Qu'est-ce que le contrôle 5.1 ?
Une politique de sécurité de l'information fournit aux employés, à la direction et aux parties externes (par exemple, clients et fournisseurs) un cadre pour la gestion des informations électroniques, y compris les réseaux informatiques.
Le but d’une politique de sécurité de l’information est de réduire le risque de perte ou de vol de données dû à des menaces internes et externes. Une politique de sécurité de l'information garantit également que tous les employés sont conscients de leurs responsabilités en matière de protection des données détenues par leur organisation.
Une politique de sécurité des informations peut également être utilisée pour démontrer la conformité aux lois et réglementations et contribuer à respecter des normes telles que ISO 27001.
Explication des menaces liées à la cybersécurité et à la sécurité de l'information
Les menaces de cybersécurité désignent toute attaque malveillante possible visant à accéder illégalement aux données, à perturber les opérations numériques ou à endommager les informations. Les cybermenaces peuvent provenir de divers acteurs, notamment des espions et des hacktivistes d’entreprise, des groupes terroristes, des États-nations hostiles et des organisations criminelles.
Certaines des menaces les plus courantes en matière de cybersécurité et de sécurité de l’information sont :
- Logiciel malveillant: virus, logiciels espions et autres programmes malveillants.
- E-mails de phishing: des messages qui semblent provenir de sources fiables mais contiennent des liens et des pièces jointes qui installent des logiciels malveillants.
- Ransomware: un logiciel malveillant qui empêche les utilisateurs d'accéder à leurs propres données jusqu'à ce qu'ils paient une rançon.
- Ingénierie sociale: les attaquants manipulent les gens pour qu'ils fournissent des informations sensibles, généralement en semblant dignes de confiance.
- Attaques baleinières : les e-mails de phishing sont conçus pour donner l'impression qu'ils proviennent de personnes de haut niveau au sein d'une organisation.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Quel est le but du contrôle 5.1 ?
Le but de la politique de sécurité des informations est d'assurer le soutien de la direction pour la protection des informations sensibles de votre entreprise contre le vol et les accès non autorisés.
Le contrôle 5.1 couvre le contrôle, l'objectif et les conseils de mise en œuvre pour l'établissement d'une politique de sécurité de l'information dans une organisation conformément au cadre défini par la norme ISO 27001.
Le contrôle 5.1 stipule que les organisations doivent disposer de politiques de haut et de bas niveaux sur la manière dont elles gèrent la sécurité de leurs informations. La haute direction de l'organisation doit approuver les politiques, qui doivent être révisées régulièrement et également si des changements dans l'environnement de sécurité de l'information surviennent.
La meilleure approche consiste à se réunir régulièrement au moins une fois par mois, avec des réunions supplémentaires programmées si nécessaire. Si des modifications sont apportées aux politiques, la direction doit les approuver avant leur mise en œuvre. Les politiques doivent également être partagées avec les parties prenantes internes et externes.
Attributs du contrôle 5.1
Les attributs sont un moyen de catégoriser les contrôles. Ceux-ci vous permettent d’aligner rapidement votre sélection de contrôles sur le langage et les normes courants du secteur. Dans le contrôle 5.1, ce sont.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Gouvernance | #Gouvernance et écosystème |
| #Intégrité | #Résistance | |||
| #Disponibilité |
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Qu'est-ce que cela implique et comment répondre aux exigences
La politique de sécurité de l'information doit fournir la base et être soutenue par des procédures opérationnelles détaillées qui décrivent comment la sécurité de l'information sera gérée dans la pratique.
La politique doit être approuvée par la haute direction, qui doit veiller à ce qu'elle soit communiquée au personnel et mise à la disposition des parties intéressées.
La politique donne des orientations sur l'approche de l'organisation en matière de gestion de la sécurité de l'information et peut être utilisée comme cadre pour développer des procédures opérationnelles plus détaillées.
La politique est un élément essentiel dans l'établissement et le maintien d'un système de gestion de la sécurité de l'information (ISMS), comme l'exige la famille de normes ISO/IEC 27000, mais même si l'organisation n'a pas l'intention de mettre en œuvre une certification formelle selon la norme ISO 27001 ou toute autre norme , une politique bien définie reste importante.
Modifications et différences par rapport à la norme ISO 27002:2013
Dans la norme ISO 27002 : 2022, le contrôle 5.1 Politiques de sécurité de l'information n'est pas un nouveau contrôle, il est plutôt le résultat de la fusion de contrôles. 5.1.1 Politiques de sécurité des informations et 5.1.2 Examen des politiques de sécurité de l'information de la norme ISO 27002 révision 2013.
