ISO 27001:2022 Annexe A 8.22 – Ségrégation des réseaux

• See ISO 27002:2022 Contrôle 8.22 pour plus d'informations.
• See ISO 27001:2013 Annexe A 13.1.3 pour plus d'informations.

ISO 27001 Annexe A 8.22 : Renforcement de la sécurité grâce à la séparation des réseaux

Lorsque les cybercriminels infiltrent des systèmes, des services ou des appareils informatiques, ils ne se limitent pas à ces seuls actifs.

Ils profitent de la première infiltration pour pénétrer dans l'ensemble du réseau d'une entreprise, accéder à des données sensibles ou lancer des attaques de ransomware.

Les cybercriminels pourraient voler les informations de connexion du personnel RH d'un hôpital après une attaque de phishing réussie, leur permettant ainsi d'accéder aux systèmes RH.

Grâce à leur point d'accès, les attaquants peuvent traverser le réseau et découvrir des réseaux contenant des données confidentielles sur les patients. Cette intrusion pourrait entraîner une perte de données, perturber les opérations, voire ouvrir la porte à une attaque de ransomware.

L'hôpital pourrait empêcher tout accès non autorisé aux données confidentielles et réduire les conséquences d'une violation en utilisant des techniques de segmentation du réseau telles que des pare-feu, des réseaux virtuels ou l'isolation des serveurs.

L'ISO 27001 :2022, Annexe A 8.22, décrit comment les entreprises peuvent appliquer et préserver des méthodes de ségrégation de réseau appropriées pour éviter les risques pour la disponibilité, l'intégrité et la confidentialité des actifs informationnels.

Objet de la norme ISO 27001:2022 Annexe A 8.22

La norme ISO 27001:2022 Annexe A 8.22 permet aux organisations de diviser leurs réseaux informatiques en sous-réseaux en fonction du degré de sensibilité et d'importance, et de limiter la transmission d'informations entre ces différents sous-réseaux.

Les organisations peuvent l'utiliser pour empêcher les logiciels malveillants et les virus de voyager des réseaux infectés vers ceux contenant des données sensibles.

Cela garantit que organisations sécurisées la confidentialité, l’intégrité et l’accessibilité des actifs de données stockés sur les sous-réseaux essentiels.

Propriété de l'annexe A 8.22

Le Agent de sécurité de l'information doit être tenu responsable du respect de la norme ISO 27001:2022 Annexe A 8.22, qui exige la segmentation des réseaux, des appareils et des systèmes en fonction des risques et l'application de techniques et de procédures de ségrégation des réseaux.

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.22

Les organisations doivent s’efforcer d’atteindre un équilibre entre les nécessités opérationnelles et les inquiétudes en matière de sécurité lorsqu’elles instituent des réglementations sur la ségrégation des réseaux.

ISO 27001: 2022 Annexe A Control 8.22 fournit trois recommandations à prendre en compte lors de la mise en place de la ségrégation du réseau.

Comment séparer le réseau en sous-réseaux plus petits

Lorsqu'elles divisent le réseau en sous-domaines plus petits, les organisations doivent tenir compte de la sensibilité et de l'importance de chaque domaine réseau. En fonction de cette évaluation, les sous-domaines du réseau peuvent être étiquetés comme « domaines publics », « domaines de bureau », « domaines de serveur » ou « systèmes à haut risque ».

Les organisations doivent prendre en compte les services métiers tels que les ressources humaines, le marketing et les finances dans le processus de segmentation de leur réseau.

Les organisations peuvent également fusionner ces deux critères, en attribuant des sous-domaines de réseau en catégories telles que « domaine de serveur lié au service commercial ».

Périmètres de sécurité et contrôle d'accès

Les organisations doivent délimiter explicitement les frontières de chaque sous-domaine du réseau. S'il doit y avoir un accès entre deux domaines réseau différents, cette connexion doit être limitée au niveau périmétrique grâce à l'utilisation de passerelles telles que des pare-feu ou des routeurs filtrants.

Les organisations doivent évaluer les besoins de sécurité de chaque domaine lors de l'établissement de la séparation du réseau et lors de l'octroi de l'accès via des passerelles.

Cette évaluation doit être menée conformément à la politique de contrôle d'accès mandatée par la norme ISO 27001:2022 Annexe A 5.15, en tenant compte des éléments suivants :

• La classification attribuée aux actifs d'informations correspond à quel niveau.
• L’importance de l’information est primordiale.
• Le coût et l’aspect pratique sont des facteurs majeurs lorsqu’il s’agit de décider quelle technologie de passerelle utiliser.

Réseaux sans fil

ISO 27001: 2022 L'Annexe A 8.22 recommande aux organisations de respecter les pratiques suivantes lors de la création de paramètres de sécurité réseau pour les réseaux sans fil :

• Évaluer l'utilisation de méthodes d'ajustement de la couverture radio pour diviser les réseaux sans fil.
• Pour les réseaux délicats, les organisations peuvent considérer toutes les tentatives d'accès sans fil comme des connexions externes et interdire l'accès aux réseaux internes jusqu'à ce que le contrôle de la passerelle donne son approbation.
• Le personnel ne doit utiliser que ses propres appareils, conformément à la politique de l'organisation ; l'accès au réseau fourni au personnel et aux invités doit être séparé.
• Les visiteurs doivent être soumis aux mêmes règles concernant l’utilisation du Wi-Fi que les membres de l’équipe.

Guide supplémentaire sur la norme ISO 27001:2022 Annexe A 8.22

Les organisations doivent s'assurer que tous les partenariats commerciaux sont soumis à des mesures de sécurité appropriées. L'annexe A 8.22 conseille aux organisations de mettre en œuvre des mesures pour protéger leur réseau, leurs appareils informatiques et autres installations d'information lorsqu'elles interagissent avec des partenaires commerciaux.

Les réseaux sensibles peuvent être exposés à un risque accru d’accès non autorisé. Pour se protéger contre cela, les organisations doivent prendre les mesures appropriées.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.22 remplace ISO 27001:2013 Annexe A 13.1.3 dans la dernière révision ISO.

Par rapport à la norme ISO 27001:2013, la révision ISO 27001:2022 nécessite les éléments suivants pour les réseaux sans fil :

• Si le personnel respecte la politique de l'organisation et n'utilise que ses propres appareils, l'accès au réseau sans fil fourni au personnel et aux visiteurs doit être séparé.
• Les clients doivent être soumis aux mêmes restrictions et contrôles concernant le Wi-Fi que le personnel.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment l'aide d'ISMS.online

ISMS.Online vous permet de :

• Documentez facilement les processus grâce à cette interface conviviale. Aucune installation de logiciel n'est requise sur votre ordinateur ou votre réseau.
• Rationalisez votre procédure d’évaluation des risques en l’automatisant.
• Obtenez facilement la conformité en utilisant des rapports et des listes de contrôle en ligne.
• Gardez une trace de votre progression tout au long de votre démarche vers la certification.

ISMS.online fournit un ensemble complet de fonctionnalités pour aider les organisations et les entreprises à rencontrer le secteur. ISO 27002 et/ou la norme ISMS ISO 27001:2022.

Contactez-nous pour organiser une manifestation.