Le guide ultime de la norme ISO 27002

Qu'est-ce que l'ISO 27002?

ISO/IEC 27002:2022 est une norme de sécurité de l'information publiée par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI). L'ISO 27002 est étroitement associée à l'ISO 27001. D'une manière générale, elle donne des lignes directrices sur la mise en œuvre d'un SMSI ISO 27001.

La norme ISO/IEC 27002 fournit un ensemble de référence de contrôles en matière de sécurité de l'information, de cybersécurité et de protection de la vie privée, y compris des conseils de mise en œuvre basés sur les meilleures pratiques reconnues au niveau international.

Bien que la norme ISO 27002 ne soit pas une norme certifiable en soi, le respect de ses directives en matière de sécurité de l'information, de sécurité physique, de cybersécurité et de gestion de la confidentialité rapproche votre organisation de la satisfaction des exigences de la certification ISO 27001.

Pourquoi ISO 27002 est-il important?

Si votre organisation collecte, utilise ou traite des données, il y aura toujours des risques et des menaces en matière de sécurité des informations à surveiller.

Pour vous prémunir contre ces risques, vous devez disposer d'un système de gestion de la sécurité de l'information (ISMS) pour garantir la confidentialité, la disponibilité et l'intégrité de toutes les informations et actifs informationnels.

Le principal défi auquel sont confrontées les entreprises qui débutent sur la scène de la gestion de la sécurité de l’information est son vaste champ d’application. La mise en œuvre et la maintenance d'un SMSI couvrent un spectre si large que la plupart des managers ne savent pas par où commencer.

Si cela vous ressemble ou si vous cherchez simplement à rester au top de la sécurité de vos informations, alors un bon point de départ consiste à mettre en œuvre les contrôles suggérés dans la norme ISO/IEC 27002.

Quels sont les bénéfices?

En mettant en œuvre les contrôles de sécurité de l'information contenus dans la norme ISO 27002, les organisations peuvent être assurées que leurs actifs informationnels sont protégés par les meilleures pratiques reconnues et approuvées au niveau international.

Les organisations de toutes tailles et de tous niveaux de maturité en matière de sécurité peuvent bénéficier des avantages suivants en adhérant au code de bonnes pratiques ISO 27002 :

• Il fournit un cadre de travail pour la résolution des problèmes de sécurité de l’information, de cybersécurité, de sécurité physique et de confidentialité des informations.
• Les clients et les partenaires commerciaux seront plus confiants et auront une vision positive d’une organisation qui met en œuvre les normes et contrôles de sécurité de l’information recommandés.
• Étant donné que les politiques et procédures fournies sont conformes aux exigences de sécurité reconnues au niveau international, la coopération avec les partenaires internationaux est plus simple.
• Le respect de la norme aide à développer les meilleures pratiques d'une organisation qui augmenteront la productivité globale.
• Il fournit une mise en œuvre, une gestion, une maintenance et une évaluation définies des systèmes de gestion de la sécurité de l'information.
• Une organisation conforme à la norme ISO aura un avantage dans les négociations contractuelles et la participation aux opportunités commerciales mondiales.
• En se conformant aux contrôles de sécurité de l'information ISO 27002, on peut bénéficier de primes d'assurance inférieures de la part des prestataires.

Les directives de mise en œuvre pour la conformité à la norme ISO 27001 sont largement référencées dans la famille de normes ISO 27000, y compris ISO 27701. Les contrôles de sécurité des informations ISO 27002 peuvent être comparés à des normes similaires, par exemple NIST, SOC2, CIS, TISAX® et bien d'autres.

La révision ISO 27002:2022 expliquée

La norme ISO/IEC 27002 a été révisée pour mettre à jour les contrôles de sécurité de l'information afin qu'ils reflètent les évolutions et les pratiques actuelles en matière de sécurité de l'information dans divers secteurs des entreprises et des gouvernements.

