Objectif du contrôle 5.21
Le contrôle 5.21 régit la façon dont les organisations gérer la sécurité des informations risques tout au long de leur chaîne d’approvisionnement TIC, en mettant en œuvre des processus et des procédures robustes avant la fourniture de tout produit ou service.
5.21 est un contrôle préventif qui maintient le risque en établissant un « niveau de sécurité convenu » entre les deux parties tout au long du processus TIC chaîne d'approvisionnement.
Attributs Table de contrôle 5.21
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Sécurité des relations avec les fournisseurs | #Gouvernance et écosystème |
| #Intégrité | #Protection | |||
| #Disponibilité |
Propriété du contrôle 5.21
Le contrôle 5.21 est explicitement axé sur la fourniture de services TIC, via un fournisseur ou un groupe de fournisseurs.
En tant que tel, la propriété devrait appartenir à la personne responsable de l'acquisition, de la gestion et du renouvellement des TIC. relations fournisseurs dans toutes les fonctions de l'entreprise, comme un Chief Technical Officer or Head of IT.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur le contrôle 5.21
L'ISO stipule 13 points d'orientation liés aux TIC qui doivent être pris en compte aux côtés de tout autre contrôle qui dicte la relation d'une organisation avec son(ses) fournisseur(s).
Compte tenu de l’expansion des services multiplateformes sur site et cloud au cours de la dernière décennie, Control 5.21 s’occupe de la fourniture à la fois de matériel et software-composants et services associés (à la fois sur site et basés sur le cloud), et fait rarement une distinction entre les deux.
Outre la relation entre le fournisseur et l'organisation, plusieurs contrôles portent également sur les obligations d'un fournisseur lorsqu'il sous-traite des éléments de la chaîne d'approvisionnement à des organisations tierces.
- Les organisations doivent rédiger un ensemble clair de sécurité de l'information normes qui s'appliquent à leurs besoins individuels, pour définir des attentes claires sur la manière dont les fournisseurs doivent se comporter lorsqu'ils fournissent des produits et services TIC.
- Si le fournisseur de TIC sous-traite un élément de la chaîne d'approvisionnement, il doit prendre des mesures pour garantir que les sous-traitants et leur personnel connaissent parfaitement les normes uniques de sécurité de l'information de l'organisation.
- S'il est nécessaire d'acquérir des composants (physiques ou virtuels) achetés auprès d'un tiers, le fournisseur doit diffuser les exigences de sécurité de l'organisation à tous les vendeurs ou fournisseurs qu'il utilise lui-même.
- Il convient de demander aux fournisseurs de fournir des informations sur la nature et la fonction des composants logiciels qu'ils utilisent pour fournir un service à l'organisation.
- Les organisations doivent identifier les fonctions de sécurité sous-jacentes de tout produit ou service fourni, et comment exploiter ledit produit ou service de manière à ce que ne compromet pas la sécurité des informations.
- Les organisations ne doivent pas prendre les niveaux de risque pour acquis et rédiger des procédures garantissant que les produits ou services fournis par un fournisseur sont de nature sécurisée et conformes aux normes acceptées de l'industrie. Les méthodes peuvent inclure des contrôles de certification, des tests internes et des documents de conformité à l’appui.
- Lors de la réception d'un produit ou d'un service, les organisations doivent adhérer à un processus consistant d'abord à identifier puis à enregistrer tous les éléments jugés essentiels au maintien des fonctionnalités de base, en particulier si ces composants proviennent d'un accord de sous-traitance/d'externalisation.
- Les fournisseurs doivent être en mesure de fournir des assurances concrètes que les « composants critiques » bénéficient d'une évaluation approfondie. journal d'audit qui retrace leur mouvement tout au long de la chaîne d'approvisionnement des TIC, de la création à la livraison.
- Au fur et à mesure que les produits et services TIC sont fournis, les organisations doivent rechercher l'assurance catégorique que lesdits produits et services non seulement fonctionnent dans le cadre de leur portée, mais ne contiennent pas de fonctionnalités supplémentaires pouvant présenter une garantie. risque de sécurité.
