ISO 27001 :2022 Annexe A 8.8 – Gestion des vulnérabilités techniques

• See ISO 27002:2022 Contrôle 8.8 pour plus d'informations.
• See ISO 27001:2013 Annexe A 12.6.1 pour plus d'informations.
• See ISO 27001:2013 Annexe A 18.2.3 pour plus d'informations.

Objet de la norme ISO 27001:2022 Annexe A 8.8

Aucun réseau informatique, système, logiciel ou appareil n’est entièrement sécurisé. L’exploitation d’un LAN ou d’un WAN moderne implique des vulnérabilités dans le cadre du processus. Il est donc essentiel que les organisations acceptent leur présence et s’efforcent de réduire les risques potentiels.

La norme ISO 27001:2022 Annexe A 8.8 fournit une multitude de conseils pour aider les organisations à protéger leurs réseaux contre l'exploitation interne et externe des vulnérabilités. Il utilise des procédures et des lignes directrices de plusieurs autres ISO 27001: 2022 Annexe A Contrôles, en particulier ceux pour La Gestion du changement (voir annexe A 8.32) et Contrôle d'accès .

Propriété de l'annexe A 8.8

L'ISO 27001 :2022, Annexe A 8.8, traite de la gestion technique et administrative des logiciels, des systèmes et des actifs TIC. Il prescrit une approche globale pour la gestion des logiciels, la gestion d'actifset audit de sécurité du réseau.

La personne qui assume la responsabilité ultime de la maintenance de l'infrastructure TIC de l'organisation, telle que le responsable informatique ou équivalent, doit être le propriétaire de la norme ISO 27001:2022, annexe A 8.8.

Conseils sur l’identification des vulnérabilités

Avant d'effectuer des contrôles de vulnérabilité, il est essentiel d'acquérir une liste complète et à jour des actifs physiques et numériques (voir annexe A 5.9 et 5.14) détenus et exploités par l'organisation.

Les données sur les actifs logiciels doivent comprendre :

• Numéros de version actuellement en service.
• Où le logiciel est déployé dans tout le domaine.
• Nom du fournisseur.
• Nom de l'application.

Les organisations doivent s’efforcer d’identifier les vulnérabilités techniques en :

• Il est essentiel de définir clairement qui, au sein de l'organisation, est responsable de gestion des vulnérabilités par un technicien point de vue, remplissant ses diverses fonctions, qui comprennent (sans toutefois s'y limiter) :
• Surveillance.
• Mise à jour.
• La gestion d'actifs.
• L'évaluation des risques.
• Au sein de l'organisation, qui est responsable du logiciel.
• Tenir un registre des applications et des outils pour identifier les faiblesses techniques.
• Demander aux fournisseurs de divulguer toute susceptibilité avec les nouveaux systèmes et matériels lors de leur fourniture (conformément à l'annexe A 5.20 de la norme ISO 27001:2022), et le préciser clairement dans tous les contrats et accords de service applicables.
• Utilisez des outils d’analyse des vulnérabilités et des fonctionnalités de correction.
• Effectuez des tests d'intrusion périodiques et documentés, soit par le personnel interne, soit par un tiers authentifié.
• Soyez conscient du potentiel de vulnérabilités programmatiques sous-jacentes lors de l’utilisation de bibliothèques de code ou de code source tiers (reportez-vous à la norme ISO 27001:2022, annexe A 8.28).

Orientations sur les activités publiques

Les organisations doivent créer des politiques et des procédures qui détectent les vulnérabilités de tous leurs produits et services et obtenir des évaluations de ces vulnérabilités liées à leur approvisionnement.

L'ISO conseille aux organisations de prendre des mesures pour identifier toute vulnérabilité et de motiver les tiers à participer aux activités de gestion des vulnérabilités en proposant des programmes de primes (dans lesquels les exploits potentiels sont recherchés et signalés à l'organisation en échange d'une récompense).

Les organisations doivent se rendre accessibles au public via des forums, des adresses e-mail publiques et des recherches afin de pouvoir exploiter les connaissances collectives du public pour protéger leurs produits et services.

Les organisations doivent examiner toute mesure corrective prise et envisager de divulguer les informations pertinentes aux personnes ou organisations concernées. En outre, ils devraient collaborer avec des organisations de sécurité spécialisées pour diffuser les connaissances sur les vulnérabilités et les vecteurs d’attaque.

Les organisations devraient penser à fournir un système de mise à jour automatisé en option que les clients peuvent choisir d'utiliser ou non, en fonction de leurs besoins commerciaux.

Conseils sur l'évaluation des vulnérabilités

Des rapports précis sont essentiels pour garantir une action corrective rapide et efficace lorsque des risques de sécurité sont détectés.

Les organisations doivent évaluer les vulnérabilités en :

• Examinez attentivement les rapports et déterminez quelle action est nécessaire, comme la modification, la mise à jour ou l'élimination des systèmes et/ou équipements concernés.
• Parvenir à une résolution qui prend en compte les autres contrôles ISO (en particulier ceux liés à la norme ISO 27001:2022) et reconnaît le niveau de risques.