La nouvelle révision ISO 27002 2022 a été publiée le 15 février 2022. De nombreuses normes et cadres de sécurité sont liés ou utilisent les contrôles de sécurité de l'information de la norme ISO 27002:2013 et cette nouvelle révision les impactera donc également.

Portée ISO 27002:2013

ISO 27002:2013 est/était un code de bonnes pratiques pour un système de gestion de la sécurité de l'information (ISMS) et approfondit un niveau de détail beaucoup plus élevé que l'Annexe A Contrôles de la norme ISO 27001, contenant des techniques de sécurité, des objectifs de contrôle, des exigences de sécurité, un contrôle d'accès. , les contrôles de traitement des risques liés à la sécurité de l'information, les contrôles des informations personnelles et exclusives ainsi que les contrôles génériques de sécurité de l'information.

L'objectif principal de la norme ISO 27002:2013 était de fournir des techniques complètes de sécurité de l'information et des contrôles de gestion des actifs à toute organisation ayant besoin d'un nouveau programme de gestion de la sécurité de l'information ou souhaitant améliorer ses politiques et pratiques de sécurité de l'information existantes.

Qu'est-ce qui a changé dans la norme ISO 27002:2022 ?

Le premier changement important apporté à la norme est l’abandon d’un « code de bonnes pratiques » et son positionnement comme un ensemble de contrôles de sécurité de l’information pouvant être autonomes.

La norme révisée fournit une structure plus simple qui peut être appliquée dans toute une organisation. La version révisée de la norme ISO 27002 peut désormais également être utilisée pour gérer un profil de risque plus large. Cela inclut la sécurité des informations et les aspects plus techniques de la sécurité physique, de la gestion des actifs, de la cybersécurité et des éléments de sécurité des ressources humaines qui accompagnent la protection de la vie privée.

Portée élargie de la norme ISO 27002 : 2022

Le premier changement immédiat est le nom de la norme.

Auparavant, la norme ISO 27002:2013 était intitulée « Technologies de l'information – Techniques de sécurité – Code de bonnes pratiques pour les contrôles de sécurité de l'information ».

La norme s’appelle désormais « Sécurité de l’information, cybersécurité et protection de la vie privée – Contrôles de sécurité de l’information » dans la révision 2022.

Pourquoi a-t-il changé ?

Compte tenu du paysage moderne de la conformité, des réglementations telles que RGPD, POPIA et APPS, ainsi que de l'évolution des difficultés de continuité des activités et de cyber-risques auxquelles les organisations sont confrontées, la nécessité pour la norme ISO 27002 d'élargir la portée de ses contrôles de sécurité de l'information était attendue depuis longtemps.

L'objectif de la dernière révision (2022) était d'améliorer l'intention de la norme en fournissant un ensemble de référence pour les objectifs de contrôle de la sécurité de l'information et d'élargir son champ d'application dans la gestion des risques liés à la sécurité de l'information, à la confidentialité et à la cybersécurité spécifiques au contexte.

En quoi la norme ISO 27002:2022 diffère de la norme ISO 27002:2013

D'une manière générale, le nombre de contrôles de sécurité dans la nouvelle version de la norme ISO 27002:2022 est passé de 114 contrôles répartis en 14 articles dans l'édition 2013 à 93 contrôles dans l'édition 2022. Ces contrôles de sécurité sont désormais classés en quatre « thèmes » de contrôle.

Contrôles expliqués

Un « contrôle » est défini comme une mesure qui modifie ou maintient le risque. Une politique de sécurité de l’information, par exemple, ne peut que maintenir le risque, alors que le respect de la politique de sécurité de l’information peut modifier le risque. De plus, certains contrôles décrivent la même mesure générique dans différents contextes de risque.

