ISO 27002:2022, Contrôle 5.14 – Transfert d'informations

Orientations générales sur le contrôle 5.14

La conformité à 5.14 implique l'élaboration de règles, de procédures et d'accords, y compris une politique de transfert d'informations spécifique à un sujet, qui fournit aux données en transit un niveau de protection approprié à la classification attribuée à ces informations.

En d’autres termes, le niveau de protection doit correspondre au niveau de criticité et de sensibilité des informations transmises.

De plus, le contrôle 5.14 précise que les organisations doivent signer des accords de transfert avec des tiers destinataires pour garantir une transmission sécurisée des données.

Le contrôle 5.14 regroupe les types de transfert en trois catégories :

• Transfert électronique
• Transfert de supports de stockage physiques
• Transfert verbal

Avant de passer à la description des exigences spécifiques à chaque type de transfert, le contrôle 5.14 répertorie les éléments qui doivent être inclus dans toutes les règles, procédures et accords pour les trois types de transferts en général :

• Les organisations doivent définir des contrôles approprié au niveau de classification des informations pour protéger les informations en transit contre tout accès non autorisé, modification, interception, copie, destruction et attaques par déni de service.
• Une organisation doit garder le contrôle de la chaîne de traçabilité pendant son transit et doit définir et mettre en œuvre des contrôles pour assurer la traçabilité des informations.
• Les parties concernées impliquées dans le transfert d'informations doivent être définies et leurs coordonnées doivent être fournies. Cela peut inclure les propriétaires d’informations et les agents de sécurité.
• Allocation de responsabilités en cas de violation de données se produit.
• Utiliser un système d'étiquetage.
  

• Assurer la disponibilité du service de transfert.
• Créer des lignes directrices spécifiques à un sujet sur les méthodes de transfert d'informations.
• Lignes directrices pour le stockage et la suppression de tous les dossiers commerciaux, y compris les messages.
  

• Analyse de l’impact que les lois, réglementations ou autres obligations applicables peuvent avoir sur le transfert.

Conseils supplémentaires sur le transfert électronique

Après avoir répertorié les exigences minimales de contenu pour les règles, procédures et accords communs aux trois types de transfert, Control 5.14 répertorie les exigences de contenu spécifiques pour chaque type de transfert.

Les règles, accords et procédures doivent traiter des problèmes suivants lorsque les informations sont transférées par voie électronique :

• Détection et prévention des attaques de logiciels malveillants.
• Protéger les informations sensibles contenues dans les pièces jointes transférées.
• S'assurer que toutes les communications sont envoyées aux bons destinataires et que le risque d'envoyer des communications à de mauvaises adresses e-mail, adresses ou numéros de téléphone sont éliminés.
• Obtenir une autorisation préalable avant de commencer à utiliser tout service de communication publique.
  

• Mettre en œuvre des méthodes d'authentification plus strictes lorsque les données sont transmises via les réseaux publics.
• Imposer des restrictions sur l'utilisation des services de communication électronique, comme l'interdiction du transfert automatique.
• Conseillez au personnel de ne pas utiliser les services de messages courts ou de messagerie instantanée pour partager des données sensibles, car ce contenu peut être vu par des personnes non autorisées dans les espaces publics.
• Conseiller le personnel et les autres parties concernées sur les risques de sécurité présentés par les télécopieurs, comme le risque d'accès non autorisé ou de réacheminement des messages vers des numéros spécifiques.

Conseils supplémentaires sur le transfert de supports de stockage physiques

Lorsque les informations sont partagées via des moyens physiques tels que des documents, les règles, procédures et accords doivent couvrir les éléments suivants :

• Attribution des responsabilités pour la notification de la transmission, de l'expédition et de la réception.
• Assurer l’adressage et le transport corrects du message.
• L'emballage élimine le risque de dommages au contenu pouvant survenir lors du transport du contenu. Par exemple, l’emballage doit être suffisamment bon pour ne pas être affecté par la chaleur ou l’humidité.
• Une liste de coursiers fiables agréés et autorisés par la direction.
• Description des normes d'identification des courriers.
• Utilisation de contrôles inviolables tels que des sacs si le niveau de sensibilité et de criticité des informations l'exige.
• Procédures pour vérifier les identités des coursiers.
• Liste approuvée des tiers fournissant des services de transport ou de messagerie selon le niveau de classification.
• Tenir un journal de l'heure de livraison, de la liste des destinataires autorisés, des protections appliquées et de la réception à destination.

Conseils supplémentaires sur le transfert verbal

Le contrôle 5.14 stipule que lorsque le personnel échange des informations au sein de l'organisation ou lorsqu'il transmet des données à des parties externes, il doit être informé des risques suivants :

• Ils doivent éviter d’avoir des conversations confidentielles sur des chaînes publiques non sécurisées ou dans des espaces publics.
• Ils ne doivent pas laisser de messages vocaux contenant des informations confidentielles, compte tenu du risque de relecture par des personnes non autorisées et du risque de réacheminement du message vers des tiers.
• Chaque individu, qu'il s'agisse d'employés ou d'autres tiers concernés, doit être examiné avant d'être autorisé à écouter les conversations.
• Les pièces dans lesquelles se déroulent des conversations confidentielles doivent être équipées de contrôles appropriés tels que l'insonorisation.
• Ils doivent donner une clause de non-responsabilité avant d'avoir une conversation sensible.

Changements et différences par rapport à la norme ISO 27002:2013

27002:2022/5.14 remplace 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Bien que les deux contrôles soient similaires dans une certaine mesure, deux différences clés rendent les exigences de la version 2022 plus exigeantes.

Exigences spécifiques pour les transferts électriques, physiques et verbaux

Dans la version 2013, section 13.2.3 répondu aux exigences spécifiques pour le transfert d'informations par messagerie électronique.

Cependant, il n’abordait pas séparément le transfert d’informations par voie verbale ou physique.

En revanche, la version 2022 identifie clairement trois types de transfert d’informations et définit ensuite les exigences de contenu pour chacun d’eux séparément.

La version 2022 définit des exigences plus strictes en matière de transfert électronique

Alors que la section 13.2.3 contenait des exigences spécifiques concernant le contenu des accords relatifs à la messagerie électronique, la version 2022 impose des obligations plus strictes aux organisations.

La version 2022 exige que les organisations décrivent et mettent en œuvre de nouveaux contrôles dans les règles, procédures et accords pour les transferts électroniques.

Par exemple, les organisations devraient conseiller à leurs employés de ne pas utiliser les services SMS lorsqu'ils incluent des informations sensibles.

Exigences plus détaillées pour les transferts physiques

La version 2022 impose des exigences plus strictes en matière de transfert de supports de stockage physiques. Par exemple, ses exigences sont plus complètes en ce qui concerne l'authentification des courriers et les types de dommages qui devraient être évités.

Changements structurels

Dans la version de 2013, il y avait une référence explicite à des exigences spécifiques pour les accords de transfert d'informations. Cependant, les « Règles » et les « Procédures » n'ont pas été spécifiquement abordées.

En revanche, la version 2022 précise les exigences spécifiques à chacun de ces trois mécanismes.

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.

Contactez-nous dès aujourd'hui pour réserver une démo.