à mettre en œuvre un système de gestion de la sécurité de l'information (ISMS) qui répond aux normes ISO 27001:2022.

La plateforme utilise une approche basée sur les risques, ainsi que des meilleures pratiques et modèles de pointe, pour vous aider à reconnaître les risques auxquels votre organisation est confrontée et les contrôles nécessaires pour les gérer. Ce faisant, vous pouvez minimiser efficacement votre exposition aux risques et vos coûts de conformité.

Contactez-nous maintenant pour organiser une démonstration.