ISO 27001:2022 Annexe A 8.14 – Redondance des installations de traitement de l'information

• See ISO 27002:2022 Contrôle 8.14 pour plus d'informations.
• See ISO 27001:2013 Annexe A 17.2.1 pour plus d'informations.

Objet de la norme ISO 27001:2022 Annexe A 8.14

An 'installation de traitement de l'information' (IPF) est un terme général utilisé pour désigner toute infrastructure de technologies de l'information et des communications (TIC) qui gère le traitement des données, comme les équipements informatiques, les logiciels et les installations physiques.

Les IPF sont essentiels pour maintenir la continuité des activités et garantir le fonctionnement efficace du ou des réseaux TIC d'une organisation. Pour renforcer la résilience, les organisations doivent mettre en œuvre des stratégies qui améliorent la redondance de leurs IPF – par exemple, des techniques et des procédures de sécurité qui diminuent le risque de panne, d'utilisation abusive ou d'intrusion dans les systèmes et les données.

Propriété de l'annexe A 8.14

L'ISO 27001:2022 Annexe A 8.14 concerne la capacité d'une organisation à poursuivre ses opérations en cas de défaillances critiques ou mineures pouvant affecter la résilience. Par conséquent, la Chef de la direction des opérations, ou un équivalent, devrait être responsable de ce contrôle.

Guide sur la conformité à la norme ISO 27001:2022 Annexe A 8.14

L'objectif principal de l'annexe A 8.14 est d'améliorer l'accessibilité des services commerciaux et des systèmes d'information, qui peuvent être interprétés comme toute partie d'un réseau facilitant les opérations de l'entreprise.

La norme ISO 27001:2022 Annexe A 8.14 recommande la duplication comme principal moyen d'acquérir une redondance entre ses différents IPF, notamment en conservant un stock de pièces de rechange, de composants en double (matériel et logiciel) et de périphériques supplémentaires.

Les organisations doivent s'assurer que tout IPF défaillant est rapidement détecté et que des mesures correctives sont prises rapidement, soit en basculant vers le matériel de sauvegarde, soit en réparant rapidement l'IPF défectueux.

Les organisations doivent prendre en compte les éléments suivants lors de la conception et de l’installation de mesures de redondance :

• Nouer des relations commerciales avec deux fournisseurs de services distincts peut contribuer à minimiser le risque de panne totale en cas d'incident critique, comme un FAI ou un fournisseur VoIP.
• Adhérer aux meilleures pratiques de redondance lors de la conception de réseaux de données (tels que les DC secondaires et les systèmes BUDR redondants).
• Il est essentiel de tirer parti d’emplacements géographiquement disparates lors de l’externalisation des services de données, en particulier pour le stockage de fichiers et/ou les équipements du centre de données.
• Achetez des systèmes d’alimentation qui offrent une redondance totale ou partielle selon les besoins.
• L'utilisation de l'équilibrage de charge et du basculement automatique entre des composants logiciels ou des systèmes en double et redondants augmente les performances et la résilience en temps réel après un événement critique. Cela est particulièrement pertinent lors de l’utilisation d’un modèle opérationnel avec à la fois des services de cloud public et sur site. Tester régulièrement les systèmes redondants en mode production garantit que les systèmes de basculement fonctionnent comme prévu.
• Dupliquer les composants physiques des TIC, à la fois au sein des serveurs et des emplacements de stockage de fichiers (matrices RAID, processeurs) et dans tout dispositif fonctionnant comme un périphérique réseau (pare-feu, commutateurs redondants), pour assurer la continuité du service. Les mises à jour du micrologiciel doivent être effectuées sur tous les appareils liés et redondants.

Orientations supplémentaires sur l'Annexe A 8.14

ISO 27001:2022 Annexe A Le contrôle 8.14 reconnaît le lien entre des systèmes fiables et redondants et la planification de la continuité des activités (voir ISO 27001:2022 Annexe A 5.30), encourageant les organisations à les considérer comme une partie de la réponse aux difficultés courantes.

Il est essentiel de considérer qu’en ce qui concerne les applications métiers, il est extrêmement difficile de corriger les erreurs majeures au sein de l’application elle-même (en particulier lors de l’utilisation d’applications gérées).

Contrôles accompagnant l’Annexe A

• ISO 27001:2022 Annexe A 5.30

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.14 remplace ISO 27001:2013 Annexe A 17.2.1 (Disponibilité des installations de traitement de l'information).

27001:2022 Annexe A 8.14 marque une avancée majeure par rapport à 27001:2013 Annexe A 17.2.1, la différence entre les deux contrôles constituant le changement le plus important de toute la révision de la norme ISO 27001:2022.

27001:2013, l'annexe A 17.2.1 offre un bref aperçu du besoin de redondance, tandis que 27001:2022, l'annexe A 8.14 fournit des instructions détaillées sur la façon de la mettre en œuvre sur des composants logiques et physiques sur site, basés sur le cloud.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment ISMS.online vous aide

Chez ISMS.online, nous avons créé un système complet et simple pour vous aider à réaliser ISO 27001: 2022 contrôle et gère l’ensemble de votre SMSI.

ISMS.online facilite l'adoption de la norme ISO 27001:2022, proposant un ensemble d'instruments pour faciliter la gestion de la sécurité de l'information dans votre organisation. Il identifiera les risques, concevra des contrôles pour réduire ces risques, puis démontrera la mise en œuvre de ces contrôles dans l'organisation.

Contactez-nous dès aujourd'hui pour réserver une démonstration.