Modifications spécifiques en détail

Les ensembles de contrôle sont désormais organisés en quatre (4) catégories ou thèmes de sécurité au lieu de quatorze (14) domaines de contrôle. (anciennement A5. à A.18)

Les quatre catégories comprennent :

• Organisationnel
• Personnes
• Physique
• technologique
• 93 contrôles dans la nouvelle version du 27002
• 11 contrôles sont nouveaux
• Au total, 24 contrôles ont été fusionnés à partir de deux, trois contrôles de sécurité ou plus de la version 2013 ; et les 58 contrôles de la norme ISO 27002:2013 ont été examinés et révisés pour s'aligner sur l'environnement actuel de cybersécurité et de sécurité de l'information.
• L'Annexe A, qui comprend des conseils pour l'application des attributs.
• L'Annexe B, qui correspond à la norme ISO/IEC 27001 2013. Il s'agit essentiellement de deux tableaux qui croisent les numéros de contrôle/identifiants pour faciliter la référence, détaillant ce qui est nouveau et ce qui a fusionné.

• A.5.7 Renseignements sur les menaces
• A.5.23 Sécurité des informations pour l'utilisation des services cloud
• A.5.30 Préparation aux TIC pour la continuité des activités
• A.7.4 Surveillance de la sécurité physique
• A.8.9 Gestion des configurations
• A.8.10 Suppression des informations
• A.8.11 Masquage des données
• A.8.12 Prévention des fuites de données
• A.8.16 Activités de surveillance
• A.8.23 Filtrage Web
• A.8.28 Codage sécurisé

Examens et mises à jour des conseils de contrôle

La section Conseils pour chaque contrôle a été revue et mise à jour (si nécessaire) pour refléter les développements et les pratiques actuels.

Le langage utilisé dans les notes d'orientation est plus robuste que la version précédente ; on s’attend désormais de plus en plus à ce que les contrôles obligatoires et les organisations soient en mesure de prouver leur conformité dans une plus grande mesure. De plus, chaque contrôle est désormais équipé d'une instruction « Objectif » et introduit un ensemble d'« Attributs » (voir 4.2) pour chaque contrôle.

Une entreprise mettant en œuvre des contrôles peut choisir ceux qui s'appliquent à elle en fonction du risque, ainsi qu'ajouter les siens dans un SMSI conforme à la norme ISO 27001 (utilisation dépendante du contexte).

Thèmes et attributs ISO 27002

Les attributs sont un moyen de catégoriser les contrôles. Ceux-ci vous permettent d’aligner rapidement votre sélection de contrôles sur le langage et les normes courants du secteur.

Ces attributs identifient les points clés :

• Type de commande
• Propriétés InfoSec
• Concepts de cybersécurité
• Capacités opérationnelles
• Domaines de sécurité

L'utilisation d'attributs soutient le travail que de nombreuses entreprises effectuent déjà dans le cadre de leur évaluation des risques et de leur déclaration d'applicabilité (SOA). Par exemple, des concepts de cybersécurité similaires aux contrôles NIST et CIS peuvent être distingués et les capacités opérationnelles liées à d'autres normes peuvent être reconnues.

Chaque contrôle dispose désormais d'un tableau avec un ensemble d'attributs suggérés et l'annexe A de la norme ISO 27002:2022 fournit un ensemble d'associations recommandées.

Propriétés de sécurité des informations

La sécurité de l'information implique la protection de divers aspects de l'information, qui peuvent être représentés par le modèle de la CIA. Ces aspects incluent la confidentialité, l’intégrité et la disponibilité des informations. Comprendre cela permet la formulation et la mise en œuvre de contrôles efficaces de sécurité de l’information. Ceux-ci sont désormais définis en tant qu'attributs pour chaque contrôle.

Concepts de cybersécurité

Les attributs des concepts de cybersécurité sont introduits dans la révision 2022 de la norme. Ces valeurs d'attribut comprennent Identifier, Protéger, Détecter, Répondre et Récupérer. Cela aligne la norme ISO 27002 avec la norme ISO/IEC TS 27110, le NIST Cyber ​​Security Framework (CSF) et autres normes.

