ISO 27002:2022, Contrôle 5.30 – Préparation aux TIC pour la continuité des activités

Orientations générales de contrôle 5.30

Les processus et procédures créés via le contrôle 5.30 doivent être rédigés à la suite d'une BIA approfondie, qui considère comment un besoins de l'organisation réagir en cas de perturbation opérationnelle.

Un BIA doit utiliser différents types d’impact et des variables spécifiques à l’organisation pour évaluer comment la continuité des activités sera affectée, si un ou tous les produits et services devaient être rendus indisponibles ou inutilisables, en raison d'un niveau de perturbation quelconque.

Les organisations doivent utiliser deux variables clés pour formuler un RTO convenu, qui fixe des objectifs clairs pour la reprise des opérations normales :

a) le ampleur de la perturbation

b) l' type des perturbations subies

Dans leur BIA, les organisations devraient être en mesure de spécifier précisément quels services et fonctions TIC sont nécessaires pour réaliser la reprise, y compris les services individuels. performant ainsi que nominale exigences.

Les organisations devraient subir une évaluation des risques qui évalue leurs systèmes TIC et constitue la base d’une ou plusieurs stratégies de continuité des TIC qui soutiennent la reprise avant, pendant et après une période de perturbation.

Une fois qu'une stratégie a été convenue, des processus et des plans spécifiques doivent être mis en place pour garantir que les services TIC sont suffisamment résilients et adéquats pour contribuer à la reprise des processus et des systèmes critiques, avant, pendant et après une interruption.

Dans le cadre des plans de continuité TIC, le Contrôle 5.30 définit trois points d’orientation principaux:

1. Les incidents informatiques nécessitent souvent que des décisions rapides soient prises en matière de sécurité de l'information par des membres du personnel senior, afin d'accélérer la récupération.
   
   Les organisations doivent maintenir une chaîne de commandement solide qui comprend des personnes compétentes avec la capacité de prendre des décisions faisant autorité sur les questions techniques liées à la continuité des activités et au respect des RTO.
   
   Les structures organisationnelles doivent être à jour et largement communiquées, pour faciliter une communication adéquate et accélérer les temps de rétablissement.
2. Les plans de continuité des TIC doivent faire l'objet d'une grande attention, notamment de tests et d'évaluations réguliers et d'approbation par la haute direction.
   
   Les organisations doivent effectuer des tests pour évaluer leur efficacité et mesurer des indicateurs clés tels que les temps de réponse et de résolution.
3. Les plans de continuité des TIC doivent contenir les informations suivantes :
   
   a) exigences de performance et de capacité de tout système ou processus utilisé dans les efforts de rétablissement
   
   b) un RTO clair pour chaque service TIC en question, et comment l'organisation vise à les restaurer
   
   c) un objectif de point de récupération (RPO) est désigné pour chaque ressource TIC et des procédures sont créées pour garantir que les informations peuvent être restaurées.

Modifications par rapport à la norme ISO 27002:2013

ISO 27002: 2022, le contrôle 5.30 est un nouveau contrôle sans priorité dans la norme ISO 27002:2013.

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.

Notre plateforme est intuitif et facile à utiliser. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre organisation. Nous vous encourageons à impliquer le personnel à tous les niveaux de votre entreprise dans le processus de construire votre SMSI, car cela vous aide à construire un système véritablement durable.

Contactez-nous dès aujourd'hui pour réserver une démo.