Assurer un accès sécurisé : explication du contrôle 27002 de la norme ISO 5.18
Chaque employé de votre organisation devra avoir accès à certains ordinateurs, bases de données, systèmes d'information et applications pour effectuer ses tâches.
Par exemple, alors que le personnel des ressources humaines peut avoir besoin d'accéder aux données sensibles sur la santé des employés, votre service financier peut s'appuyer sur l'accès et l'utilisation de bases de données contenant les détails des salaires des employés.
Cependant, ces droits d'accès doivent être fournis, modifiés et révoqués conformément à la politique de contrôle d'accès de votre organisation et à ses contrôles d'accès afin que vous puissiez empêcher l'accès non autorisé, la modification et la destruction des actifs informationnels.
Par exemple, si vous ne parvenez pas à révoquer les droits d'accès d'un ancien employé, cet employé peut voler des informations sensibles.
Le contrôle 5.18 traite de la manière dont les organisations doivent attribuer, modifier et révoquer les droits d'accès en tenant compte des exigences commerciales.
Objectif du contrôle 5.18
Le contrôle 5.18 permet à une organisation d'établir et de mettre en œuvre des procédures et des contrôles appropriés pour attribuer, modifier et révoquer les droits d'accès aux systèmes d'information conformément à la politique de contrôle d'accès de l'organisation et à ses contrôles d'accès.
Attributs du contrôle 5.18
Le contrôle 5.18 est un contrôle préventif qui oblige les organisations à éliminer le risque d'accès non autorisé aux systèmes d'information en mettant en place des règles, procédures et contrôles robustes.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Gestion des identités et des accès | #Protection |
| #Intégrité | ||||
| #Disponibilité |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 5.18
Un responsable de la sécurité de l'information doit être chargé d'établir, de mettre en œuvre et de réviser les règles, processus et contrôles appropriés pour la fourniture, la modification et la révocation des droits d'accès aux systèmes d'information.
Lors de l'attribution, de la modification et de la révocation des droits d'accès, le responsable de la sécurité de l'information doit tenir compte des besoins de l'entreprise et doit travailler en étroite collaboration avec les propriétaires d'actifs informationnels pour garantir que les règles et les processus sont respectés.
Conseils sur l'octroi et la révocation des droits d'accès
Les organisations doivent intégrer les règles et contrôles suivants dans le processus d’attribution et de révocation des droits d’accès à une personne authentifiée :
- Le propriétaire des actifs informationnels doit fournir son autorisation pour accéder et utiliser les actifs informationnels pertinents. En outre, les organisations devraient également envisager de demander une approbation distincte à la direction pour accorder des droits d'accès.
- Les besoins commerciaux de l'organisation et sa politique en matière de contrôle d'accès doivent être pris en compte.
- Les organisations devraient envisager de séparer les tâches. Par exemple, la tâche d'approbation et la mise en œuvre des droits d'accès peuvent être effectuées par des personnes distinctes.
- Lorsqu'un individu n'a plus besoin d'accéder aux ressources informationnelles, en particulier lorsqu'il ne fait plus partie de l'organisation, ses droits d'accès doivent être immédiatement révoqués.
- Le personnel ou tout autre personnel travaillant temporairement pour l'organisation peut bénéficier de droits d'accès temporaires. Ces droits doivent être révoqués lorsqu'ils ne fonctionnent plus pour l'organisation.
- Le niveau d'accès accordé à un individu doit être conforme à la politique de contrôle d'accès de l'organisation et doit être examiné et vérifié régulièrement. En outre, cela doit également être conforme à d'autres exigences en matière de sécurité de l'information, telles que la séparation des tâches, comme indiqué dans le contrôle 5.3.
- Les organisations doivent s'assurer que les droits d'accès ne sont pas activés tant que la procédure d'autorisation appropriée n'est pas terminée.
- Les droits d'accès fournis à chaque identifiant individuel, tel qu'un identifiant ou un physique, doivent être enregistrés dans un système central de gestion du contrôle d'accès et ce système doit être maintenu.
