ISO 27001:2022 Annexe A 8.9 – Gestion de la configuration

• See ISO 27002:2022 Contrôle 8.9 pour plus d'informations.

Objet de la norme ISO 27001:2022 Annexe A 8.9

Les configurations, sous forme de fichier de configuration individuel ou d'ensemble de configurations liées entre elles, déterminent la manière dont le matériel, les logiciels et les réseaux sont gérés.

À titre d'exemple, le fichier de configuration d'un pare-feu contiendra les attributs de base que l'appareil utilise pour gérer le trafic entrant et sortant du réseau d'une organisation, tels que les listes de blocage, la redirection de port, les réseaux locaux virtuels et les informations VPN.

La gestion de la configuration constitue un élément essentiel du travail de toute organisation. la gestion d'actifs stratégie. Les configurations sont cruciales pour garantir qu'un réseau fonctionne comme il se doit et pour protéger les appareils contre les modifications non approuvées ou les altérations inappropriées par le personnel de maintenance et/ou les fournisseurs.

Propriété de l'annexe A 8.9

La gestion de la configuration est une tâche administrative dédiée à la maintenance et à l'observation des données et informations liées aux actifs présentes sur divers appareils et applications. La propriété devrait donc être entre les mains du Head of IT ou l'équivalent.

Guide sur la conformité à la norme ISO 27001:2022 Annexe A 8.9

Les organisations doivent élaborer et mettre en œuvre des politiques de gestion de configuration pour les systèmes et le matériel nouveaux et existants. Les contrôles internes doivent englober des éléments clés tels que les configurations de sécurité, le matériel avec les fichiers de configuration et tout logiciel ou système applicable.

ISO 27001: 2022 L'Annexe A 8.9 exige que les organisations prennent en compte tous les rôles et tâches pertinents lors de l'établissement d'une politique de configuration, y compris l'attribution de la propriété des configurations appareil par appareil ou application par application.

Conseils sur les modèles standards

Les organisations doivent s'efforcer d'utiliser des modèles standardisés pour sécuriser tous les matériels, logiciels et systèmes chaque fois que cela est possible. Ces modèles doivent :

• Essayez d'utiliser des instructions open source spécifiques au fournisseur et disponibles gratuitement pour configurer de manière optimale les actifs matériels et logiciels.
• Assurez-vous que l’appareil, l’application ou le système respecte les exigences minimales de sécurité.
• Coopérer avec les plus grandes entreprises de l'entreprise sécurité de l'information activités, y compris toutes les réglementations ISO applicables.
• Tenir compte des besoins métier particuliers de l’organisation – notamment en ce qui concerne les paramètres de sécurité – ainsi que de la possibilité d’appliquer ou de gérer un modèle à tout moment.
• À intervalles réguliers, examinez les mises à jour du système et du matériel, ainsi que toutes les menaces de sécurité actuelles, pour garantir des performances optimales.

Conseils sur les contrôles de sécurité

La sécurité est de la plus haute importance lors de l'application de modèles de configuration ou de la modification de modèles existants conformément aux instructions mentionnées ci-dessus.

Lorsqu’elles envisagent de mettre en œuvre des modèles dans toute l’entreprise, les organisations doivent s’efforcer de réduire les risques potentiels en matière de sécurité des informations en :

• Limiter le nombre de personnes ayant une autorité administrative au minimum possible.
• Désactivez toutes les identités qui ne sont pas utilisées ou qui ne sont pas nécessaires.
• Suivez attentivement l’accès aux programmes de maintenance, aux utilitaires et aux paramètres internes.
• Assurez-vous que les horloges sont coordonnées pour enregistrer la configuration avec précision et faciliter les futures sondes.
• Modifiez immédiatement les mots de passe par défaut ou les paramètres de sécurité fournis avec n'importe quel appareil, service ou programme.
• Implémentez une période de déconnexion prédéfinie pour tous les appareils, systèmes ou applications qui sont restés inactifs pendant une période prédéterminée.
• Assurer la conformité à la norme ISO 27001:2022, annexe A 5.32, pour garantir que toutes les exigences de licence ont été remplies.

Conseils sur la gestion et la surveillance des configurations

L'organisation est tenue de conserver et d'enregistrer les configurations, ainsi qu'un historique de toute modification ou nouvelle configuration, conformément au processus de gestion des changements de la norme ISO 27001 : 2022, Annexe A 8.32.

Les journaux doivent inclure des informations qui détaillent :

• Qui détient l’actif.
• Enregistrez l’heure du dernier changement de configuration.
• Version du modèle de configuration en vigueur.
• Expliquez toutes les données pertinentes à l'association de l'actif avec des configurations sur d'autres gadgets/systèmes.

Les organisations doivent employer un large éventail de méthodes pour garder un œil sur le fonctionnement des fichiers de configuration sur leur réseau, telles que :

• Automatisation.
• Des programmes de maintenance de configuration spécialisés sont disponibles. Ces programmes permettent une gestion efficace et efficiente des paramètres.
• Outils d'assistance à distance qui remplissent automatiquement les données de configuration pour chaque appareil.
• Des utilitaires de gestion d'appareils et de logiciels d'entreprise sont créés pour observer simultanément de grandes quantités de données de configuration.
• Le logiciel BUDR fournit des sauvegardes automatisées des configurations dans un endroit sécurisé et peut restaurer à distance ou sur site des modèles sur des appareils défectueux ou compromis.

Les organisations doivent utiliser un logiciel spécialisé pour surveiller toute modification apportée à la configuration d'un appareil, en prenant des mesures rapides pour approuver ou rétablir la transformation à son état initial.

Contrôles accompagnant l’Annexe A

• ISO 27001:2022 Annexe A 5.32
• ISO 27001:2022 Annexe A 8.32

Modifications et différences par rapport à la norme ISO 27001:2013

L'Annexe A 27001 de l'ISO 2022:8.9 n'est pas présente dans l'ISO 27001:2013, car il s'agit d'un nouvel ajout dans la révision 2022.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque norme ISO 27001:2022. Annexe A Contrôle.

Comment l'aide d'ISMS.online

ISMS.Online propose une approche globale de Implémentation ISO 27001. Il propose un ensemble de services complets, garantissant que l'ensemble du processus est traité rapidement et efficacement. Il fournit tous les outils, ressources et conseils nécessaires pour permettre aux organisations de mettre en œuvre la norme en toute confiance.

Ce système basé sur le Web vous permet de démontrer que votre Système de gestion de la sécurité de l'information (SMSI) répond aux normes acceptées, avec des processus, des procédures et des listes de contrôle bien réfléchis.

Contactez-nous maintenant pour organiser une démonstration.