Objectif du contrôle 5.22
Le contrôle 5.22 stipule les méthodes que les organisations doivent adopter pour surveiller, examiner et gérer les changements dans les pratiques de sécurité de l'information et les normes de prestation de services d'un fournisseur, et évaluer l'impact sur les propres niveaux de sécurité de l'information de l'organisation.
Lors de la gestion du relation avec leurs fournisseurs, une organisation doit chercher à maintenir un niveau de base de sécurité des informations qui adhère à tous les accords conclus.
5.22 est un contrôle préventif qui modifie le risque en maintenant un « niveau convenu de sécurité de l’information et de prestation de services » de la part du fournisseur.
Attributs du contrôle 5.22
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Sécurité des relations avec les fournisseurs | #Gouvernance et écosystème |
| #Intégrité | #Protection | |||
| #Disponibilité | #La défense | |||
| #Assurance de la sécurité de l'information |
Propriété du contrôle 5.22
La propriété du contrôle 5.22 devrait appartenir à un membre de l'équipe senior. direction qui supervise les opérations commerciales d’une organisation, et entretient une relation directe avec les fournisseurs d'une organisation, comme un Chef des opérations.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur le contrôle 5.22
Le contrôle 5.22 contient 13 domaines principaux qui les organisations ont besoin à prendre en compte lors de la gestion des relations avec les fournisseurs, et l'effet qu'elles ont sur leurs propres normes de sécurité de l'information.
Les organisations doivent prendre des mesures pour garantir que les employés responsables de la gestion des SLA et des relations avec les fournisseurs disposent des niveaux de compétences et de ressources techniques requis pour pouvoir évaluer correctement les performances des fournisseurs, et que les normes de sécurité des informations ne sont pas enfreintes.
Les organisations doivent rédiger des politiques et des procédures qui :
- Surveillez constamment les niveaux de service conformément aux SLA publiés, et toute lacune est comblée.
- Surveiller toutes les modifications apportées par le fournisseur à ses propres opérations, y compris (mais sans s'y limiter) :
a) Améliorations des services
b) L’introduction de nouvelles applications, systèmes ou processus logiciels
c) Révisions pertinentes et significatives des documents de gouvernance interne des fournisseurs
d) Toutes la gestion des incidents changements de procédure ou efforts visant à accroître les niveaux de sécurité de l’information - Surveillez toutes les modifications spécifiques au service, y compris (mais sans s'y limiter) :
a) Modifications des infrastructures
b) L'application des technologies émergentes
c) Le déploiement de mises à jour de produits ou de mises à niveau de version
d) Changements dans l'environnement de développement
e) Modifications logistiques et physiques des installations des fournisseurs, y compris de nouveaux emplacements
f) Tout changement concernant les partenaires d'externalisation ou les sous-traitants
g) L’intention de sous-traiter, là où cette pratique n’existait pas auparavant - Demandez des rapports de service réguliers, analysez les données et assistez aux réunions d'examen conformément aux niveaux de prestation de services convenus.
- Auditer les partenaires d’externalisation et les sous-traitants et poursuivre tout sujet de préoccupation.
- Examiner les incidents de sécurité conformément aux normes et pratiques convenues en matière de gestion des incidents et à l'accord du fournisseur.
- Tenir un registre complet des événements de sécurité de l'information, des problèmes opérationnels tangibles, des journaux de pannes et des obstacles généraux aux normes de prestation de services qui ont été convenues.
- Répondre de manière proactive et prendre des mesures correctives face aux événements liés à la sécurité des informations.
- Mettez en surbrillance n'importe quel vulnérabilités en matière de sécurité de l'information et les atténuer au maximum.
- Analyser tous les facteurs pertinents de sécurité de l'information inhérents à la relation fournisseur avec ses propres fournisseurs et sous-traitants.
- Veiller à ce que la prestation de services soit assurée à des niveaux acceptables après une perturbation importante du côté du fournisseur, y compris la reprise après sinistre.
- Décrivez le personnel clé des opérations du fournisseur qui est responsable du maintien de la conformité et du respect des termes d'un accord.
- Auditer régulièrement la capacité d'un fournisseur à maintenir une norme de base en matière de sécurité des informations.
Contrôles pris en charge
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.
Certains des principaux avantages de l’utilisation d’ISMS.online incluent :
- Voici à quoi vous construisez votre SMSI conforme à la norme ISO 27001 au sein de la plateforme.
- Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
- Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
- L’ensemble complet d’outils d’évaluation des risques permet d’économiser du temps et des efforts tout au long du processus.
- Nous avons un une équipe de consultants à votre disposition pour vous accompagner tout au long de votre parcours vers la conformité.
Contactez-nous dès aujourd'hui pour réserver une démo.