1. Identifier – Développer la compréhension de l'organisation pour gérer les risques de cybersécurité pour les systèmes, les actifs, les données et les capacités.
2. Protéger – Élaborer et mettre en œuvre des mesures de protection pour fournir des services d’infrastructure critiques.
3. Détecter – Élaborer et mettre en œuvre des activités appropriées pour identifier la survenance d’un événement de cybersécurité.
4. Réagir – Créer et mettre en pratique les activités appropriées pour prendre des mesures en réponse aux événements de cybersécurité détectés.
5. Récupérer – Élaborer et mettre en œuvre les activités appropriées pour maintenir les plans de résilience et restaurer les capacités ou services qui ont été altérés en raison d’un événement de cybersécurité.

Capacités opérationnelles

La capacité opérationnelle est un attribut permettant de visualiser les contrôles du point de vue du praticien des capacités de sécurité de l'information. 

Il s'agit notamment de:
gestion des actifs de gouvernance, protection de l'information, sécurité des ressources humaines, sécurité physique, sécurité des systèmes et des réseaux, sécurité des applications, configuration sécurisée, gestion des identités et des accès, gestion des menaces et des vulnérabilités, continuité, relations fournisseurs sécurité, juridique et conformité, gestion des événements de sécurité de l'information et assurance de la sécurité de l'information.

Domaines de sécurité

Les domaines de sécurité sont un attribut permettant de visualiser les contrôles du point de vue de quatre domaines de sécurité de l'information : « Gouvernance et écosystème » comprend « Gouvernance de la sécurité des systèmes d'information et gestion des risques » et « Gestion de la cybersécurité de l'écosystème » (y compris les parties prenantes internes et externes) ;

• Un contrôle peut avoir diverses applications (par exemple, les sauvegardes aident à protéger contre les logiciels malveillants, les piratages, les bugs, les accidents, les pannes mécaniques, les incendies, etc., et peuvent inclure des adjoints et des remplacements polyvalents pour les personnes critiques et des fournisseurs/sources alternatifs de services d'information nécessaires).
• Plusieurs contrôles sont généralement requis dans une application ou une situation donnée (par exemple, les logiciels malveillants peuvent être atténués à l'aide de sauvegardes, , antivirus, contrôles d'accès au réseau, IDS/IPS et bien plus encore, tout en évitant les infections est une approche puissante si elle est renforcée par des politiques et des procédures).
• Les contrôles que nous utilisons souvent (par exemple les sauvegardes) ne sont pas du tout ou rien, mais consistent en un certain nombre d'éléments plus mineurs (par exemple la sauvegarde implique des stratégies, des politiques et des procédures, des logiciels, des tests matériels, une récupération après incident, une protection physique, etc.).

Annexe A expliquée

Le tableau de l'Annexe A démontre l'utilisation des attributs, fournissant des exemples de la façon d'attribuer des attributs aux contrôles, créant ainsi différentes vues (selon 4.2).

Il est à noter que le filtrage ou le tri de la matrice peut être réalisé à l'aide d'un outil tel qu'une simple feuille de calcul ou une base de données, qui peut inclure davantage d'informations comme un texte de contrôle, des orientations, des orientations de mise en œuvre spécifiques à l'organisation ou des attributs. ISMS.online facilite automatiquement ces associations, rendant l'ensemble du processus sans effort.

Annexe B expliquée

Les tableaux des annexes B.1 et B.2 fournissent des points de référence faciles à naviguer qui assurent une compatibilité ascendante avec la norme ISO/IEC 27002:2013. Cela facilite la tâche des organisations utilisant l'ancienne norme de gestion qui doivent passer à la norme ISO 27002:2020, ou facilite la référence entre les normes qui utilisent l'ISO 27002, par exemple ISO 27001, ISO 27701 similaire. Encore une fois, ISMS.online mappe automatiquement les anciens identifiants de contrôle aux nouveaux au sein de notre plate-forme, simplifiant ainsi la transition et la mise en œuvre.

