ISO 27002:2022, Contrôle 5.17 – Informations d'authentification

Propriété du contrôle 5.17

Étant donné que le contrôle 5.17 implique l'établissement et la mise en œuvre de règles, procédures et mesures à l'échelle de l'organisation pour l'attribution et la gestion des informations d'authentification, les responsables de la sécurité de l'information devraient être responsables du respect du contrôle 5.17.

Conseils sur l'attribution des informations d'authentification

Les organisations doivent se conformer aux six exigences suivantes en matière d’attribution et de gestion des informations d’authentification :

• Lorsque des mots de passe personnels ou des numéros d'identification personnels sont générés automatiquement pour l'inscription de nouveaux utilisateurs, ils ne doivent pas être devinables. De plus, les mots de passe doivent être uniques pour chaque utilisateur et il doit être obligatoire de changer les mots de passe après la première utilisation.
• Les organisations doivent établir des procédures robustes pour authentifier l’identité d’un utilisateur avant de lui accorder de nouvelles informations d’authentification ou de remplacement ou avant qu’il ne reçoive des informations temporaires.
• Les organisations doivent garantir la transmission sécurisée des informations d'authentification aux individus via des canaux sécurisés et ne doivent pas envoyer ces informations via des messages électroniques non sécurisés (par exemple en texte clair).
• Les utilisateurs doivent confirmer la réception des informations d'authentification.
• Une fois les nouveaux systèmes informatiques et logiciels installés, les organisations doivent immédiatement modifier les informations d’authentification par défaut.
• Les organisations doivent établir et conserver des enregistrements de tous les événements importants liés à la gestion et à l'attribution des informations d'authentification. En outre, ces enregistrements doivent rester confidentiels et les méthodes de conservation des enregistrements doivent être autorisées, par exemple par l'utilisation d'un outil de mot de passe approuvé.

Conseils sur les responsabilités des utilisateurs

Les utilisateurs qui peuvent accéder aux informations d'authentification et les utiliser doivent être invités à respecter les conditions suivantes :

1. Les utilisateurs doivent maintenir la confidentialité des informations d'authentification secrètes telles que les mots de passe et ne doivent pas partager ces informations secrètes avec quiconque. Lorsque plusieurs utilisateurs sont impliqués dans l'utilisation des informations d'authentification ou que les informations sont liées à des entités non personnelles, les informations d'authentification ne doivent pas être divulguées à des personnes non autorisées.
2. Les utilisateurs doivent changer leurs mots de passe immédiatement si la confidentialité de leurs mots de passe est compromise.
3. Les utilisateurs doivent sélectionner des mots de passe difficiles à deviner en suivant les meilleures pratiques du secteur. Par exemple:
• Les mots de passe ne doivent pas être sélectionnés sur la base d’informations personnelles faciles à obtenir, telles que les noms ou les dates de naissance.
• Les mots de passe ne doivent pas être créés sur la base de éléments faciles à deviner.
• Les mots de passe ne doivent pas inclure de mots du dictionnaire ou des combinaisons de ces mots.
• Des caractères alphanumériques et spéciaux doivent être utilisés dans le mot de passe.
• Il devrait y avoir une longueur minimale pour les mots de passe.
4. Les utilisateurs ne doivent pas utiliser le même mot de passe pour différents services.
5. Les organisations devraient inclure les exigences relatives à la création et à l'utilisation de mots de passe dans leurs contrats de travail avec leurs employés.

Conseils sur les systèmes de gestion des mots de passe

Les organisations doivent se conformer aux éléments suivants lors de la mise en place d’un système de gestion des mots de passe :

• Les utilisateurs devraient être autorisés à créer et modifier leurs mots de passe et une procédure de confirmation devrait être en place pour garantir que les erreurs de saisie sont identifiées et résolues.
• Les organisations doivent mettre en œuvre un processus de sélection de mots de passe rigoureux, en tenant compte des meilleures pratiques du secteur en matière de sélection de mots de passe.
• Les utilisateurs devraient être obligés de modifier leurs mots de passe par défaut après leur premier accès à un système.
• Les changements de mot de passe doivent être mis en œuvre lorsque cela est nécessaire. Par exemple, un changement de mot de passe sera nécessaire après un incident de sécurité ou suite à la cessation d'emploi d'un utilisateur si cet utilisateur a accès aux mots de passe.
• Les mots de passe précédents ne doivent pas être réutilisés.
• L'utilisation de mots de passe très courants ou de mots de passe ou de noms d'utilisateur compromis utilisés pour accéder à des systèmes piratés devrait être interdite.
• Lorsque les mots de passe sont saisis, ils doivent être visibles à l’écran en texte brut.
• Les mots de passe doivent être stockés et transférés via des canaux protégés et dans un format sécurisé.