Conseils pour contrer les vulnérabilités logicielles

Les vulnérabilités logicielles peuvent être corrigées efficacement grâce à une approche proactive des mises à jour logicielles et de la gestion des correctifs. Assurer des mises à jour et des correctifs réguliers peut aider à protéger votre système contre les menaces potentielles.

Les organisations doivent veiller à conserver les versions logicielles existantes avant d'apporter des modifications, effectuer des tests approfondis sur toutes les modifications et les appliquer à une copie désignée du logiciel.

Une fois les vulnérabilités identifiées, les organisations doivent prendre des mesures pour y remédier :

• Visez à corriger rapidement et efficacement toutes les faiblesses de sécurité.
• Dans la mesure du possible, respectez les protocoles organisationnels sur la gestion du changement (voir ISO 27001:2022 Annexe A 8.32) et la gestion des incidents (voir ISO 27001:2022 Annexe A 5.26).
• Appliquez uniquement des correctifs et des mises à jour provenant de sources fiables et certifiées, en particulier pour les logiciels et équipements de fournisseurs tiers :
• Les organisations doivent évaluer les données disponibles pour décider s'il est essentiel d'appliquer des mises à jour automatiques (ou des composants de celles-ci) aux logiciels et au matériel achetés.
• Avant l'installation, testez toutes les mises à jour pour éviter tout problème imprévu dans un environnement réel.
• Accordez la priorité absolue à la lutte contre les systèmes commerciaux vitaux et à haut risque.
• Assurez-vous que les mesures correctives sont efficaces et authentiques.

En cas d'absence de mise à jour disponible ou d'obstacles à l'installation d'une mise à jour (par exemple liés au coût), les organisations doivent envisager d'autres méthodes, telles que :

• Demander des conseils au fournisseur sur une solution temporaire pendant que les efforts correctifs sont intensifiés.
• Désactivez tous les services réseau affectés par la vulnérabilité.
• Mettre en œuvre des contrôles de sécurité au niveau des passerelles clés, tels que des réglementations de circulation et des filtres, pour protéger le réseau.
• Renforcer la surveillance proportionnellement au risque associé.
• Assurez-vous que toutes les parties concernées sont conscientes du défaut, y compris les vendeurs et les acheteurs.
• Retardez la mise à jour et évaluez les risques, en particulier en notant les coûts opérationnels potentiels.

Contrôles accompagnant l’Annexe A

• ISO 27001:2022 Annexe A 5.14
• ISO 27001:2022 Annexe A 5.20
• ISO 27001:2022 Annexe A 5.9
• ISO 27001:2022 Annexe A 8.20
• ISO 27001:2022 Annexe A 8.22
• ISO 27001:2022 Annexe A 8.28

Orientations supplémentaires sur l'Annexe A 8.8

Les organisations devraient maintenir un Piste d'audit de toutes les activités pertinentes de gestion des vulnérabilités pour faciliter les actions correctives et faire progresser les protocoles en cas de faille de sécurité.

L'évaluation et la révision périodiques de l'ensemble du processus de gestion des vulnérabilités constituent un excellent moyen d'améliorer les performances et d'identifier de manière proactive les vulnérabilités.

Si l'organisation emploie un fournisseur de services cloud, elle doit s'assurer que l'approche du fournisseur en matière de gestion des vulnérabilités est compatible avec la leur et doit être incluse dans l'accord de service contraignant entre les deux parties, y compris toutes les procédures de reporting (voir ISO 27001:2022 Annexe A 5.32). .

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 8.8 remplace deux contrôles de l'Annexe A de la norme ISO 27001:2013, ceux-ci sont:

• 12.6.1 – Gestion des vulnérabilités techniques
• 18.2.3 – Examen de la conformité technique

L'Annexe A 27001 de l'ISO 2022 :8.8 introduit une nouvelle approche distincte de la gestion des vulnérabilités par rapport à celle trouvée dans l'ISO 27001 :2013. Il s’agit d’une divergence notable par rapport à la norme antérieure.

L'annexe A 27001 de l'ISO 2013 :12.6.1 se concentre principalement sur la mise en place de mesures correctives une fois qu'une vulnérabilité est détectée, tandis que l'annexe A 18.2.3 ne s'applique qu'aux moyens techniques (en grande partie des tests d'intrusion).

ISO 27001:2022, l'Annexe A 8.8 introduit de nouvelles sections traitant des responsabilités publiques d'une organisation, des méthodes de reconnaissance des vulnérabilités et du rôle que jouent les fournisseurs de cloud pour maintenir les vulnérabilités au minimum.

ISO 27001:2022 met fortement l'accent sur le rôle de la gestion des vulnérabilités dans d'autres domaines (tels que la gestion du changement) et encourage l'adoption d'une approche holistique, intégrant plusieurs autres contrôles et processus de sécurité de l'information.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

Notre la plateforme est conviviale et simple. Il s'adresse à tous les membres de l'organisation, pas seulement aux personnes expertes en technologie. Nous recommandons d'impliquer le personnel de tous les niveaux de l'entreprise dans construire votre SMSI car cela contribue à créer un système qui durera.

Contactez-nous dès maintenant pour organiser une démonstration.