Objectif du contrôle 5.12
5.12 est un contrôle préventif qui identifie les risques en permettant aux organisations de déterminer le niveau de protection de chaque actif informationnel en fonction du niveau d'importance et de sensibilité des informations.
5.12 met explicitement en garde les organisations contre la sur- ou la sous-classification des informations dans les Orientations supplémentaires. Il stipule que les organisations doivent prendre en compte les exigences de confidentialité, de disponibilité et d’intégrité lorsqu’elles attribuent des actifs aux catégories pertinentes.
Cela garantit que le système de classification établit un équilibre approprié entre les besoins de l'entreprise en matière de informations et les exigences de sécurité pour chaque catégorie d'informations.
Attributs du contrôle 5.12
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Protection des informations | #Protection |
| #Intégrité | #La défense | |||
| #Disponibilité |
Propriété du contrôle 5.12
Bien qu'il devrait y avoir une classification des systèmes d'information à l'échelle de l'organisation avec des niveaux de classification et des critères sur la manière de les classer les actifs informationnels, les propriétaires d’actifs informationnels sont en fin de compte responsables de la mise en œuvre d’un système de classification.
5.12 reconnaît explicitement que les propriétaires des droits concernés actif informationnel devrait être responsable.
Par exemple, si le service comptable a accès aux dossiers contenant les rapports de paie et les relevés bancaires, il doit classer les informations en fonction du système de classification à l'échelle de l'organisation.
Lors de la classification des informations, le propriétaire de l'actif doit prendre en compte tenir compte des besoins de l'entreprise, le niveau d'impact que la compromission des informations aurait sur l'organisation et le niveau d'importance et de sensibilité des informations.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur le contrôle 5.12
Pour mettre en œuvre un système de classification robuste des informations, les organisations doivent adopter une approche thématique spécifique, comprendre les besoins d'information de chaque unité commerciale et déterminer le niveau de sensibilité et de criticité des informations.
5.12 exige que les organisations prennent en compte les sept critères suivants lors de la mise en œuvre d'un système de classification :
- Établir une politique thématique spécifique et répondre aux besoins spécifiques de l'entreprise
5.12 fait explicitement référence à 5.1, Contrôle d'accès et exige que les organisations adhèrent aux politiques spécifiques à un sujet telles que décrites dans 5.1. En outre, le système et les niveaux de classification doivent tenir compte des besoins spécifiques des entreprises.
- Prendre en compte les besoins métiers de partage et d’utilisation de l’information et le besoin de disponibilité
Si vous attribuez un actif informationnel à une catégorie de classification inutilement supérieure, cela peut entraîner un risque de perturbation de vos fonctions commerciales critiques en restreignant l'accès et l'utilisation des informations.
Par conséquent, vous devez vous efforcer de trouver un équilibre entre les besoins spécifiques de votre entreprise en matière de disponibilité et d’utilisation des informations et les exigences de confidentialité et d’intégrité de ces informations.
- Tenir compte des obligations légales
Certaines lois peuvent vous imposer des obligations plus strictes pour garantir la confidentialité, l'intégrité et la disponibilité des informations. Lors de l’attribution d’actifs informationnels à des catégories, les obligations légales doivent avoir la priorité sur votre propre classification.
- Adoptez une approche basée sur les risques et considérez l’impact potentiel d’un compromis
Chaque type d'information présente un niveau de criticité différent pour les opérations de chaque entreprise et un niveau de sensibilité différent en fonction du contexte.
Lors de la mise en œuvre d’un système de classification des informations, les organisations doivent se demander :
Quel impact aurait la compromission de l’intégrité, de la disponibilité et de la confidentialité de ces informations sur l’organisation ?
Par exemple, les bases de données d’adresses e-mail professionnelles de prospects qualifiés et de dossiers de santé des employés diffèrent considérablement en termes de niveau de sensibilité et d’impact potentiel.
- Réviser et mettre à jour régulièrement la classification
5.12 note que la valeur, le caractère critique et la sensibilité des informations ne sont pas statiques et peuvent changer tout au long du cycle de vie des informations. Par conséquent, vous devez revoir régulièrement chaque classification et effectuer les mises à jour nécessaires.
À titre d'exemple d'un tel changement, le 5.12 fait référence à la divulgation d'informations au public, ce qui réduit considérablement la valeur et la sensibilité des informations.
- Consultez d’autres organisations avec lesquelles vous partagez des informations et résolvez toute différence.
Il n’existe pas une seule façon de classifier les informations et chaque organisation peut avoir des noms, niveaux et critères différents en matière de classification des systèmes d’information.
Ces différences peuvent entraîner des risques lorsque les deux organisations échangent des informations entre elles. Par conséquent, vous devez mettre en place un accord avec votre homologue pour garantir la cohérence de la classification des informations et de l’interprétation des niveaux de classification.
- Cohérence au niveau organisationnel
Chaque département de l'organisation doit avoir une compréhension commune des niveaux et des procédures de classification afin que les classifications soient cohérentes dans l'ensemble de l'organisation.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Conseils sur la façon de mettre en œuvre un système de classification des informations
Bien que 5.12 reconnaisse qu’il n’existe pas de système de classification unique et que les organisations disposent d’une certaine latitude pour décider et décrire les niveaux de classification individuels, il donne l’exemple suivant comme système de classification des informations :
a) La divulgation ne cause aucun préjudice ;
b) La divulgation entraîne une atteinte mineure à la réputation ou un impact opérationnel mineur ;
c) La divulgation a un impact significatif à court terme sur les opérations ou les objectifs commerciaux ;
d) La divulgation a un impact sérieux sur les objectifs commerciaux à long terme ou met en danger la survie de l'organisation.
Changements et différences par rapport à la norme ISO 27002:2013
La classification des informations a été abordée dans la section 8.2.1 de la version précédente.
Bien que les deux versions soient très similaires, il existe deux différences clés :
Dans l’ancienne version, il n’y avait aucune référence explicite à l’exigence de cohérence des niveaux de classification lors du transfert d’informations entre organisations.
Dans la version 2022, vous devez cependant mettre en place un accord avec votre homologue pour garantir la cohérence dans la classification des informations et l'interprétation des niveaux de classification.
Deuxièmement, la nouvelle version exige explicitement que les organisations mettent en place des politiques thématiques spécifiques. Dans l’ancienne version, en revanche, il n’y avait qu’une brève référence au contrôle d’accès.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
Notre plateforme est intuitif et facile à utiliser. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre organisation. Nous vous encourageons à impliquer le personnel à tous les niveaux de votre entreprise dans le processus de construction de votre ISMS, car cela vous aide à construire un système véritablement durable.
Contactez-nous dès aujourd'hui pour réserver une démo.