ISO 27001 contre ISO 27002

Les organisations souhaitant explorer les systèmes de gestion de la sécurité de l’information peuvent avoir rencontré les normes ISO 27001 et 27002.

L'ISO 27001 est la principale norme de la famille 27000. Les entreprises peuvent obtenir la certification ISO 27001, mais elles ne peuvent pas certifier la norme ISO 27002:2022 puisqu'il s'agit d'une norme/code de bonnes pratiques à l'appui.

L'Annexe A de l'ISO 27001, par exemple, fournit une liste de contrôles de sécurité mais ne vous indique pas comment les mettre en œuvre, mais fait plutôt référence à l'ISO 27002.

À l'inverse, l'ISO 27002 fournit des lignes directrices sur la mise en œuvre des contrôles utilisés dans l'ISO 27001. L'avantage de l'ISO 27002 est que les contrôles ne sont pas obligatoires ; les entreprises peuvent décider si elles souhaitent les utiliser ou non, selon qu'elles sont applicables en premier lieu.

Comment cela vous affecte-t-il ?

Il y aura un certain temps avant que les organisations soient tenues d'adopter la version révisée de la norme ISO 27001 pour leurs audits de certification (au moins un an après la publication, et généralement en conjonction avec leur prochain cycle de recertification), afin qu'elles aient suffisamment de temps pour aborder les problèmes. changements.

En fin de compte, les changements ne devraient pas avoir d’impact significatif sur le système de gestion de la sécurité de l’information (ISMS) d’une organisation ni sur sa capacité à maintenir la conformité.

Cependant, cela peut avoir un impact sur le cadre de contrôle global de l'organisation, sur des contrôles spécifiques et sur la manière dont une organisation surveille la conformité continue.

Lors de la conversion à la nouvelle norme, les organisations devront réévaluer la manière dont leurs cadres, contrôles et politiques s'alignent sur la nouvelle structure et les contrôles ISO 27001/27002 mis à jour.

La révision ISO 27002 2022 affectera une organisation comme suit :

• Si vous êtes déjà certifié ISO 27001 2013
• Êtes-vous à mi-certification
• Si vous êtes sur le point de recertifier
• Si vous êtes déjà certifié ISO 27001:2013

Si votre organisation est déjà certifiée, vous n’avez rien à faire maintenant ; la norme ISO 27002 2022 révisée sera applicable lors du renouvellement/recertification. Il va donc de soi que toutes les organisations certifiées devront se préparer à la norme révisée lors de la recertification ou si elles adoptent de nouveaux ensembles de contrôles ou de normes, par exemple ISO 27701 ou similaire.

Comment cela affecte-t-il votre (re)certification ?

Supposons qu’une organisation soit actuellement en cours de certification ou de recertification ISO 27001 2013. Dans ce cas, ils devront revoir leur évaluation des risques, identifier les nouveaux contrôles applicables et réviser leur « déclaration d'applicabilité » en comparant les contrôles révisés de l'annexe A.

Puisqu’il existe de nouveaux contrôles, des contrôles fusionnés et des directives modifiées ou supplémentaires pour d’autres contrôles, les organisations doivent revoir la norme ISO 27002:2022 révisée pour tout changement de mise en œuvre.

Même si la révision 27001 de l'ISO 2022 n'a pas encore été publiée, l'annexe B des cartes ISO 27002 contrôle les versions 2013 et 2022 de la norme.

Votre déclaration d'applicabilité (SOA) doit toujours faire référence à l'annexe A de la norme ISO 27001, tandis que les contrôles doivent faire référence à la norme révisée ISO 27002 : 2022, qui constituera un ensemble de contrôles alternatif.

Avez-vous besoin de modifier votre documentation ?

