ISO 27001:2022 Annexe A 8.34 – Protection des systèmes d'information lors des tests d'audit

• See ISO 27002:2022 Contrôle 8.34 pour plus d'informations.
• See ISO 27001:2013 Annexe A 12.7.1 pour plus d'informations.

Assurer la sécurité des tests d'audit : conformité à la norme ISO 27001 Annexe A 8.34

L’audit est essentiel pour identifier et éliminer les risques de sécurité et les faiblesses des systèmes d’information. C’est une démarche décisive pour la protection des données.

La série processus de vérification, menées dans des contextes opérationnels, de test ou de développement, peuvent exposer les données sensibles à un risque de divulgation non autorisée ou de perte de leur intégrité et de leur disponibilité.

ISO 27001: 2022 L'annexe A 8.34 décrit comment les organisations peuvent sécuriser les actifs informationnels lors des tests d'audit. Il fournit des conseils sur la façon de maintenir la sécurité de vos données.

Objet de la norme ISO 27001:2022 Annexe A 8.34

La norme ISO 27001:2022 Annexe A 8.34 permet aux organisations de réduire et de gérer les risques pour la sécurité des systèmes d'information et la continuité des opérations en mettant en œuvre et en appliquant des étapes et des contrôles appropriés, tels que des restrictions d'accès et des limitations d'accès en lecture seule.

Propriété de l'annexe A 8.34

La série Équipe de gestion informatique devrait être chargé de concevoir et d’approuver les procédures d’audit et d’instituer les mesures nécessaires.

Orientations générales sur la conformité à la norme ISO 27001:2022 Annexe A 8.34

L'annexe A 8.34 fournit huit exigences spécifiques que les organisations doivent prendre en compte. Ceux-ci inclus:

1. Il est essentiel que la direction et l’auditeur parviennent à un accord sur l’accès aux systèmes et aux actifs informationnels.
2. L'accord précise les tests d'audit technique à réaliser et leur portée.
3. Les organisations ne doivent autoriser qu’un accès en lecture seule aux informations et aux logiciels. Si cela ne peut pas être fait avec cette technique, un administrateur système disposant des autorisations nécessaires peut accéder aux systèmes ou aux données au nom de l'auditeur.
4. Si l'autorisation d'accès est accordée, les organisations doivent d'abord vérifier que tous les appareils utilisés pour accéder aux systèmes sont conformes aux normes de sécurité avant d'autoriser l'accès.
5. Seules les copies isolées des fichiers extraits du système doivent avoir accès. Une fois l'audit terminé, ces copies doivent être supprimées, sauf lorsqu'il existe une obligation de les conserver. L'accès en lecture seule exempte de cette réglementation.
6. Les demandes des auditeurs visant à mettre en œuvre des processus spéciaux, comme le déploiement d'outils d'audit, doivent être acceptées par la direction.
7. Si un audit risque de compromettre la disponibilité du système, il doit être réalisé en dehors des heures de travail pour garantir la disponibilité des informations.
8. Enregistrez les demandes d’accès pour la piste d’audit.

Orientations supplémentaires sur l'Annexe A 8.34

Les organisations doivent faire preuve de prudence lors de l’audit des environnements de test ou de développement, car elles sont confrontées à un certain nombre de risques, tels que :

• Compromettre l’intégrité du code.
• La compromission et la perte de données sensibles constituent une préoccupation majeure.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.34 remplace l'ISO 27001:2013 Annexe A 12.7.1 dans la norme révisée.

L’édition 2022 du programme est comparable à la version 2013 à bien des égards ; cependant, il y a deux changements importants.

ISO 27001:2022 introduit une nouvelle exigence

La version 2022 introduit une exigence qui n'était pas présente dans la version 2013 :

• Une fois l'accès accordé, les organisations doivent d'abord confirmer que les appareils utilisés pour accéder à leurs systèmes répondent aux critères de sécurité avant d'autoriser l'accès.

ISO 27001 : 2022 concerne les environnements de test et de développement

Les lignes directrices supplémentaires pour la norme ISO 27001:2022 mettent l'accent sur les risques de sécurité associés aux audits des environnements de test et de développement, contrairement à la norme ISO 27001:2013, qui n'y faisait aucune référence.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Notre liste de contrôle étape par étape simplifie la mise en œuvre de la norme ISO 27001:2022. Il vous guide tout au long de la procédure, en commençant par la définition de la portée de votre ISMS, puis procéder à l'identification des risques et à la mise en œuvre des contrôles.

Notre la plateforme est conviviale et simple. Non seulement pour les personnes férus de technologie, mais aussi pour les personnes travaillant dans tous les domaines de votre entreprise.

Contactez-nous maintenant pour réserver une démonstration.