ISO 27002 :2022, Contrôle 5.24 – Planification et préparation de la gestion des incidents de sécurité de l'information

Propriété du contrôle 5.24

La gestion des incidents, en termes plus larges, s'applique généralement aux incidents liés au service. Étant donné que le contrôle 5.24 traite spécifiquement des incidents et des violations liés à la sécurité des informations, compte tenu de la nature hautement sensible de ces événements, la propriété du contrôle 5.24 devrait idéalement appartenir à un CISO, ou équivalent organisationnel.

Étant donné que les RSSI ne sont généralement visibles qu'au sein des grandes entreprises et des organisations au niveau de l'entreprise, la propriété pourrait également appartenir au COOou Service Manager, selon la nature de l'organisation.

Conseils – Rôles et responsabilités

La gestion des incidents donne les meilleurs résultats lorsque le personnel d'une organisation travaille ensemble pour résoudre un problème spécifique.

Pour y parvenir, Control 5.24 détaille 5 points d’orientation principaux qui aident les organisations à créer une opération de GI cohérente et efficace.

Les organisations devraient :

1. Convenir et documenter une méthode homogène pour signaler les événements liés à la sécurité des informations. Cela devrait également impliquer l’établissement d’un point de contact principal auquel tous ces événements pourraient être signalés.
2. Établir une série d'incidents Processus de gestion qui gèrent la sécurité des informations incidents connexes dans le domaine de diverses fonctions techniques et administratives :
   
   a) Administration
   b) Documentation
   c) Détection
   d) Triage
   e) Priorisation
   f) Analyse
   g) Communication
3. Formuler une procédure de réponse aux incidents qui permet à l'organisation d'évaluer et de répondre aux incidents. Les organisations doivent également être conscientes de la nécessité pour tirer des leçons des incidents une fois qu'ils sont résolus, pour atténuer toute récurrence et fournir au personnel un contexte historique dans les scénarios futurs.
4. Limiter l’implication dans les incidents à personnel formé et compétent, qui bénéficient d’un accès complet à la documentation procédurale et bénéficient de formations de remise à niveau régulières spécifiquement liées aux incidents de sécurité de l’information.
5. Établir un processus qui identifie les besoins de formation de chaque membre du personnel impliqué dans la résolution des incidents liés à la sécurité de l'information. Cela devrait inclure toutes les certifications spécifiques au fournisseur ou professionnelles, et donner au personnel la possibilité de souligner tout besoin de développement professionnel, lié à la sécurité de l'information.

Conseils – Gestion des incidents

L'objectif du processus de gestion des incidents d'une organisation doit être de garantir que toutes les personnes responsables de la résolution des incidents de sécurité de l'information ont une solide compréhension de trois domaines principaux :

• Le temps nécessaire pour résoudre un incident
• Toutes les conséquences potentielles
• La gravité de l'incident

Tous les processus doivent fonctionner en harmonie pour garantir que ces trois variables restent une priorité absolue.

Le contrôle 5.24 décrit 8 activités principales qui doivent être prises en compte lors de la tentative de résolution d'incidents liés à la sécurité des informations.

1. Les événements potentiels liés à la sécurité des informations doivent être évalués conformément à des critères stricts qui les valident comme un incident approuvé.
2. La gestion des événements et incidents de sécurité de l'information doit être classée en 5 sous-thèmes principaux, soit manuellement, soit via l'automatisation des processus :
   
   a) Surveillance (voir Contrôles 8.15 et 8.16)
   b) Détection (voir Contrôle 8.16)
   c) Classification (voir Contrôle 5.25)
   d) Analyse
   e) Reporting (voir Contrôle 6.8)
3. Lorsqu’elles tentent de mener à bien des incidents de sécurité de l’information, les organisations doivent mettre en œuvre des procédures qui mettent en œuvre les éléments suivants :
   
   a) Réponse et escalade (voir Contrôle 5.26) en fonction du type d'incident
   b) Activation de plans de gestion de crise ou plans de continuité d'activité, au cas par cas
   c) Gérer la récupération après un incident qui atténue tout dommage opérationnel/financier causé
   d) Communication approfondie des événements liés aux incidents à toutes les parties internes et externes
4. Travail collaboratif avec le personnel interne et externe (voir Contrôles 5.5 et 5.6).
5. Journalisation complète, accessible et transparente de toutes les activités basées sur la gestion des incidents.
6. Traitement responsable des preuves (y compris les données et les conversations), conformément aux directives et réglementations internes et externes (voir Contrôle 5.28).
7. Analyse des causes profondes et procédure d’examen approfondie une fois l’incident résolu.
8. Un enregistrement complet de toutes les améliorations nécessaires pour éviter que l'incident ne se reproduise, y compris toute modification apportée au processus de gestion des incidents lui-même.

Conseils – Rapports

Le signalement est un élément essentiel de tout incident Politique de gestion qui garantit que les informations sont diffusées avec précision dans toute une organisation. Les activités de reporting doivent être concentrées autour de 4 domaines principaux :

1. Toutes les actions qui doivent être prises une fois qu'un événement de sécurité des informations se produit.
2. Des formulaires d'incident qui offrent un moyen clair et concis d'enregistrer les informations et de soutenir le personnel dans l'exercice de ses fonctions.
3. Processus de retour d'information pour garantir que le personnel est informé du résultat des événements de sécurité de l'information, une fois l'incident résolu.
4. Rapports d'incident qui documentent toutes les informations pertinentes relatives à un incident.

Il convient de noter que le contrôle 5.24 ne contient aucune indication sur la manière de répondre aux exigences externes sur la manière dont les incidents sont signalés (par exemple, les directives réglementaires et/ou la législation en vigueur), mais les organisations doivent prendre des mesures pour partager les informations concernant les incidents avec toutes les parties concernées. et coordonner une réponse qui répond à toutes les exigences réglementaires, sectorielles et légales.

Prise en charge des contrôles

• 5.25
• 5.26
• 5.5
• 5.6
• 6.8
• 8.15
• 8.16

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-5.24 remplace 27002:2013-16.1.1 (Gestion des incidents et améliorations de la sécurité de l'information – Responsabilités et procédures).

27002:2022-5.24 reconnaît la nécessité pour les organisations de se préparer minutieusement, afin de rester résilientes et conformes face aux incidents potentiels de sécurité des informations.

En tant que tel, 27002:2022-5.24 offre une répartition beaucoup plus complète des étapes que les organisations doivent suivre dans les fonctions de délégation de rôles, de gestion des incidents et de reporting, avec une référence spécifique donnée à d'autres Contrôles ISO qui aident les organisations à avoir une vision plus complète de la gestion des incidents dans son ensemble, et pas seulement liée aux événements de sécurité de l'information.

Pour aider les organisations à compartimenter leurs opérations de gestion des incidents, la norme 27002:2022-5.24 s'écarte de la norme 27002:2013-16.1.1 en se concentrant sur trois domaines distincts à prendre en compte :

• Rôles et responsabilités
• Processus de gestion des incidents
• Rapports

Comment ISMS.online vous aide

Lorsque vous utilisez ISMS.en ligne, vous serez en mesure de:

• Créer un SMSI compatible avec la norme ISO 27001
• Effectuer des tâches et soumettre une preuve indiquant qu'elles répondent aux exigences de la norme.
• Attribuez des tâches et suivez les progrès vers la conformité à la loi.
• Accédez à une équipe de conseillers spécialisés qui vous accompagneront tout au long de votre cheminement vers la conformité.

Contactez-nous dès aujourd'hui pour réserver une démo.