ISO 27001:2022 Annexe A 8.26 – Exigences de sécurité des applications

• See ISO 27002:2022 Contrôle 8.26 pour plus d'informations.
• See ISO 27001:2013 Annexe A 14.1.2 pour plus d'informations.
• See ISO 27001:2013 Annexe A 14.1.3 pour plus d'informations.

Comprendre la norme ISO 27001:2022 Annexe A 8.26 – Principes fondamentaux de la sécurité des applications

Les logiciels d'application tels que les applications Web, les programmes graphiques, les bases de données et le traitement des paiements sont essentiels à de nombreuses opérations commerciales.

Les applications sont souvent vulnérables à des problèmes de sécurité qui peuvent conduire à l'exposition de données confidentielles.

À titre d'exemple, l'agence d'évaluation du crédit Equifax, basée aux États-Unis, a négligé d'appliquer un correctif de sécurité au cadre d'application Web qu'elle utilisait pour gérer les plaintes des clients. Cette négligence a permis aux cyberattaquants d'exploiter les failles de sécurité de l'application Web, d'infiltrer les réseaux d'entreprise d'Equifax et de voler des informations sensibles à environ 145 millions de personnes.

ISO 27001:2022, l'Annexe A 8.26 décrit comment les organisations peuvent mettre en œuvre et mettre en œuvre sécurité de l'information exigences relatives aux applications lors de leur développement, de leur utilisation et de leur acquisition. Il garantit que les mesures de sécurité sont intégrées dans le cycle de vie des applications.

Objet de la norme ISO 27001:2022 Annexe A 8.26

ISO 27001: 2022 L'annexe A 8.26 permet aux organisations de défendre leurs actifs de données stockés ou traités par des applications grâce à la reconnaissance et à l'application de spécifications de sécurité des informations appropriées.

Propriété de l'annexe A 8.26

Votre partenaire Responsable de la sécurité de l'information, soutenu par des experts en sécurité de l'information, devrait entreprendre l'identification, l'approbation et la mise en œuvre des demandes d'informations relatives à l'acquisition, à l'utilisation et au développement d'applications.

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.26

Les organisations doivent procéder à une évaluation des risques pour établir les exigences de sécurité des informations nécessaires pour une application particulière.

Le contenu et les types d'exigences en matière de sécurité des informations peuvent différer en fonction de l'application, mais celles-ci doivent couvrir :

• Basé sur la norme ISO 27001:2022, annexe A 5.17, 8.2 et 8.5, le niveau de confiance attribué à l'identité d'une entité spécifique.
• La classification des actifs informationnels à sauvegarder ou à gérer par le logiciel doit être identifiée.
• Est-il nécessaire de séparer l'accès aux fonctionnalités et aux données stockées sur l'application ?
• Évaluez si l'application est robuste contre les cyber-pénétrations telles que les injections SQL ou les interceptions involontaires comme le débordement de tampon.
• Les exigences et normes juridiques, réglementaires et statutaires doivent être respectées lors du traitement des transactions traitées, générées, enregistrées ou terminées par l'application.
• La confidentialité est de la plus haute importance pour toutes les personnes impliquées.
• Il est essentiel de garantir la protection des données confidentielles.
• Assurer la sécurité des informations lorsqu’elles sont utilisées, transférées ou stockées est primordial.
• Il est essentiel que toutes les parties concernées aient cryptage sécurisé de leurs communications si nécessaire.
• La mise en œuvre de contrôles d’entrée, comme la validation des entrées et l’exécution de contrôles d’intégrité, garantit l’exactitude.
• Effectuer des contrôles automatisés.
• Veiller à ce que les droits d'accès, ainsi que les personnes pouvant consulter les résultats, soient pris en compte pour le contrôle des résultats.
• Il est essentiel d'imposer des limites à ce qui peut être inclus dans les champs de « texte libre » pour se prémunir contre la diffusion involontaire d'informations confidentielles.
• Exigences réglementaires, telles que celles régissant la journalisation des transactions et la non-répudiation.
• D'autres contrôles de sécurité peuvent nécessiter le respect d'exigences spécifiques ; par exemple, les systèmes de détection des fuites de données.
• Comment votre organisation gère les messages d'erreur.

