Objectif du contrôle 5.22
Le contrôle 5.22 stipule les méthodes que les organisations doivent adopter pour surveiller, examiner et gérer les changements dans les pratiques de sécurité de l'information et les normes de prestation de services d'un fournisseur, et évaluer l'impact sur les propres niveaux de sécurité de l'information de l'organisation.
Dans la gestion de ses relations avec ses fournisseurs , une organisation doit s'efforcer de maintenir un niveau minimal de sécurité de l'information conforme aux accords conclus.
5.22 est un contrôle préventif qui modifie le risque en maintenant un « niveau convenu de sécurité de l’information et de prestation de services » de la part du fournisseur.
Attributs du contrôle 5.22
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Sécurité des relations avec les fournisseurs | #Gouvernance et écosystème |
| #Intégrité | #Protection | |||
| #Disponibilité | #La défense | |||
| #Assurance de la sécurité de l'information |
Propriété du contrôle 5.22
La propriété du contrôle 5.22 devrait revenir à un membre de la haute direction qui supervise les opérations commerciales d'une organisation et entretient une relation directe avec les fournisseurs de l'organisation, tel qu'un directeur de l'exploitation.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur le contrôle 5.22
Le contrôle 5.22 contient 13 domaines principaux que les organisations doivent prendre en compte lorsqu'elles gèrent leurs relations avec les fournisseurs, et l'effet qu'ils ont sur leurs propres normes de sécurité de l'information.
Les organisations doivent prendre des mesures pour garantir que les employés responsables de la gestion des SLA et des relations avec les fournisseurs disposent des niveaux de compétences et de ressources techniques requis pour pouvoir évaluer correctement les performances des fournisseurs, et que les normes de sécurité des informations ne sont pas enfreintes.
Les organisations doivent rédiger des politiques et des procédures qui :
- Surveillez constamment les niveaux de service conformément aux SLA publiés, et toute lacune est comblée.
- Surveiller toutes les modifications apportées par le fournisseur à ses propres opérations, y compris (mais sans s'y limiter) :
a) Améliorations des services
b) L’introduction de nouvelles applications, systèmes ou processus logiciels
c) Révisions pertinentes et significatives des documents de gouvernance interne des fournisseurs
d) Toutes la gestion des incidents changements de procédure ou efforts visant à accroître les niveaux de sécurité de l’information - Surveillez toutes les modifications spécifiques au service, y compris (mais sans s'y limiter) :
a) Modifications des infrastructures
b) L'application des technologies émergentes
c) Le déploiement de mises à jour de produits ou de mises à niveau de version
d) Changements dans l'environnement de développement
e) Modifications logistiques et physiques des installations des fournisseurs, y compris de nouveaux emplacements
f) Tout changement concernant les partenaires d'externalisation ou les sous-traitants
g) L’intention de sous-traiter, là où cette pratique n’existait pas auparavant - Demandez des rapports de service réguliers, analysez les données et assistez aux réunions d'examen conformément aux niveaux de prestation de services convenus.
- Auditer les partenaires d’externalisation et les sous-traitants et poursuivre tout sujet de préoccupation.
- Examiner les incidents de sécurité conformément aux normes et pratiques convenues en matière de gestion des incidents et à l'accord du fournisseur.
- Tenir un registre complet des événements de sécurité de l'information, des problèmes opérationnels tangibles, des journaux de pannes et des obstacles généraux aux normes de prestation de services qui ont été convenues.
- Répondre de manière proactive et prendre des mesures correctives face aux événements liés à la sécurité des informations.
- Mettez en surbrillance n'importe quel vulnérabilités en matière de sécurité de l'information et les atténuer au maximum.
- Analyser tous les facteurs pertinents de sécurité de l'information inhérents à la relation fournisseur avec ses propres fournisseurs et sous-traitants.
- Veiller à ce que la prestation de services soit assurée à des niveaux acceptables après une perturbation importante du côté du fournisseur, y compris la reprise après sinistre.
- Décrivez le personnel clé des opérations du fournisseur qui est responsable du maintien de la conformité et du respect des termes d'un accord.
- Auditer régulièrement la capacité d'un fournisseur à maintenir une norme de base en matière de sécurité des informations.
Contrôles pris en charge
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
La mise en œuvre de la norme ISO 27002 est simplifiée grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, de la définition du périmètre de votre SMSI à l'identification des risques et à la mise en œuvre des contrôles.
Certains des principaux avantages de l’utilisation d’ISMS.online incluent :
- Vous pouvez construisez votre SMSI conforme à la norme ISO 27001 au sein de la plateforme.
- Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
- Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
- L’ensemble complet d’outils d’évaluation des risques permet d’économiser du temps et des efforts tout au long du processus.
- Nous avons un une équipe de consultants à votre disposition pour vous accompagner tout au long de votre parcours vers la conformité.
Contactez-nous dès aujourd'hui pour réserver une démonstration.
