ISO 27001:2022 Annexe A 8.2 – Droits d'accès privilégiés

• See ISO 27002:2022 Contrôle 8.2 pour plus d'informations.
• See ISO 27001:2013 Annexe A 9.2.3 pour plus d'informations.

Quel est l’objectif de la norme ISO 27001 : 2022, annexe A 8.2 ?

Sur les réseaux commerciaux du monde entier, l’utilisation abusive ou abusive des privilèges élevés d’administrateur système est une cause importante de perturbation des TIC.

En utilisant des droits d'accès privilégiés, les organisations peuvent contrôler l'accès à leur infrastructure, leurs applications, leurs actifs et leurs données.

ISO 27001: 2022 L'Annexe A 8.2 établit un processus d'autorisation pour traiter toutes les demandes d'accès aux réseaux et actifs TIC d'une organisation. C'est un contrôle préventif conçu pour maintenir le risque.

Qui est propriétaire de l’annexe A 8.2 ?

Une organisation peut contrôler l'accès aux données grâce à des droits d'accès améliorés associés aux comptes d'utilisateurs, comme dans l'annexe A 8.6.

Cela signifie que la capacité de l'organisation à administrer et à surveiller les comptes d'utilisateurs de domaines privilégiés ou d'applications doit relever de la responsabilité du responsable. Chef de la technologie de l'information (ou équivalent).

Orientations générales sur la norme ISO 27001:2022 Annexe A 8.2

L'annexe A 27001 de la norme ISO 2022 :8.2 présente 12 points d'orientation principaux que les entreprises doivent suivre, sur la base d'une politique « spécifique à un sujet » sur le contrôle d'accès (voir l'annexe A 5.15) qui cible des fonctions commerciales spécifiques.

Il est crucial pour les organisations de :

1. Préparez une liste d'utilisateurs qui nécessitent un certain degré d'accès privilégié, qu'il s'agisse d'un système individuel, d'une application ou du système d'exploitation sous-jacent.
2. Assurez-vous que les droits d’accès privilégiés sont attribués aux utilisateurs « événement par événement » – les utilisateurs doivent se voir accorder des droits d’accès basés sur le strict minimum dont ils ont besoin pour exercer leurs fonctions.
3. Tenir un registre de tous les droits d'accès qui ont été accordés et décrire un processus d'autorisation simple pour toutes les demandes d'accès privilégié.
4. Les droits d’accès doivent être soumis à des dates d’expiration pertinentes.
5. Les utilisateurs doivent être explicitement informés lorsqu'ils opèrent avec un accès privilégié à un système.
6. Le cas échéant, les utilisateurs sont invités à se réauthentifier avant d'utiliser des droits d'accès privilégiés afin de renforcer la sécurité des informations et des données.
7. Audit périodique des droits d’accès privilégiés, surtout après une période de changement organisationnel. Les droits d'accès doivent être révisés en fonction des « devoirs, rôles, responsabilités et compétences » des utilisateurs (voir l'annexe A 5.18).
8. Envisagez une procédure de « bris de verre », c'est-à-dire l'octroi de droits d'accès privilégiés dans des délais bien maîtrisés répondant aux exigences minimales nécessaires à la réalisation d'une opération (modifications critiques, administration du système, etc.).
9. Assurez-vous que toutes les activités impliquant un accès privilégié sont enregistrées.
10. Les noms d’utilisateur et mots de passe standardisés (voir l’annexe A 5.17) ne doivent pas être utilisés pour les connexions au système.
11. Maintenez une politique d’attribution d’utilisateurs avec des identités distinctes pour mieux contrôler les droits d’accès privilégiés. En conséquence, ces identités peuvent être regroupées, différents niveaux d'accès étant accordés au groupe associé.
12. Veiller à ce que les droits d'accès privilégiés soient réservés aux tâches essentielles au bon fonctionnement d'un réseau TIC, telles que l'administration et la maintenance du réseau.

Contrôles accompagnant l’Annexe A

• ISO 27001:2022 Annexe A 5.15

Quels sont les changements par rapport à la norme ISO 27001:2013 ?

ISO 27001:2022 Annexe A 8.2 remplace ISO 27001:2013 Annexe A 9.2.3 (« Gestion des droits d'accès privilégiés »).

L'annexe A 8.2 de la norme ISO 27001:2022 contient cinq points d'orientation majeurs qui n'ont pas été inclus dans son homologue de 2013 :

1. L'Annexe A 8.2 n'exige pas explicitement un identifiant d'utilisateur différent pour un accès privilégié.
2. L'annexe A 8.2 souligne la nécessité de se réauthentifier avant de recevoir des droits d'accès privilégiés.
3. Une approche par bris de glace est suggérée lors de l'exécution de tâches de maintenance critiques sur la base de fenêtres horaires étroitement contrôlées à l'annexe A 8.2.
4. L’Annexe A 8.2 exige que les organisations conservent des journaux détaillés des accès privilégiés à des fins d’audit.
5. L'annexe A 8.2 exige que les organisations limitent les droits d'accès privilégiés aux tâches administratives.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Avec l'aide de notre plateforme et de nos outils basés sur le cloud, les organisations peuvent mettre en place un système de gestion de la sécurité de l'information (ISMS) conformément à la norme ISO 27001:2022.

Parmi ces outils figurent :

1. Modèles de documents d'entreprise courants.
2. Politiques et procédures prédéfinies.
3. Soutenir les audits internes avec un outil d’audit.
4. Un workflow d'approbation pour toutes les modifications apportées aux politiques et procédures.
5. Liste de contrôle pour garantir que votre politiques de sécurité de l'information et les processus suivent les normes internationales.

Veuillez découvrir la gamme complète des fonctionnalités de notre boîte à outils en réserver une démo.