Dans la norme ISO 27002:2022, le contrôle 5.1 a été mis à jour pour inclure une description de son objectif et des directives de mise en œuvre élargies. Il est également livré avec un tableau d'attributs qui permet aux utilisateurs de réconcilier les contrôles avec les terminologies de l'industrie.
Dans la norme ISO 27002 : 2022, le contrôle 5.1 stipule que la sécurité de l'information et les politiques spécifiques à un sujet doivent être définies, approuvées par la direction, publiées, communiquées et reconnues par le personnel concerné et les parties intéressées concernées.
La politique de sécurité de l'information d'une organisation doit refléter la taille, le type et la sensibilité des actifs informationnels de l'organisation. Il doit également être conforme aux normes de l’industrie et aux réglementations gouvernementales applicables.
Bien que l'essence du contrôle lui-même soit similaire à 5.1.1 de la norme ISO 27002 : 2013, la version 2022 indique spécifiquement que ces politiques de sécurité des informations doivent être révisées régulièrement et également si des changements dans l'environnement de sécurité des informations se produisent. Cet avenant est couvert par la clause 5.1.2 de la norme ISO 27002:2013.
Les normes ISO 27002 : 2013 et ISO 27002 : 2022 stipulent que le plus haut niveau de l'organisation doit définir une politique de sécurité que la haute direction approuve et qui indique comment elle supervisera la protection de ses informations. Cependant, les exigences couvertes par les politiques des deux versions sont différentes.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Comparaison des lignes directrices de mise en œuvre du contrôle 5.1 2013 – 2022
Dans la norme ISO 27002 : 2013, les politiques de sécurité de l'information doivent répondre aux exigences créées par :
- Stratégie d'entreprise.
- Règlements, législation et contrats.
- L’environnement actuel et projeté des menaces en matière de sécurité de l’information.
La politique de sécurité de l'information doit contenir des déclarations concernant :
- Définition de la sécurité de l’information, des objectifs et des principes pour guider toutes les activités liées à
sécurité des informations. - Attribution de responsabilités générales et spécifiques pour la gestion de la sécurité de l'information à
des rôles définis. - Processus de gestion des écarts et des exceptions.
Mais les exigences de la norme ISO 27002:2022 sont un peu plus complètes.
La politique de sécurité de l’information doit prendre en compte les exigences découlant de :
- Stratégie et exigences commerciales.
- Règlements, législation et contrats.
- Les risques et menaces actuels et projetés en matière de sécurité de l’information.
La politique de sécurité de l'information doit contenir des déclarations concernant :
- Définition de la sécurité de l'information.
- Objectifs de sécurité de l’information ou cadre de définition des objectifs de sécurité de l’information.
- Principes pour guider toutes les activités liées à la sécurité de l’information.
- Engagement à satisfaire aux exigences applicables liées à la sécurité de l’information.
- Engagement envers l’amélioration continue du système de gestion de la sécurité de l’information.
- Attribution des responsabilités pour la gestion de la sécurité de l'information à des rôles définis.
- Procédures de gestion des exemptions et exceptions.
Dans le même temps, les politiques spécifiques à un sujet ont été retravaillées dans la norme ISO 27002:2022 pour inclure : gestion des incidents de sécurité de l'information, gestion des actifs, sécurité des réseaux, gestion des incidents de sécurité de l'information et développement sécurisé. Certains éléments de la norme ISO 27002:2013 ont été soit supprimés, soit fusionnés pour former un cadre plus holistique.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.Online aide
Chez ISMS.online, notre système cloud facile à utiliser mais puissant vous fournira un ensemble complet d'outils et de ressources pour vous aider à gérer votre propre système de gestion de la sécurité de l'information (ISMS) ISO 27001/27002, que vous soyez nouveau. à la norme ISO 27001/27002 ou déjà certifié.
Notre flux de travail intuitif étape par étape, nos outils, cadres, politiques et contrôles, notre documentation exploitable et nos conseils vous guident tout au long du processus de mise en œuvre de la norme ISO 27002, vous permettant ainsi de définir facilement la portée du SMSI, d'identifier les risques et de mettre en œuvre des contrôles à l'aide de nos algorithmes – soit à partir de zéro, soit à partir de modèles de bonnes pratiques.
Contactez-nous dès aujourd'hui pour réserver une démo.
