Gestion des informations d'authentification sécurisée : explication du contrôle 27002 de la norme ISO 5.17
Les informations d'authentification telles que les mots de passe, les clés de cryptage et les puces de cartes constituent la passerelle vers les systèmes d'information qui hébergent des informations sensibles.
Une mauvaise gestion ou une attribution inappropriée des informations d'authentification peut entraîner un accès non autorisé aux systèmes d'information et une perte de confidentialité, de disponibilité et d'intégrité des informations sensibles.
Par exemple, Recherche 2021 de GoodFirm montre que 30 % de toutes les violations de données résultent de mots de passe faibles ou de mauvaises pratiques de gestion des mots de passe.
Par conséquent, les organisations doivent mettre en place un processus robuste de gestion des informations d’authentification pour allouer, gérer et protéger les informations d’authentification.
Objectif du contrôle 5.17
Control 5.17 permet aux organisations d'attribuer et de gérer correctement les informations d'authentification, d'éliminer les risques d'échec dans le processus d'authentification et de prévenir les risques de sécurité pouvant survenir en raison de la compromission des informations d'authentification.
Attributs du contrôle 5.17
Le contrôle 5.17 est un type de contrôle préventif qui oblige les organisations à établir et à mettre en œuvre un processus de gestion des informations d'authentification approprié.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Gestion des identités et des accès | #Protection |
| #Intégrité | ||||
| #Disponibilité |
Propriété du contrôle 5.17
Étant donné que le contrôle 5.17 implique l'établissement et la mise en œuvre de règles, procédures et mesures à l'échelle de l'organisation pour l'attribution et la gestion des informations d'authentification, les responsables de la sécurité de l'information devraient être responsables du respect du contrôle 5.17.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Conseils sur l'attribution des informations d'authentification
Les organisations doivent se conformer aux six exigences suivantes en matière d’attribution et de gestion des informations d’authentification :
- Lorsque des mots de passe personnels ou des numéros d'identification personnels sont générés automatiquement pour l'inscription de nouveaux utilisateurs, ils ne doivent pas être devinables. De plus, les mots de passe doivent être uniques pour chaque utilisateur et il doit être obligatoire de changer les mots de passe après la première utilisation.
- Les organisations doivent établir des procédures robustes pour authentifier l’identité d’un utilisateur avant de lui accorder de nouvelles informations d’authentification ou de remplacement ou avant qu’il ne reçoive des informations temporaires.
- Les organisations doivent garantir la transmission sécurisée des informations d'authentification aux individus via des canaux sécurisés et ne doivent pas envoyer ces informations via des messages électroniques non sécurisés (par exemple en texte clair).
- Les utilisateurs doivent confirmer la réception des informations d'authentification.
- Une fois les nouveaux systèmes informatiques et logiciels installés, les organisations doivent immédiatement modifier les informations d’authentification par défaut.
- Les organisations doivent établir et conserver des enregistrements de tous les événements importants liés à la gestion et à l'attribution des informations d'authentification. En outre, ces enregistrements doivent rester confidentiels et les méthodes de conservation des enregistrements doivent être autorisées, par exemple par l'utilisation d'un outil de mot de passe approuvé.
Conseils sur les responsabilités des utilisateurs
Les utilisateurs qui peuvent accéder aux informations d'authentification et les utiliser doivent être invités à respecter les conditions suivantes :
- Les utilisateurs doivent maintenir la confidentialité des informations d'authentification secrètes telles que les mots de passe et ne doivent pas partager ces informations secrètes avec quiconque. Lorsque plusieurs utilisateurs sont impliqués dans l'utilisation des informations d'authentification ou que les informations sont liées à des entités non personnelles, les informations d'authentification ne doivent pas être divulguées à des personnes non autorisées.
- Les utilisateurs doivent changer leurs mots de passe immédiatement si la confidentialité de leurs mots de passe est compromise.
- Les utilisateurs doivent sélectionner des mots de passe difficiles à deviner en suivant les meilleures pratiques du secteur. Par exemple:
- Les mots de passe ne doivent pas être sélectionnés sur la base d’informations personnelles faciles à obtenir, telles que les noms ou les dates de naissance.
- Les mots de passe ne doivent pas être créés sur la base de éléments faciles à deviner.
- Les mots de passe ne doivent pas inclure de mots du dictionnaire ou des combinaisons de ces mots.
- Des caractères alphanumériques et spéciaux doivent être utilisés dans le mot de passe.
- Il devrait y avoir une longueur minimale pour les mots de passe.
- Les utilisateurs ne doivent pas utiliser le même mot de passe pour différents services.
- Les organisations devraient inclure les exigences relatives à la création et à l'utilisation de mots de passe dans leurs contrats de travail avec leurs employés.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Conseils sur les systèmes de gestion des mots de passe
Les organisations doivent se conformer aux éléments suivants lors de la mise en place d’un système de gestion des mots de passe :
- Les utilisateurs devraient être autorisés à créer et modifier leurs mots de passe et une procédure de confirmation devrait être en place pour garantir que les erreurs de saisie sont identifiées et résolues.