En outre, les organisations doivent appliquer des techniques de hachage et de chiffrement conformément aux méthodes de cryptographie autorisées pour les mots de passe, comme indiqué dans le contrôle 8.24.

Orientations supplémentaires sur le contrôle 5.17

Outre les mots de passe, il existe d'autres types d'informations d'authentification telles que les clés cryptographiques, les cartes à puce et les données biométriques telles que les empreintes digitales.

Il est conseillé aux organisations de se référer à la série ISO/IEC 24760 pour des conseils plus détaillés sur les informations d'authentification.

Étant donné que le changement fréquent des mots de passe peut être fastidieux et ennuyeux pour les utilisateurs, les organisations peuvent envisager de mettre en œuvre des méthodes alternatives telles que l'authentification unique ou des coffres-forts de mots de passe. Il convient toutefois de noter que ces méthodes alternatives peuvent exposer les informations d’authentification à un risque plus élevé de divulgation non autorisée.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/5.17 remplace 27002:2013/(9.2.4, 9.3.1 9.4.3)

La version 2022 contient une nouvelle exigence en matière d'attribution et de gestion des informations d'authentification

Bien que les versions 2013 et 2022 soient très similaires en termes d'exigences d'attribution et de gestion des informations d'authentification, le contrôle 5.17 de la version 2022 introduit l'exigence suivante, qui n'était pas incluse dans la version 2013 :

• Les organisations doivent établir et conserver des enregistrements de tous les événements importants liés à la gestion et à l'attribution des informations d'authentification. En outre, ces enregistrements doivent rester confidentiels et les méthodes de conservation des enregistrements doivent être autorisées, par exemple par l'utilisation d'un outil de mot de passe approuvé.

Le contrôle 5.17 de la version 2022 contient une exigence supplémentaire concernant l'utilisation des informations d'authentification

Le contrôle 5.17 introduit l'exigence suivante concernant les responsabilités des utilisateurs qui n'était pas mentionnée dans le contrôle 9.3.1 de la version 2013.

• Les organisations devraient inclure les exigences relatives à la création et à l'utilisation de mots de passe dans leurs contrats de travail avec leurs employés et leur personnel.

La version 2013 contenait des exigences supplémentaires concernant les responsabilités des utilisateurs qui n'étaient pas incluses dans la version 2022.

Contrairement à la version 2022, le contrôle 9.3.1 contenait l'exigence suivante pour l'utilisation des informations d'authentification :

• Les utilisateurs ne doivent pas utiliser les mêmes informations d'authentification, telles qu'un mot de passe, à des fins professionnelles et non professionnelles.

La version 2013 contenait une exigence supplémentaire pour les systèmes de gestion des mots de passe qui n'était pas incluse dans la version 2022.

Le contrôle 9.4.3 de la version 2013 comprenait l'exigence suivante pour les systèmes de gestion des mots de passe.

• Les fichiers contenant des mots de passe doivent être hébergés dans un système distinct des données du système d'application.

Le contrôle 5.17 de la version 2022, en revanche, ne contenait pas cette exigence.

Comment ISMS.online vous aide

ISMS.Online aide les organisations et les entreprises à répondre aux exigences de la norme ISO 27002 en leur fournissant une plateforme qui facilite la gestion de leurs politiques et procédures de confidentialité ou de non-divulgation, leur mise à jour si nécessaire, leur test et le contrôle de leur efficacité.

Nous fournissons une plate-forme basée sur le cloud pour la gestion des systèmes de gestion de la confidentialité et de la sécurité de l'information, y compris les clauses de non-divulgation, la gestion des risques, les politiques, les plans et les procédures, dans un emplacement central. La plateforme est facile à utiliser et dispose d’une interface intuitive qui facilite l’apprentissage de son utilisation.

Contactez-nous aujourd'hui pour planifier une démo.