ISO 27002:2022, Contrôle 5.33 – Protection des enregistrements

Orientations générales sur le contrôle 5.33

Le contrôle 5.33 reconnaît qu'un les besoins de l'organisation sont fluides lorsqu'il s'agit de la quantité et du type de documents nécessaires pour faire des affaires d'un jour à l'autre.

En tant que tel, Control 5.33 classe la gestion des enregistrements en 4 attributs principaux :

1. Authenticité
2. Fiabilité
3. Intégrité
4. Facilité d'utilisation

Dans le cadre de ces attributs, le contrôle 5.33 demande aux organisations de :

1. Rédiger et publier des lignes directrices qui traitent de quatre fonctions principales, ainsi que des politiques thématiques spécifiques qui répondent à la nature sous-jacente des documents en question :
   
   a) Stockage des enregistrements
   b) Chaîne de traçabilité du traitement des dossiers
   c) Élimination des dossiers
   d) Prévenir la manipulation
2. Maintenez un calendrier fonctionnel de conservation des enregistrements qui indique clairement la durée pendant laquelle les enregistrements de différents types doivent être conservés, en fonction de leur fonction commerciale individuelle.
3. Créer des procédures de stockage et de manutention qui prennent en compte :
   
   a) toute loi en vigueur qui traite de la tenue des registres commerciaux
   b) Attentes « communautaires et sociétales » quant à la manière dont une organisation doit gérer ses dossiers
4. Mettez en œuvre des procédures qui détruisent les enregistrements de manière sûre et appropriée dès qu'ils ne sont plus nécessaires (après la période de conservation).
5. Classer les enregistrements à des fins de protection (y compris les périodes de conservation appropriées et les supports de stockage utilisés) en fonction de leur risque de sécurité, et divers types, y compris (mais sans s'y limiter) :
   
   a) Archives de comptabilité
   b) Transactions commerciales
   c) Dossiers du personnel
   d) Dossiers juridiques
6. Assurez-vous que toutes les procédures de stockage prévoient un délai de récupération acceptable, au cas où l'organisation serait invitée à les produire par un tiers ou pour un usage interne.
7. Lorsque des supports électroniques sont utilisés pour stocker des documents, envisager et atténuer la possibilité que l'accès ou la récupération des documents soit entravé par des modifications technologiques, y compris la conservation des informations cryptographiques (voir Contrôle 8.24).
8. Respectez les directives du fabricant lors du stockage ou de la manipulation d'enregistrements sur ou via des supports électroniques, y compris en tenant compte de la détérioration naturelle desdits supports.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-5.33 remplace 27002:2013-18.1.3 (Protection des enregistrements), avec divers ajouts sous la forme de points d'orientation individuels et de processus généraux qui doivent être respectés.

Lors du contrôle 2022, l'ISO reconnaît l'importance de définir ce qui constitue un dossier commercial. 27002:2022-5.33 contient de nombreux exemples de ce que l'ISO considère comme un enregistrement (voir ci-dessus), qui sont absents de 27002:2013-18.1.3.

Le contrôle 5.33 attire également l'attention d'une organisation sur deux points d'orientation principaux qui ne sont pas contenus dans son homologue de 2013 (lignes directrices 1 et 2 ci-dessus), qui constituent à leur tour la base de la politique d'archivage d'une organisation - en particulier, un calendrier de conservation qui dicte comment de longs enregistrements doivent être conservés, ainsi que pour toute exigence spécifique au média.

Les métadonnées ont également fait leur première apparition dans la gestion des documents. 27002:2013-18.1.3 n’en fait aucune mention, alors que 27002:2022-5.33 le considère comme un « composant essentiel ».

Comment ISMS.online vous aide

Utiliser ISMS.online vous pouvez:

• Mettre en œuvre rapidement un Système de gestion de la sécurité de l'information (SMSI).
• Facilement gérer la documentation de votre SMSI.
• Rationalisez la conformité à toutes les normes pertinentes.
• Gérer tous les aspects de la sécurité des informations, de la gestion des risques à la formation à la sensibilisation à la sécurité.
• Communiquez efficacement au sein de votre organisation grâce à notre fonctionnalité de communication intégrée.

Contactez-nous dès aujourd'hui pour réserver une démo.