ISO 27002:2022, Contrôle 5.12 – Classification des informations

Propriété du contrôle 5.12

Bien qu'il devrait y avoir une classification des systèmes d'information à l'échelle de l'organisation avec des niveaux de classification et des critères sur la manière de les classer les actifs informationnels, les propriétaires d’actifs informationnels sont en fin de compte responsables de la mise en œuvre d’un système de classification.

5.12 reconnaît explicitement que les propriétaires des droits concernés actif informationnel devrait être responsable.

Par exemple, si le service comptable a accès aux dossiers contenant les rapports de paie et les relevés bancaires, il doit classer les informations en fonction du système de classification à l'échelle de l'organisation.

Lors de la classification des informations, le propriétaire de l'actif doit prendre en compte tenir compte des besoins de l'entreprise, le niveau d'impact que la compromission des informations aurait sur l'organisation et le niveau d'importance et de sensibilité des informations.

Orientations générales sur le contrôle 5.12

Pour mettre en œuvre un système de classification robuste des informations, les organisations doivent adopter une approche thématique spécifique, comprendre les besoins d'information de chaque unité commerciale et déterminer le niveau de sensibilité et de criticité des informations.

5.12 exige que les organisations prennent en compte les sept critères suivants lors de la mise en œuvre d'un système de classification :

• Établir une politique thématique spécifique et répondre aux besoins spécifiques de l'entreprise

5.12 fait explicitement référence à 5.1, Contrôle d'accès et exige que les organisations adhèrent aux politiques spécifiques à un sujet telles que décrites dans 5.1. En outre, le système et les niveaux de classification doivent tenir compte des besoins spécifiques des entreprises.

• Prendre en compte les besoins métiers de partage et d’utilisation de l’information et le besoin de disponibilité

Si vous attribuez un actif informationnel à une catégorie de classification inutilement supérieure, cela peut entraîner un risque de perturbation de vos fonctions commerciales critiques en restreignant l'accès et l'utilisation des informations.

Par conséquent, vous devez vous efforcer de trouver un équilibre entre les besoins spécifiques de votre entreprise en matière de disponibilité et d’utilisation des informations et les exigences de confidentialité et d’intégrité de ces informations.

• Tenir compte des obligations légales

Certaines lois peuvent vous imposer des obligations plus strictes pour garantir la confidentialité, l'intégrité et la disponibilité des informations. Lors de l’attribution d’actifs informationnels à des catégories, les obligations légales doivent avoir la priorité sur votre propre classification.

• Adoptez une approche basée sur les risques et considérez l’impact potentiel d’un compromis

Chaque type d'information présente un niveau de criticité différent pour les opérations de chaque entreprise et un niveau de sensibilité différent en fonction du contexte.

Lors de la mise en œuvre d’un système de classification des informations, les organisations doivent se demander :

Quel impact aurait la compromission de l’intégrité, de la disponibilité et de la confidentialité de ces informations sur l’organisation ?

Par exemple, les bases de données d’adresses e-mail professionnelles de prospects qualifiés et de dossiers de santé des employés diffèrent considérablement en termes de niveau de sensibilité et d’impact potentiel.

• Réviser et mettre à jour régulièrement la classification

5.12 note que la valeur, le caractère critique et la sensibilité des informations ne sont pas statiques et peuvent changer tout au long du cycle de vie des informations. Par conséquent, vous devez revoir régulièrement chaque classification et effectuer les mises à jour nécessaires.

À titre d'exemple d'un tel changement, le 5.12 fait référence à la divulgation d'informations au public, ce qui réduit considérablement la valeur et la sensibilité des informations.

• Consultez d’autres organisations avec lesquelles vous partagez des informations et résolvez toute différence.

Il n’existe pas une seule façon de classifier les informations et chaque organisation peut avoir des noms, niveaux et critères différents en matière de classification des systèmes d’information.

Ces différences peuvent entraîner des risques lorsque les deux organisations échangent des informations entre elles. Par conséquent, vous devez mettre en place un accord avec votre homologue pour garantir la cohérence de la classification des informations et de l’interprétation des niveaux de classification.

• Cohérence au niveau organisationnel

Chaque département de l'organisation doit avoir une compréhension commune des niveaux et des procédures de classification afin que les classifications soient cohérentes dans l'ensemble de l'organisation.

Conseils sur la façon de mettre en œuvre un système de classification des informations

Bien que 5.12 reconnaisse qu’il n’existe pas de système de classification unique et que les organisations disposent d’une certaine latitude pour décider et décrire les niveaux de classification individuels, il donne l’exemple suivant comme système de classification des informations :

a) La divulgation ne cause aucun préjudice ;

b) La divulgation entraîne une atteinte mineure à la réputation ou un impact opérationnel mineur ;

c) La divulgation a un impact significatif à court terme sur les opérations ou les objectifs commerciaux ;

d) La divulgation a un impact sérieux sur les objectifs commerciaux à long terme ou met en danger la survie de l'organisation.

Changements et différences par rapport à la norme ISO 27002:2013

La classification des informations a été abordée dans la section 8.2.1 de la version précédente.

Bien que les deux versions soient très similaires, il existe deux différences clés :

Dans l’ancienne version, il n’y avait aucune référence explicite à l’exigence de cohérence des niveaux de classification lors du transfert d’informations entre organisations.

Dans la version 2022, vous devez cependant mettre en place un accord avec votre homologue pour garantir la cohérence dans la classification des informations et l'interprétation des niveaux de classification.

Deuxièmement, la nouvelle version exige explicitement que les organisations mettent en place des politiques thématiques spécifiques. Dans l’ancienne version, en revanche, il n’y avait qu’une brève référence au contrôle d’accès.

Comment ISMS.online vous aide

Notre plateforme est intuitif et facile à utiliser. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre organisation. Nous vous encourageons à impliquer le personnel à tous les niveaux de votre entreprise dans le processus de construction de votre ISMS, car cela vous aide à construire un système véritablement durable.

Contactez-nous dès aujourd'hui pour réserver une démo.