Le respect de ces changements devrait inclure :

• Une mise à jour de votre processus de traitement des risques avec des contrôles actualisés
• Une mise à jour de votre déclaration d'applicabilité
• Mettez à jour vos politiques et procédures actuelles avec des conseils pour chaque contrôle si nécessaire

Comment cela affecte-t-il votre ISO 27001:2013

Jusqu'à ce qu'une nouvelle norme ISO 27001 2022 soit publiée, les programmes de certification ISO actuels continueront, bien qu'une correspondance avec les nouveaux contrôles ISO 27002 2022 soit requise via les annexes B1.1 et B1.2. Cependant, les auditeurs ISO expérimentés reconnaîtront la structure des contrôles. , nous aurons donc plus de choses à faire. L'adoption de la norme ISO 27002:2022 pourrait permettre un audit plus fluide.

Modifications à venir de la norme ISO 27001

La plupart des experts en sécurité de l'information s'attendent à ce que les modifications apportées à la norme ISO 27001 soient des modifications textuelles mineures avec une mise à jour mineure de l'annexe A pour s'aligner sur la révision ISO 27002 2022.

La partie principale de la norme ISO 27001, qui comprend les articles 4 à 10, ne changera pas. Ces clauses incluent la portée et le contexte, la politique de sécurité de l'information, la gestion des risques pour les ressources telles que la formation et la sensibilisation à la communication et au contrôle des documents jusqu'à la surveillance et la mesure des activités opérationnelles par un service d'audit interne jusqu'aux actions correctives.

Seuls les contrôles répertoriés dans les normes ISO 27001 Annexe A et ISO 27002 seront mis à jour.

Les modifications apportées à l'Annexe A de la norme ISO 27001 :2022 seront entièrement alignées sur les modifications apportées à la norme ISO 27002 :2022.

Les 27000 XNUMX autres normes sont-elles concernées ?

Les normes et cadres de systèmes de gestion liés à et basés sur la version ISO/IEC 27002:2013 ressentiront le changement.

Les changements auront un impact supplémentaire lorsqu'ils se répercuteront sur les normes connexes telles que la sécurité du cloud ISO 27017, la confidentialité ISO 27701 et diverses normes nationales qui ont adopté ou intégré les exigences et directives actuelles.

Cela devrait se produire au fur et à mesure que les cycles de révision et de mise à jour de ces normes auront lieu au cours des prochaines années, et on peut s'attendre à un impact supplémentaire sur les normes et cadres locaux.

Démontrer les bonnes pratiques pour la norme ISO 27002

Physique et environnemental

Les aspects physiques et environnementaux d’une organisation sont essentiels pour déterminer la sécurité de ses informations. Les contrôles et procédures appropriés garantiront la sécurité physique des informations d'une organisation en limitant l'accès aux parties non autorisées et en les protégeant contre les dommages tels que les incendies et autres catastrophes.

Certaines des techniques de sécurité des informations comprennent :

• Des mesures doivent être prises pour surveiller et restreindre l'accès physique aux locaux de l'organisation et aux infrastructures de soutien, telles que la climatisation et l'électricité. Cela empêchera et garantira la détection et la correction des accès non autorisés, du vandalisme, des dommages criminels et autres altérations qui pourraient survenir.
• Les zones sensibles doivent bénéficier d'un accès partiel et la liste des personnes autorisées doit être revue et approuvée périodiquement (au moins une fois par an) par la Direction de la Sécurité Physique ou l'Administration.
• L'enregistrement vidéo, la photographie ou toute autre forme d'enregistrement numérique doivent être interdits dans les zones réglementées, sauf avec l'autorisation de l'autorité compétente.
• Une surveillance doit être établie autour des locaux à des endroits tels que les entrées, les sorties et les zones réglementées. Ces enregistrements doivent être surveillés 24 heures sur 24 par du personnel qualifié et conservés pendant au moins un mois au cas où un examen serait nécessaire.
• Un accès restreint sous forme de cartes d'accès doit être prévu pour permettre un accès limité dans le temps aux fournisseurs, stagiaires, tiers, consultants et autres membres du personnel authentifiés pour accéder aux zones.
• Les visiteurs des organisations doivent être accompagnés en tout temps par un employé, sauf lorsqu'ils utilisent des espaces ouverts tels que le hall d'accueil et les toilettes.

