Chaque employé de votre organisation devra avoir accès à certains ordinateurs, bases de données, systèmes d'information et applications pour effectuer ses tâches.
Par exemple, alors que le personnel des ressources humaines peut avoir besoin d'accéder aux données sensibles sur la santé des employés, votre service financier peut s'appuyer sur l'accès et l'utilisation de bases de données contenant les détails des salaires des employés.
Cependant, ces droits d'accès doivent être fournis, modifiés et révoqués conformément à la politique de contrôle d'accès de votre organisation et à ses contrôles d'accès afin que vous puissiez empêcher l'accès non autorisé, la modification et la destruction des actifs informationnels.
Par exemple, si vous ne parvenez pas à révoquer les droits d'accès d'un ancien employé, cet employé peut voler des informations sensibles.
Le contrôle 5.18 traite de la manière dont les organisations doivent attribuer, modifier et révoquer les droits d'accès en tenant compte des exigences commerciales.
Le contrôle 5.18 permet à une organisation d'établir et de mettre en œuvre des procédures et des contrôles appropriés pour attribuer, modifier et révoquer les droits d'accès aux systèmes d'information conformément à la politique de contrôle d'accès de l'organisation et à ses contrôles d'accès.
Le contrôle 5.18 est un contrôle préventif qui oblige les organisations à éliminer le risque d'accès non autorisé aux systèmes d'information en mettant en place des règles, procédures et contrôles robustes.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité #Intégrité #Disponibilité | #Protéger | #Gestion des identités et des accès | #Protection |
Un responsable de la sécurité de l'information doit être chargé d'établir, de mettre en œuvre et de réviser les règles, processus et contrôles appropriés pour la fourniture, la modification et la révocation des droits d'accès aux systèmes d'information.
Lors de l'attribution, de la modification et de la révocation des droits d'accès, le responsable de la sécurité de l'information doit tenir compte des besoins de l'entreprise et doit travailler en étroite collaboration avec les propriétaires d'actifs informationnels pour garantir que les règles et les processus sont respectés.
Les organisations doivent intégrer les règles et contrôles suivants dans le processus d’attribution et de révocation des droits d’accès à une personne authentifiée :
Les droits d'accès physiques et logiques doivent faire l'objet de révisions périodiques en tenant compte :
La seule conformité
solution dont vous avez besoin
Réservez votre démo
Avant qu'un employé soit promu ou rétrogradé au sein de la même organisation ou lors de la cessation de son emploi, ses droits d'accès aux systèmes informatiques doivent être évalués et modifiés en tenant compte des facteurs de risque suivants :
Les organisations devraient envisager d'établir des rôles d'accès utilisateur en fonction de leurs besoins commerciaux. Ces rôles doivent inclure les types et le nombre de droits d'accès à accorder à chaque groupe d'utilisateurs.
La création de tels rôles facilitera la gestion et l'examen des demandes d'accès et des droits.
Les organisations devraient inclure des dispositions contractuelles concernant l’accès non autorisé et les sanctions pour un tel accès dans leurs contrats de travail/de service avec leur personnel. Cela doit être conforme aux contrôles 5.20, 6.2, 6.4 et 6.6.
Les organisations doivent se méfier des employés mécontents qui sont licenciés par la direction parce qu'ils pourraient volontairement endommager les systèmes d'information.
Si les organisations décident d'utiliser les techniques de clonage pour accorder des droits d'accès, elles doivent le faire sur la base de rôles distincts établis par l'organisation.
Il convient de noter que le clonage comporte le risque inhérent d’accorder des droits d’accès excessifs.
27002:2022/5.18 remplace 27002:2013/(9.2.2, 9.2.5, 9.2.6).
Bien que Control 9.2.2 dans la version 2013 répertorie six exigences pour l'attribution et la révocation des droits d'accès, Control 5.18 dans la version 2022 introduit trois nouvelles exigences en plus de ces six exigences :
Control 9.5 dans la version 2013 indiquait explicitement que les organisations devaient revoir l'autorisation des droits d'accès privilégiés à des intervalles plus fréquents que les autres droits d'accès. En revanche, le contrôle 5.18 de la version 2022 ne contenait pas cette exigence.
ISMS.online est une plate-forme basée sur le cloud qui offre une assistance pour la mise en œuvre efficace et rentable de la norme ISO 2702.
Il offre aux organisations un accès facile à tout moment à des informations à jour sur leur état de conformité via son interface de tableau de bord conviviale qui permet aux responsables de suivre leurs progrès vers la conformité rapidement et facilement.
Contactez-nous dès aujourd'hui pour réserver une démo.
Nous vous donnerons une longueur d'avance de 81 %
à partir du moment où vous vous connectez
Réservez votre démo
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Nouveauté | Intelligence de la menace |
| 5.23 | Nouveauté | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Nouveauté | Préparation aux TIC pour la continuité des activités |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 8.9 | Nouveauté | Gestion de la configuration |
| 8.10 | Nouveauté | Suppression des informations |
| 8.11 | Nouveauté | Masquage des données |
| 8.12 | Nouveauté | Prévention des fuites de données |
| 8.16 | Nouveauté | Activités de surveillance |
| 8.23 | Nouveauté | filtrage web |
| 8.28 | Nouveauté | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
