ISO 27001:2022 Annexe A Contrôle 8.27

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.27

La norme ISO 27001:2022 Annexe A 8.27 souligne la nécessité pour les organisations d'intégrer la sécurité dans l'intégralité de leurs systèmes d'information, y compris les processus métier, les applications et l'architecture des données.

Des pratiques d'ingénierie sécurisées doivent être mises en œuvre pour toutes les tâches associées aux systèmes d'information, régulièrement revues et mises à jour pour tenir compte des menaces et des modèles d'attaque émergents.

L'annexe A 8.27 s'applique également aux systèmes créés par des fournisseurs externes, en plus de ceux développés et gérés en interne.

Les organisations doivent garantir que les pratiques et les normes des prestataires de services sont conformes à leurs protocoles d'ingénierie sécurisés.

La norme ISO 27001:2022 Annexe A 8.27 nécessite des principes d'ingénierie de systèmes sécurisés pour aborder les huit sujets suivants :

1. Méthodes d'authentification des utilisateurs.
2. Conseils de contrôle de session sécurisé.
3. Procédures de nettoyage et de validation des données.
4. Les mesures de sécurité visant à protéger les actifs et les systèmes d'information contre les menaces connues sont analysées de manière approfondie.
5. Mesures de sécurité analysées pour leur capacité à identifier, éliminer et répondre aux menaces de sécurité.
6. Analyser les mesures de sécurité appliquées à des activités commerciales spécifiques, telles que le cryptage des informations.
7. Où et comment les mesures de sécurité seront mises en œuvre. Un contrôle de sécurité spécifique de l’Annexe A peut être intégré au sein de l’infrastructure technique dans le cadre de ce processus.
8. La manière dont différentes mesures de sécurité fonctionnent ensemble et fonctionnent comme un système combiné.

Conseils sur le principe Zero Trust

Les organisations doivent garder à l’esprit ces principes de confiance zéro :

• Basé sur l'hypothèse que les systèmes de l'organisation sont déjà compromis et que le périmètre de sécurité défini de son réseau ne peut pas fournir une protection adéquate.
• Une politique de « vérification avant confiance » devrait être adoptée lorsqu’il s’agit d’accorder l’accès aux systèmes d’information. Cela garantit que l’accès n’est accordé qu’après un examen minutieux, garantissant que les bonnes personnes l’obtiennent.
• Garantir que les demandes adressées aux systèmes d’information sont protégées avec un cryptage de bout en bout offre une assurance.
• Des mécanismes de vérification sont mis en œuvre en supposant des demandes d'accès de réseaux externes ouverts aux systèmes d'information.
• Mettez en œuvre le moindre privilège et le contrôle d’accès dynamique conformément à la norme ISO 27001:2022, annexes A 5.15, 5.18 et 8.2. Cela doit englober l'authentification et l'autorisation des informations et des systèmes d'information sensibles en tenant compte des aspects contextuels tels que l'identité des utilisateurs (ISO 27001:2022 Annexe A 5.16) et classification des informations (ISO 27001:2022 Annexe A 5.12).
• Authentifier l'identité du demandeur et vérifier les demandes d'autorisation pour accéder aux systèmes d'information conformément aux informations d'authentification de la norme ISO 27001 : 2022, annexe A 5.17, 5.16 et 8.5.

Que devraient couvrir les techniques d’ingénierie des systèmes sécurisés ?

Votre organisation doit garder à l’esprit les éléments suivants :

• Intégrer des principes d'architecture sécurisée tels que « sécurité dès la conception », « défense en profondeur », « échec sécurisé », « méfiance envers les entrées d'applications externes », « présumer une violation », « moindre privilège », « convivialité et facilité de gestion » et « moindre fonctionnalité » » est primordial.
• Effectuer un examen de conception axé sur la sécurité pour détecter tout problème de sécurité des informations et s'assurer que les mesures de sécurité sont établies et répondent aux besoins de sécurité.
• Il est essentiel de documenter et de reconnaître les mesures de sécurité qui ne répondent pas aux exigences.
• Le renforcement du système est essentiel pour la sécurité de tout système.

Quels critères prendre en compte lors de la conception de principes d’ingénierie sécurisée ?

Les organisations doivent prendre en compte les points suivants lors de la mise en place de principes d’ingénierie de systèmes sécurisés :

• L’obligation de coordonner les contrôles de l’annexe A avec une architecture de sécurité particulière est indispensable.
• Infrastructure de sécurité technique existante d'une organisation, y compris l'infrastructure à clé publique, la gestion des identités et la prévention des fuites de données.
• L'organisation peut-elle construire et maintenir la technologie choisie.
• Le coût et le temps nécessaires pour remplir les exigences de sécurité, compte tenu de leur complexité, doivent être pris en compte.
• Il est essentiel d’adhérer aux meilleures pratiques actuelles.

Conseils sur l'application des principes d'ingénierie des systèmes sécurisés

La norme ISO 27001 : 2022, annexe A 8.27, indique que les organisations peuvent utiliser des principes d'ingénierie sécurisés lors de la configuration des éléments suivants :

• La tolérance aux pannes et d’autres stratégies de résilience sont essentielles. Ils contribuent à garantir que les systèmes restent opérationnels malgré la survenance d’événements inattendus.
• La ségrégation via la virtualisation est une technique qui peut être utilisée.
• L'inviolabilité garantit que les systèmes restent sécurisés et insensibles aux interférences malveillantes.

La technologie de virtualisation sécurisée peut réduire le risque d'interception entre les applications exécutées sur le même appareil.

Il est souligné que les systèmes de résistance à la falsification peuvent détecter les manipulations à la fois logiques et physiques des systèmes d'information, empêchant ainsi tout accès non autorisé aux données.

Changements et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.27 remplace l'ISO 27001:2013 Annexe A 14.2.5 dans la norme révisée 2022.

La version 2022 contient des exigences plus étendues que la version 2013, telles que :

• Par rapport à 2013, la version 2022 fournit des indications sur ce que devraient comprendre les principes d’ingénierie sécurisée.
• Contrairement à l'itération de 2013, la version 2022 prend en compte les critères que les organisations doivent prendre en compte lors de l'élaboration des principes d'ingénierie des systèmes sécurisés.
• La version 2022 fournit des orientations sur le principe de confiance zéro, qui n'était pas inclus dans la version 2013.
• L'édition 2022 du document comprend des recommandations sur les techniques d'ingénierie sécurisées, telles que la « sécurité dès la conception », qui n'étaient pas présentes dans la version 2013.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Notre liste de contrôle étape par étape facilite la mise en œuvre de la norme ISO 27001. Notre solution complète de conformité pour ISO/IEC 27001:2022 vous guidera tout au long du processus du début à la fin.

Une fois connecté, vous pouvez vous attendre à une progression allant jusqu'à 81 %.

Cette solution est totalement complète et simple.

Contactez-nous maintenant pour réserver une démonstration.