Ressources Humaines

Ces mesures visent à garantir la sécurité des informations de l'organisation en ce qui concerne les employés de l'organisation.

Certaines normes de sécurité des informations sur les ressources humaines comprennent :

• Chaque employé doit être contrôlé avant son embauche pour vérifier son identité, ses références professionnelles et sa conduite globale. Ceux-ci doivent être particulièrement rigoureux s’ils doivent occuper des postes de confiance en matière de sécurité de l’information au sein de l’organisation.
• Les employés doivent tous accepter un accord contraignant de non-divulgation ou de confidentialité. Cela dictera le niveau de discrétion avec lequel ils traitent les informations personnelles et exclusives avec lesquelles ils entrent en contact dans le cadre de leur emploi.
• Le service des ressources humaines doit informer les finances, l'administration et les autres services concernés lorsqu'un employé est embauché, suspendu, licencié, muté, en congé de longue durée et toute autre circonstance pouvant nécessiter la modification de ses autorisations.
• Une fois que le service RH informe les autres services du changement de statut d'un employé, cela devrait être suivi d'un ajustement des droits d'accès physiques et logiques correspondants.
• Les responsables des employés doivent effectuer un suivi pour s'assurer que toutes les clés, cartes d'accès, équipements informatiques, périphériques de stockage et tous les autres actifs de l'entreprise sont restitués avant la cessation de leur emploi.

Contrôle d'accès

Le contrôle d'accès implique les mots de passe, les cartes-clés ou d'autres restrictions de sécurité conçues pour limiter l'accessibilité des informations et des systèmes de l'entreprise.

Certains d'entre eux comprennent:

• L'accès aux réseaux d'entreprise, aux systèmes informatiques, aux informations et aux applications doit être contrôlé en fonction du rôle des utilisateurs ou comme spécifié par les propriétaires d'actifs informationnels ou les procédures organisationnelles concernés.
• Des restrictions doivent être définies pour alerter le système et/ou verrouiller les comptes d'utilisateurs après un nombre prédéfini de tentatives de connexion infructueuses. Celles-ci doivent faire l'objet d'un suivi pour éliminer le risque de tentative de violation.
• Tous les postes de travail/PC de l'entreprise doivent disposer d'économiseurs d'écran protégés par mot de passe avec des délais d'inactivité inférieurs à 10 minutes.
• Les droits d'accès privilégiés, tels que ceux requis pour l'administration, la configuration, la gestion, la sécurité et la surveillance des systèmes informatiques, doivent également être révisés périodiquement par l'organisme compétent en matière de sécurité de l'information.
• Les phrases secrètes et les mots de passe doivent être complexes et longs, avec une combinaison de chiffres, de lettres et de caractères spéciaux pour les rendre impossibles à deviner. Ceux-ci ne doivent pas être stockés dans un format écrit ou lisible.
• L'organisation doit désactiver tout accès en écriture aux supports amovibles tels que les graveurs de CD/DVD sur tous les ordinateurs de l'entreprise, sauf autorisation pour des raisons professionnelles spécifiques.

Prochaines étapes

En ce qui concerne les prochaines étapes, les principales activités à réaliser sont les suivantes :

• Achat de la norme mise à jour.
• Passez en revue la nouvelle norme ISO 27002 et ses changements de contrôle.
• Effectuer une évaluation/analyse des risques.
• Pour atténuer les risques identifiés, sélectionnez les contrôles les plus appropriés et mettez à jour vos politiques, normes, etc. ISMS en conséquence.
• Mettez à jour votre déclaration d'applicabilité (SoA).

Cela vous aidera à prendre une longueur d'avance en matière de recertification ou d'adoption de normes/cadres supplémentaires de la famille ISO 27000, par exemple ISO 27018, 27017, 27032, qui devraient être mis à jour peu de temps après la révision ISO 27001:2022.