- Les spécifications des composants sont essentielles pour garantir qu'une organisation comprend les composants matériels et logiciels qu'elle introduit sur son réseau. Les fournisseurs doivent envisager des mesures anti-falsification tout au long du cycle de développement, et les organisations doivent exiger des stipulations qui vérifient la légitimité des composants à la livraison.
- Des assurances doivent être recherchées pour confirmer que les produits TIC sont conformes aux normes industrielles et/ou spécifiques au secteur. exigences de sécurité, en fonction de chaque produit. Les méthodes courantes pour y parvenir incluent l'obtention d'un niveau minimum de certification de sécurité formelle ou l'adhésion à un ensemble de normes d'information internationalement reconnues (telles que l'accord de reconnaissance des critères communs) par produit.
- Les organisations devraient prendre des mesures pour garantir que les fournisseurs sont au courant de leurs obligations lors du partage d'informations et/ou de données concernant le fonctionnement mutuel de la chaîne d'approvisionnement, y compris la reconnaissance de tout conflit ou problème potentiel pouvant survenir entre les deux parties, et la manière de les traiter à la source.
- Les organisations doivent rédiger des procédures qui gèrent les risques lorsqu'elles fonctionnent avec des composants indisponibles, non pris en charge ou existants, où qu'ils se trouvent. Lorsque les composants entrent dans l’une de ces catégories, les organisations doivent être capables de s’adapter en conséquence et d’identifier des alternatives.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Conseils supplémentaires
Il est important de noter que la gouvernance de la chaîne d'approvisionnement des TIC ne doit pas être considérée de manière isolée, conformément à ce contrôle. Control 5.21 est conçu pour compléter les procédures de gestion de la chaîne d'approvisionnement existantes et offrir un contexte pour les produits et services spécifiques aux TIC.
L'ISO reconnaît que, notamment lorsqu'il s'agit de composants logiciels, le contrôle qualité dans le domaine des produits et services TIC ne s'étend pas à une inspection granulaire de l'ensemble de procédures de conformité du fournisseur.
À ce titre, les organisations sont encouragées à identifier des contrôles spécifiques au fournisseur qui vérifient que le fournisseur est une « source fiable » et à rédiger des accords qui énoncent catégoriquement les obligations du fournisseur en matière de sécurité des informations, lors de l'exécution d'un contrat, d'une commande ou de la fourniture d'un service.
Contrôle 5.21 Modifications par rapport à la norme ISO 27002:2013
ISO 27002:2022-5.21 remplace ISO 27002:2013-15.1.3 (Chaîne d'approvisionnement des technologies de l'information et de la communication).
L'ISO 27002:2022-5.21 adhère au même ensemble de règles générales d'orientation que l'ISO 27002:2013-15.1.3, mais met beaucoup plus l'accent sur l'obligation du fournisseur de fournir et de vérifier les informations relatives aux composants au point de livraison, notamment :
- Fournisseurs de TIC fournissant des informations sur les composants.
- Fournisseurs de TIC décrivant les fonctions de sécurité d'un produit et la meilleure façon de l'exploiter du point de vue de la sécurité.
- Assurances concernant les niveaux de sécurité requis.
ISO 27002:2022-5.21 demande également à l'organisation de créer des informations supplémentaires spécifiques aux composants pour augmenter les niveaux généraux de sécurité des informations lors de l'introduction de produits et de services, notamment :
- Identifier et documenter les composants essentiels à la fonctionnalité de base du produit ou du service.
- Garantir que les composants sont authentiques et inchangés.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
At ISMS.en ligne, nous avons construit un système complet et facile à utiliser qui peut vous aider à mettre en œuvre les contrôles ISO 27002 et à gérer l'ensemble de votre SMSI.
Notre plateforme cloud offre :
- Un système de gestion de documentation facile à utiliser et à personnaliser.
- Accès à une bibliothèque de modèles de documentation raffinés et pré-écrits.
- Un processus simplifié pour réaliser des audits internes.
- Une méthode efficace pour communiquer avec la direction et les parties prenantes.
- Un module de workflow pour rationaliser le processus de mise en œuvre.
ISMS.online possède toutes ces fonctionnalitéset plus encore.
Contactez-nous dès aujourd'hui pour réserver une démo.