- Si le rôle ou les fonctions d'une personne changent, son niveau de droits d'accès doit être mis à jour.
- La suppression ou la modification des droits d'accès physiques ou logiques peut être effectuée via les méthodes suivantes : Suppression ou remplacement de clés, de cartes d'identité ou d'informations d'authentification.
- Les modifications apportées aux droits d'accès physiques et logiques d'un utilisateur doivent être enregistrées sur un système et doivent être conservées.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Orientations supplémentaires sur l'examen des droits d'accès
Les droits d'accès physiques et logiques doivent faire l'objet de révisions périodiques en tenant compte :
- Modifications des droits d'accès de chaque utilisateur après sa promotion ou sa rétrogradation au sein de la même organisation, ou après la cessation de son emploi.
- Procédure d'autorisation pour l'octroi de droits d'accès privilégiés.
Conseils sur le changement ou la cessation d'emploi
Avant qu'un employé soit promu ou rétrogradé au sein de la même organisation ou lors de la cessation de son emploi, ses droits d'accès aux systèmes informatiques doivent être évalués et modifiés en tenant compte des facteurs de risque suivants :
- Si le processus de licenciement est initié par l'employé ou par l'organisation et le motif du licenciement.
- Responsabilités actuelles de l'employé au sein de l'organisation.
- Criticité et valeur des actifs informationnels accessibles au salarié.
Conseils supplémentaires
Les organisations devraient envisager d'établir des rôles d'accès utilisateur en fonction de leurs besoins commerciaux. Ces rôles doivent inclure les types et le nombre de droits d'accès à accorder à chaque groupe d'utilisateurs.
La création de tels rôles facilitera la gestion et l'examen des demandes d'accès et des droits.
Les organisations devraient inclure des dispositions contractuelles concernant l’accès non autorisé et les sanctions pour un tel accès dans leurs contrats de travail/de service avec leur personnel. Cela doit être conforme aux contrôles 5.20, 6.2, 6.4 et 6.6.
Les organisations doivent se méfier des employés mécontents qui sont licenciés par la direction parce qu'ils pourraient volontairement endommager les systèmes d'information.
Si les organisations décident d'utiliser les techniques de clonage pour accorder des droits d'accès, elles doivent le faire sur la base de rôles distincts établis par l'organisation.
Il convient de noter que le clonage comporte le risque inhérent d’accorder des droits d’accès excessifs.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022/5.18 remplace 27002:2013/(9.2.2, 9.2.5, 9.2.6).
La version 2022 contient des exigences plus complètes pour l'octroi et la révocation des droits d'accès
Bien que Control 9.2.2 dans la version 2013 répertorie six exigences pour l'attribution et la révocation des droits d'accès, Control 5.18 dans la version 2022 introduit trois nouvelles exigences en plus de ces six exigences :
- Le personnel ou tout autre personnel travaillant temporairement pour l'organisation peut bénéficier de droits d'accès temporaires. Ces droits doivent être révoqués lorsqu'ils n'effectuent plus de travail pour l'organisation.
- La suppression ou la modification des droits d'accès physiques ou logiques peut être effectuée via les méthodes suivantes : Suppression ou remplacement de clés, de cartes d'identité ou d'informations d'authentification.
- Les modifications apportées aux droits d'accès physiques et logiques d'un utilisateur doivent être enregistrées et conservées.
La version 2013 contient des exigences plus détaillées pour les droits d'accès privilégiés
Control 9.5 dans la version 2013 indiquait explicitement que les organisations devaient revoir l'autorisation des droits d'accès privilégiés à des intervalles plus fréquents que les autres droits d'accès. En revanche, le contrôle 5.18 de la version 2022 ne contenait pas cette exigence.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISMS.online est une plate-forme basée sur le cloud qui offre une assistance pour la mise en œuvre efficace et rentable de la norme ISO 2702.
Il offre aux organisations un accès facile à tout moment à des informations à jour sur leur état de conformité via son interface de tableau de bord conviviale qui permet aux responsables de suivre leurs progrès vers la conformité rapidement et facilement.
Contactez-nous dès aujourd'hui pour réserver une démo.