- Les organisations doivent mettre en œuvre un processus de sélection de mots de passe rigoureux, en tenant compte des meilleures pratiques du secteur en matière de sélection de mots de passe.
- Les utilisateurs devraient être obligés de modifier leurs mots de passe par défaut après leur premier accès à un système.
- Les changements de mot de passe doivent être mis en œuvre lorsque cela est nécessaire. Par exemple, un changement de mot de passe sera nécessaire après un incident de sécurité ou suite à la cessation d'emploi d'un utilisateur si cet utilisateur a accès aux mots de passe.
- Les mots de passe précédents ne doivent pas être réutilisés.
- L'utilisation de mots de passe très courants ou de mots de passe ou de noms d'utilisateur compromis utilisés pour accéder à des systèmes piratés devrait être interdite.
- Lorsque les mots de passe sont saisis, ils doivent être visibles à l’écran en texte brut.
- Les mots de passe doivent être stockés et transférés via des canaux protégés et dans un format sécurisé.
En outre, les organisations doivent appliquer des techniques de hachage et de chiffrement conformément aux méthodes de cryptographie autorisées pour les mots de passe, comme indiqué dans le contrôle 8.24.
Orientations supplémentaires sur le contrôle 5.17
Outre les mots de passe, il existe d'autres types d'informations d'authentification telles que les clés cryptographiques, les cartes à puce et les données biométriques telles que les empreintes digitales.
Il est conseillé aux organisations de se référer à la série ISO/IEC 24760 pour des conseils plus détaillés sur les informations d'authentification.
Étant donné que le changement fréquent des mots de passe peut être fastidieux et ennuyeux pour les utilisateurs, les organisations peuvent envisager de mettre en œuvre des méthodes alternatives telles que l'authentification unique ou des coffres-forts de mots de passe. Il convient toutefois de noter que ces méthodes alternatives peuvent exposer les informations d’authentification à un risque plus élevé de divulgation non autorisée.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022/5.17 remplace 27002:2013/(9.2.4, 9.3.1 9.4.3)
La version 2022 contient une nouvelle exigence en matière d'attribution et de gestion des informations d'authentification
Bien que les versions 2013 et 2022 soient très similaires en termes d'exigences d'attribution et de gestion des informations d'authentification, le contrôle 5.17 de la version 2022 introduit l'exigence suivante, qui n'était pas incluse dans la version 2013 :
- Les organisations doivent établir et conserver des enregistrements de tous les événements importants liés à la gestion et à l'attribution des informations d'authentification. En outre, ces enregistrements doivent rester confidentiels et les méthodes de conservation des enregistrements doivent être autorisées, par exemple par l'utilisation d'un outil de mot de passe approuvé.
Le contrôle 5.17 de la version 2022 contient une exigence supplémentaire concernant l'utilisation des informations d'authentification
Le contrôle 5.17 introduit l'exigence suivante concernant les responsabilités des utilisateurs qui n'était pas mentionnée dans le contrôle 9.3.1 de la version 2013.
- Les organisations devraient inclure les exigences relatives à la création et à l'utilisation de mots de passe dans leurs contrats de travail avec leurs employés et leur personnel.
La version 2013 contenait des exigences supplémentaires concernant les responsabilités des utilisateurs qui n'étaient pas incluses dans la version 2022.
Contrairement à la version 2022, le contrôle 9.3.1 contenait l'exigence suivante pour l'utilisation des informations d'authentification :
- Les utilisateurs ne doivent pas utiliser les mêmes informations d'authentification, telles qu'un mot de passe, à des fins professionnelles et non professionnelles.
La version 2013 contenait une exigence supplémentaire pour les systèmes de gestion des mots de passe qui n'était pas incluse dans la version 2022.
Le contrôle 9.4.3 de la version 2013 comprenait l'exigence suivante pour les systèmes de gestion des mots de passe.
- Les fichiers contenant des mots de passe doivent être hébergés dans un système distinct des données du système d'application.
Le contrôle 5.17 de la version 2022, en revanche, ne contenait pas cette exigence.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISMS.Online aide les organisations et les entreprises à répondre aux exigences de la norme ISO 27002 en leur fournissant une plateforme qui facilite la gestion de leurs politiques et procédures de confidentialité ou de non-divulgation, leur mise à jour si nécessaire, leur test et le contrôle de leur efficacité.
Nous fournissons une plate-forme basée sur le cloud pour la gestion des systèmes de gestion de la confidentialité et de la sécurité de l'information, y compris les clauses de non-divulgation, la gestion des risques, les politiques, les plans et les procédures, dans un emplacement central. La plateforme est facile à utiliser et dispose d’une interface intuitive qui facilite l’apprentissage de son utilisation.
Contactez-nous aujourd'hui pour planifier une démo.
