ISO 27001:2022 Annexe A Contrôle 8.7

Guide sur la conformité à la norme ISO 27001:2022 Annexe A 8.7

L'Annexe A 8.7 exige que les entreprises mettent en œuvre une défense contre les logiciels malveillants qui englobe quatre aspects principaux :

1. Systèmes contrôlés et accès aux comptes.
2. Gestion du changement.
3. Logiciel anti-malware.
4. Organisationnel sécurité de l'information sensibilisation (formation des utilisateurs).

L'ISO met en garde contre le fait de croire qu'un logiciel anti-malware suffit à fournir un environnement sécurisé. La norme ISO 27001:2022 Annexe A 8.7 appelle les organisations à adopter une stratégie de bout en bout contre les logiciels malveillants, une stratégie qui commence par l'éducation des utilisateurs et se termine par un réseau sécurisé qui minimise la possibilité d'intrusion provenant d'une multitude de sources d'attaque.

Les organisations doivent prendre des mesures pour atteindre leur objectif, notamment :

• Décourager l’utilisation de logiciels non approuvés (consulter l’annexe A 8.19 et l’annexe A 8.32).
• Arrêtez l'accès aux sites malveillants ou inappropriés.
• Réduire le nombre de vulnérabilités existant sur leur réseau qui pourraient être exploitées par des logiciels malveillants ou des individus mal intentionnés (observer l'Annexe A 8.8 et l'Annexe A 8.19).
• Effectuez des évaluations fréquentes des logiciels pour détecter les logiciels non autorisés, les modifications du système et/ou les données sur le réseau.
• Sécurisez les données et les applications avec un risque minimal, via une acquisition interne ou externe.
• Les organisations doivent mettre en œuvre une politique de détection des logiciels malveillants qui implique des analyses régulières et complètes de tous les systèmes et fichiers pertinents, adaptées aux risques distincts de chaque domaine. Une approche de « défense en profondeur » incluant les contrôles des terminaux et des passerelles doit être adoptée, en tenant compte de nombreux vecteurs d'attaque (par exemple les ransomwares).
• Évitez les intrusions provenant des protocoles et procédures d’urgence, notamment en cas d’incident ou d’activités de maintenance à haut risque.
• Rédigez un processus qui permet au personnel technique de désactiver tout ou partie des efforts anti-malware lorsqu'ils entravent les opérations de l'organisation.
• Mettre en œuvre un plan de sauvegarde et de reprise après sinistre (BUDR) solide qui facilite la reprise des opérations de l'organisation dans les plus brefs délais, après une interruption (voir Annexe A 8.13). Cela devrait comprendre des procédures pour les logiciels qui ne peuvent pas être protégés par un logiciel anti-malware (par exemple un logiciel de machine).
• Divisez le réseau et/ou les espaces de travail numériques et virtuels en sections pour éviter des dommages catastrophiques en cas d'attaque.
• Fournissez à tout le personnel une formation anti-malware pour améliorer sa compréhension d'un large éventail de sujets, notamment (mais sans s'y limiter) :
• Sécurité du courrier électronique
• Installation de logiciels malveillants
• Ingénierie sociale
• Recueillez des informations sur les dernières avancées en matière de sécurité contre les logiciels malveillants dans le secteur.
• Assurez-vous que toutes les notifications concernant des attaques potentielles de logiciels malveillants (notamment de la part de fournisseurs de logiciels et de matériel) proviennent d'une source fiable et sont précises.

Contrôles accompagnant l’Annexe A

• ISO 27001:2022 Annexe A 8.13
• ISO 27001:2022 Annexe A 8.19
• ISO 27001:2022 Annexe A 8.32
• ISO 27001:2022 Annexe A 8.8

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.7 remplace ISO 27001:2013 Annexe A 12.2.1 (qui traitait des contrôles contre les logiciels malveillants).

L'ISO 27001:2022 Annexe A 8.7 est similaire à l'ISO 27001:2013 Annexe A 12.2.1, mais certains conseils supplémentaires ont reçu une priorité plus élevée, compte tenu de leur importance pour les programmes anti-malware des entreprises. Concrètement, il comprend :

• Assurer la sécurité contre les logiciels malveillants pendant les périodes de maintenance est essentiel.

La norme ISO 27001:2013 Annexe A 12.2.1 demande aux organisations de réfléchir à l'utilisation de deux plates-formes anti-malware différentes, tandis que la norme ISO 27001:2022 Annexe A 8.7 se contente d'une seule solution intégrée.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Notre plateforme vous propose des tableaux de bord personnalisables qui vous permettent de comprendre en temps réel votre niveau de conformité.

Vous pouvez superviser et contrôler l’intégralité de votre conformité ISO 27001:2022 à partir d’un seul endroit, y compris gestion des audits, analyse des écarts, gestion de la formation, évaluation des risques, etc.

Cette plateforme complète offre une solution simple et intégrée qui peut être utilisée 27001 heures sur 2022 depuis n'importe quel appareil connecté à Internet. Il facilite une collaboration transparente et sécurisée entre les employés pour surveiller les risques de sécurité et suivre les progrès de l'organisation vers l'obtention de la certification ISO XNUMX:XNUMX.

Contactez-nous maintenant pour organiser une démonstration.