Le contrôle 5.1 de la norme ISO 27002:2022 couvre la nécessité pour les organisations de disposer d'un document de politique de sécurité de l'information pour se protéger contre les problèmes de sécurité de l'information.
Une politique de sécurité de l'information fournit aux employés, à la direction et aux parties externes (par exemple, clients et fournisseurs) un cadre pour la gestion des informations électroniques, y compris les réseaux informatiques.
Le but d’une politique de sécurité de l’information est de réduire le risque de perte ou de vol de données dû à des menaces internes et externes. Une politique de sécurité de l'information garantit également que tous les employés sont conscients de leurs responsabilités en matière de protection des données détenues par leur organisation.
Une politique de sécurité des informations peut également être utilisée pour démontrer la conformité aux lois et réglementations et contribuer à respecter des normes telles que ISO 27001.
Les menaces de cybersécurité désignent toute attaque malveillante possible visant à accéder illégalement aux données, à perturber les opérations numériques ou à endommager les informations. Les cybermenaces peuvent provenir de divers acteurs, notamment des espions et des hacktivistes d’entreprise, des groupes terroristes, des États-nations hostiles et des organisations criminelles.
Certaines des menaces les plus courantes en matière de cybersécurité et de sécurité de l’information sont :
Le but de la politique de sécurité des informations est d'assurer le soutien de la direction pour la protection des informations sensibles de votre entreprise contre le vol et les accès non autorisés.
Le contrôle 5.1 couvre le contrôle, l'objectif et les conseils de mise en œuvre pour l'établissement d'une politique de sécurité de l'information dans une organisation conformément au cadre défini par la norme ISO 27001.
Le contrôle 5.1 stipule que les organisations doivent disposer de politiques de haut et de bas niveaux sur la manière dont elles gèrent la sécurité de leurs informations. La haute direction de l'organisation doit approuver les politiques, qui doivent être révisées régulièrement et également si des changements dans l'environnement de sécurité de l'information surviennent.
La meilleure approche consiste à se réunir régulièrement au moins une fois par mois, avec des réunions supplémentaires programmées si nécessaire. Si des modifications sont apportées aux politiques, la direction doit les approuver avant leur mise en œuvre. Les politiques doivent également être partagées avec les parties prenantes internes et externes.
Les attributs sont un moyen de catégoriser les contrôles. Ceux-ci vous permettent d’aligner rapidement votre sélection de contrôles sur le langage et les normes courants du secteur. Dans le contrôle 5.1, ce sont.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité #Intégrité #Disponibilité | #Identifier | #Gouvernance | #Gouvernance et écosystème #Résistance |
La politique de sécurité de l'information doit fournir la base et être soutenue par des procédures opérationnelles détaillées qui décrivent comment la sécurité de l'information sera gérée dans la pratique.
La politique doit être approuvée par la haute direction, qui doit veiller à ce qu'elle soit communiquée au personnel et mise à la disposition des parties intéressées.
La politique donne des orientations sur l'approche de l'organisation en matière de gestion de la sécurité de l'information et peut être utilisée comme cadre pour développer des procédures opérationnelles plus détaillées.
La politique est un élément essentiel dans l'établissement et le maintien d'un système de gestion de la sécurité de l'information (ISMS), comme l'exige la famille de normes ISO/IEC 27000, mais même si l'organisation n'a pas l'intention de mettre en œuvre une certification formelle selon la norme ISO 27001 ou toute autre norme , une politique bien définie reste importante.
Nous vous donnerons une longueur d'avance de 81 %
à partir du moment où vous vous connectez
Réservez votre démo
Dans la norme ISO 27002 : 2022, le contrôle 5.1 Politiques de sécurité de l'information n'est pas un nouveau contrôle, il est plutôt le résultat de la fusion de contrôles. 5.1.1 Politiques de sécurité des informations ainsi que 5.1.2 Examen des politiques de sécurité de l'information de la norme ISO 27002 révision 2013.
Dans la norme ISO 27002:2022, le contrôle 5.1 a été mis à jour pour inclure une description de son objectif et des directives de mise en œuvre élargies. Il est également livré avec un tableau d'attributs qui permet aux utilisateurs de réconcilier les contrôles avec les terminologies de l'industrie.
Dans la norme ISO 27002 : 2022, le contrôle 5.1 stipule que la sécurité de l'information et les politiques spécifiques à un sujet doivent être définies, approuvées par la direction, publiées, communiquées et reconnues par le personnel concerné et les parties intéressées concernées.
La politique de sécurité de l'information d'une organisation doit refléter la taille, le type et la sensibilité des actifs informationnels de l'organisation. Il doit également être conforme aux normes de l’industrie et aux réglementations gouvernementales applicables.
Bien que l'essence du contrôle lui-même soit similaire à 5.1.1 de la norme ISO 27002 : 2013, la version 2022 indique spécifiquement que ces politiques de sécurité des informations doivent être révisées régulièrement et également si des changements dans l'environnement de sécurité des informations se produisent. Cet avenant est couvert par la clause 5.1.2 de la norme ISO 27002:2013.
Les normes ISO 27002 : 2013 et ISO 27002 : 2022 stipulent que le plus haut niveau de l'organisation doit définir une politique de sécurité que la haute direction approuve et qui indique comment elle supervisera la protection de ses informations. Cependant, les exigences couvertes par les politiques des deux versions sont différentes.
Dans la norme ISO 27002 : 2013, les politiques de sécurité de l'information doivent répondre aux exigences créées par :
La politique de sécurité de l'information doit contenir des déclarations concernant :
Mais les exigences de la norme ISO 27002:2022 sont un peu plus complètes.
La politique de sécurité de l’information doit prendre en compte les exigences découlant de :
La politique de sécurité de l'information doit contenir des déclarations concernant :
Dans le même temps, les politiques spécifiques à un sujet ont été retravaillées dans la norme ISO 27002:2022 pour inclure : gestion des incidents de sécurité de l'information, gestion des actifs, sécurité des réseaux, gestion des incidents de sécurité de l'information et développement sécurisé. Certains éléments de la norme ISO 27002:2013 ont été soit supprimés, soit fusionnés pour former un cadre plus holistique.
Chez ISMS.online, notre système cloud facile à utiliser mais puissant vous fournira un ensemble complet d'outils et de ressources pour vous aider à gérer votre propre système de gestion de la sécurité de l'information (ISMS) ISO 27001/27002, que vous soyez nouveau. à la norme ISO 27001/27002 ou déjà certifié.
Notre flux de travail intuitif étape par étape, nos outils, cadres, politiques et contrôles, notre documentation exploitable et nos conseils vous guident tout au long du processus de mise en œuvre de la norme ISO 27002, vous permettant ainsi de définir facilement la portée du SMSI, d'identifier les risques et de mettre en œuvre des contrôles à l'aide de nos algorithmes – soit à partir de zéro, soit à partir de modèles de bonnes pratiques.
Contactez-nous dès aujourd'hui pour réserver une démo.
La seule conformité
solution dont vous avez besoin
Réservez votre démo
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Nouveauté | Intelligence de la menace |
| 5.23 | Nouveauté | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Nouveauté | Préparation aux TIC pour la continuité des activités |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 8.9 | Nouveauté | Gestion de la configuration |
| 8.10 | Nouveauté | Suppression des informations |
| 8.11 | Nouveauté | Masquage des données |
| 8.12 | Nouveauté | Prévention des fuites de données |
| 8.16 | Nouveauté | Activités de surveillance |
| 8.23 | Nouveauté | filtrage web |
| 8.28 | Nouveauté | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
