ISO 27001:2022 Annexe A 8.6 – Gestion des capacités

• See ISO 27002:2022 Contrôle 8.6 pour plus d'informations.
• See ISO 27001:2013 Annexe A 12.1.3 pour plus d'informations.

Objet de la norme ISO 27001:2022 Annexe A 8.6

La gestion de la capacité dans les TIC ne consiste pas simplement à garantir que les organisations disposent de suffisamment d'espace pour l'accès aux données et la sauvegarde et la reprise après sinistre (BUDR). Cela nécessite de garantir une puissance de calcul et des ressources adéquates pour répondre aux demandes des utilisateurs. Cela implique également la conception et la gestion de réseaux, de centres de données et d'autres infrastructures TIC pour répondre aux besoins de l'organisation.

Les organisations doivent garantir qu'elles peuvent fonctionner efficacement avec un ensemble de ressources qui répondent à une variété de besoins commerciaux, notamment Ressources Humaines, traitement des données, administration des bureaux physiques et commodités associées.

Ces fonctions peuvent nuire au contrôle d'une organisation sur ses informations.

ISO 27001:2022 Annexe A 8.6 est une combinaison de préventif et contrôles de détective à maintenir le risque les niveaux. Ce contrôle garantit que l'organisation dispose d'une capacité suffisante pour traiter l'information.

Propriété de l'annexe A 8.6

L'Annexe A 27001 de l'ISO 2022 :8.6 traite de la capacité d'une organisation à rester une entreprise viable à long terme.

La propriété devrait appartenir au Directeur des opérations ou équivalent, assumer la responsabilité de maintenir quotidiennement l’intégrité et l’efficacité des opérations commerciales.

Orientations générales sur la norme ISO 27001:2022 Annexe A 8.6

ISO 27001:2022 Annexe A Control 8.6 fournit 7 conseils généraux :

1. Les organisations doivent considérer la continuité des activités comme une préoccupation majeure lors de la mise en place de contrôles de gestion des capacités, tels que la mise en œuvre complète de contrôles de détection qui identifient les problèmes possibles avant qu'ils ne surviennent.
2. La gestion de la capacité doit être basée sur des fonctions proactives de réglage et de surveillance, travaillant ensemble pour garantir que les systèmes et les opérations commerciales ne soient pas perturbés.
3. Les organisations doivent exécuter régulièrement tests de stress pour vérifier leur capacité à satisfaire leurs besoins commerciaux globaux. Ces tests doivent être personnalisés pour chaque cas et être adaptés au domaine d'exploitation pour lequel ils sont destinés.
4. La gestion des capacités ne doit pas seulement prendre en compte les données existantes et les besoins opérationnels d'une organisation ; ils doivent également prévoir une croissance commerciale et technique potentielle (à la fois physique et numérique) pour être autant que possible à l’épreuve du temps.
5. Les organisations doivent prendre en compte les différents délais et coûts lorsqu’elles augmentent leurs ressources. Les ressources coûteuses et difficiles à augmenter devraient faire l’objet d’une évaluation plus approfondie pour garantir la poursuite des opérations commerciales.
6. La haute direction doit être consciente de tout risque de dépendance vis-à-vis du personnel clé ou des ressources individuelles, car tout problème qui en découle peut conduire à des problèmes complexes.
7. Construire une stratégie de planification des capacités qui traite spécifiquement des systèmes et processus commerciaux clés.

Conseils sur la gestion de la demande

L'ISO 27001:2022 Annexe A 8.6 encourage une stratégie à deux volets pour la gestion de la capacité : soit augmenter la capacité, soit réduire la demande pour un ensemble donné de ressources.

Lorsqu’elles cherchent à renforcer leurs capacités, les organisations doivent :

• Pensez à embaucher du nouveau personnel pour effectuer une tâche.
• Obtenez de nouvelles installations ou des espaces de bureau par l'achat, la location ou la location.
• Obtenez un traitement supplémentaire, un stockage de données et de la RAM (sur site ou dans le cloud) par achat, location ou location.
• Pensez à utiliser des ressources cloud « élastiques » et « évolutives » qui s'étendent en fonction des besoins informatiques de l'organisation, avec pratiquement aucune implication.

Les organisations doivent s’efforcer de réduire la demande en :

• Éliminez les informations obsolètes pour libérer de la capacité de stockage sur les serveurs et les supports associés.
• Jetez en toute sécurité toutes les copies papier des informations dont l’organisation n’a pas besoin et qu’elle n’est pas obligée de conserver en vertu de la législation ou de la réglementation.
• Retirez toutes les ressources TIC, applications ou paramètres virtuels qui ne sont plus nécessaires.
• Examinez les activités TIC planifiées (y compris les comptes, la maintenance automatique et les activités par lots) pour maximiser les capacités de mémoire et réduire la surface occupée par les données créées.
• Maximisez les requêtes de code d’application et de base de données qui se produisent suffisamment fréquemment pour avoir un impact sur la capacité opérationnelle de l’entreprise.
• Limitez la quantité de bande passante allouée aux activités non essentielles sur le réseau de l'entreprise. Cela peut inclure la restriction de l’accès à Internet et le blocage du streaming vidéo/audio à partir des appareils professionnels.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.6 remplace ISO 27001:2013 Annexe A 12.1.3 (Gestion des capacités).

L'Annexe A 27001 de l'ISO 2022 : 8.6 fournit un ensemble complet d'instructions aux organisations sur la manière dont elles peuvent augmenter leur capacité ou réduire leur demande.

Contrairement à la norme ISO 27001 :2013, annexe A 12.1.3, il n'existe aucune directive particulière sur la manière d'augmenter la capacité. Cependant, la norme ISO 27001:2022, annexe A 8.6, fournit des étapes précises pour créer une plus grande marge de manœuvre opérationnelle.

L'ISO 27001:2013 Annexe A 12.1.3 ne fournit aucune instruction sur la manière d'évaluer la capacité opérationnelle ou d'auditer la capacité d'une organisation à gérer la capacité à long terme, en dehors de la recommandation d'avoir un plan de gestion de la capacité.

Conformément à l'augmentation spectaculaire du cloud computing au cours des dix dernières années, l'annexe A 27001 de la norme ISO 2022:8.6 indique clairement que les organisations doivent utiliser des ressources basées sur le cloud qui s'adaptent à leurs besoins commerciaux.

L'Annexe A 27001 de l'ISO 2013 :12.1.3 ne fait pas référence aux installations de stockage ou informatiques hors site.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001: 2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Notre liste de contrôle aide à simplifier la mise en œuvre de la norme ISO 27001:2022, vous guidant tout au long du processus. Notre Solution complète garantit votre conformité à la norme ISO/IEC 27001:2022.

Une fois connecté, vous progresserez jusqu'à 81%.

Une solution complète et simple pour une adhésion totale est fournie.

Contactez-nous maintenant pour programmer une démonstration.