Conseils sur les services transactionnels

La norme ISO 27001 :2022, Annexe A 8.26, exige que les organisations prennent en compte les sept recommandations suivantes lorsqu'elles fournissent des services transactionnels entre elles et un partenaire :

• Le degré de confiance que chaque partie doit avoir dans l'identité de l'autre est essentiel dans toute transaction.
• La fiabilité des données envoyées ou traitées doit être assurée et un système approprié pour reconnaître tout déficit d'intégrité, y compris le hachage et les signatures numériques, doit être identifié.
• L'entreprise doit mettre en place un système pour déterminer qui est autorisé à approuver, signer et signer les documents transactionnels critiques.
• Assurer le secret et l'exactitude des documents essentiels, et vérifier la transmission et la réception de ces documents.
• Préservant la confidentialité et l'exactitude des transactions, il peut s'agir de commandes et de factures.
• Exigences sur la manière dont les transactions doivent rester confidentielles pendant une période de temps spécifiée.
• Les obligations contractuelles et les besoins en matière d’assurance doivent être remplis.

Conseils sur les applications de commande et de paiement électroniques

Les organisations doivent prendre en compte les éléments suivants lorsqu’elles intègrent des fonctionnalités de paiement et de commande électronique dans leurs applications :

• Assurer la confidentialité et l’intégrité des informations de commande est essentiel.
• Établir un niveau de confirmation approprié pour confirmer les informations de paiement fournies par un client.
• Éviter l'égarement ou la réplication des données de transaction.
• Assurez-vous que les informations relatives à l'information sont conservées à l'écart d'une zone accessible au public, par exemple un support de stockage situé dans l'intranet de l'organisation.
• Chaque fois qu'une organisation s'appuie sur une autorité externe pour émettre des signatures numériques, elle doit s'assurer que la sécurité est intégrée tout au long du processus.

Conseils sur les réseaux

Lorsque les applications sont accessibles via des réseaux, elles pourraient être exposées à des désaccords contractuels, à des comportements frauduleux, à des erreurs d'orientation, à des modifications non approuvées du contenu de la communication ou à une violation de la confidentialité des données sensibles.

La norme ISO 27001:2022 Annexe A 8.26 conseille aux organisations de mener des évaluations approfondies des risques afin d'identifier les contrôles appropriés, tels que la cryptographie, pour protéger la sécurité des transferts d'informations.

Changements et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.26 remplace l'ISO 27001:2013, annexe A 14.1.2 et 14.1.3 dans la norme révisée 2022.

Il existe trois distinctions majeures entre les deux versions.

Toutes les applications et applications passant par les réseaux publics

La norme ISO 27001:2013 présente une liste d'exigences en matière de sécurité de l'information à prendre en compte pour les applications devant être transmises via des réseaux publics.

En revanche, l'ISO 27001:2022 Annexe A 8.26 fournit une liste d'exigences en matière de sécurité des informations qui s'appliquent à toutes les applications.

Conseils supplémentaires sur les applications de commande et de paiement électroniques

L'Annexe A 27001 de l'ISO 2022 :8.26 fournit des conseils spécifiques sur les applications de commande et de paiement électroniques, ce qui n'a pas été abordé dans la version 2013.

Exigence relative aux services transactionnels

Alors que l’édition 2022 et l’édition 2013 sont quasiment les mêmes concernant les prérequis aux services transactionnels, l’édition 2022 introduit une exigence supplémentaire non prise en compte dans l’édition 2013 :

• Les organisations doivent garder à l’esprit les obligations contractuelles et les stipulations d’assurance.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

ISMS.online est un système basé sur le cloud qui aide les organisations à démontrer leur alignement avec la norme ISO 27001:2022. Ce système peut être utilisé pour superviser les exigences ISO 27001, garantissant ainsi que votre organisation reste conforme à la norme.

Notre la plateforme est conviviale et accessible à tous. Cela ne nécessite pas de connaissances techniques complexes ; n'importe qui dans votre entreprise peut en profiter.

Contactez-nous maintenant pour programmer une démonstration.