ISO 27002 Contrôle 5.35 : Pourquoi les évaluations de sécurité indépendantes sont importantes
À tel point qu'il est nécessaire d'éliminer toute complaisance en effectuant régulièrement des examens indépendants de la manière dont une organisation gère les personnes, les processus et les technologies impliqués dans le maintien d'un sécurité efficace des informations fonctionnement.
Objectif du contrôle 5.35
Le contrôle 5.35 exige que les organisations effectuent des examens indépendants de leurs pratiques en matière de sécurité de l'information – à la fois à intervalles planifiés et lorsque des changements opérationnels majeurs surviennent – pour garantir que les politiques de gestion de la sécurité de l'information sont :
- Adéquat – Ils ont la capacité d’atteindre l’adhésion
- Approprié – Ils essaient d’atteindre les bons objectifs
- Efficace – Ils fonctionnent comme prévu
Tableau des attributs
Le contrôle 5.35 est un préventif et correctif contrôler cela maintient le risque en créant des processus qui facilitent les examens réguliers des pratiques de gestion de la sécurité de l'information d'une organisation.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Assurance de la sécurité de l'information | #Gouvernance et écosystème |
| #Correctif | #Intégrité | #Protéger | ||
| #Disponibilité |
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Propriété du contrôle 5.35
Le contrôle 5.35 traite principalement des questions opérationnelles. En tant que tel, la propriété doit appartenir au COO ou au RSSI (le cas échéant).
Orientations générales sur le contrôle 5.35
L’objectif primordial est de la direction pour créer et mettre en œuvre des processus permettant des examens indépendants de la sécurité de leurs informations pratiques.
Les examens doivent se concentrer sur tous les changements qui sont nécessaire pour améliorer l’approche d’une organisation en matière de sécurité de l’information, comprenant:
- politique de sécurité de l'information.
- Politiques spécifiques à un sujet.
- Contrôles associés.
Tout examen doit être mené par une personne à l'intérieur ou à l'extérieur de l'organisation qui n'a pas d'intérêt direct dans l'objet de l'enquête, par exemple :
- Auditeurs internes.
- Gestionnaires de département indépendants.
- Organisations tierces.
Celui qui effectue l'examen doit disposer des informations pertinentes compétence opérationnelle de porter un jugement éclairé sur leurs conclusions et (dans le cas du personnel interne) leur rôle professionnel ne doit pas les empêcher de procéder à une évaluation valable et légitime.
Les résultats de l'examen doivent être minutieusement enregistrés, stockés et communiqués au gestionnaire (ou aux groupes de gestionnaires) qui en ont fait la demande et, dans certains cas, au niveau de la direction ou de la propriété.
Les évaluateurs doivent chercher à établir si les pratiques de sécurité de l'information sont conformes ou non aux « objectifs et exigences documentés » de l'organisation énoncés dans la politique de sécurité de l'information ou dans toute politique spécifique à un sujet.
Parallèlement aux examens périodiques, il peut être nécessaire de lancer des examens ponctuels. Ces examens peuvent être justifiés dans 5 domaines clés :
- Toutes les lois, directives ou réglementations qui affectent le fonctionnement de la sécurité des informations de l'organisation sont modifiées.
- Majeurs des incidents se produisent et ont un impact sur la sécurité des informations (perte de données, intrusion etc).
- Une nouvelle entreprise est créée ou des changements majeurs sont apportés à l'entreprise actuelle.
- l'organisation adopte un nouveau produit ou service doté d'une sécurité des informations implications ou apporte des modifications sous-jacentes à un produit ou un service actuel.
- Des changements majeurs sont apportés à la banque de contrôles, politiques et procédures de sécurité de l’information de l’organisation.
Conseils supplémentaires
ISO / IEC 27007 et ISO/IEC TS 27008 contiennent des indications supplémentaires sur la pratique des examens indépendants.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022-5.35 remplace 27002:2013-18.1.2 (Examen indépendant de la sécurité de l'information).
27002:2022-5.35 contient les mêmes orientations générales que 27002:2013-18.1.2, mais va plus loin en stipulant des exemples spécifiques de cas dans lesquels une organisation doit effectuer des examens ad hoc, parallèlement à ses examens périodiques.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISMS.online rationalise le ISO 27002 processus de mise en œuvre en fournissant un cadre sophistiqué basé sur le cloud pour documenter les procédures et les listes de contrôle du système de gestion de la sécurité de l'information afin de garantir la conformité aux normes reconnues.
Lorsque vous utiliser ISMS.online, vous serez en mesure de:
créer un SMSI compatible avec ISO 27001
effectuer des tâches et soumettre une preuve indiquant qu’ils satisfont aux exigences de la norme.
répartir les tâches et suivre les progrès vers le respect de la loi.
accédez à une équipe de conseillers spécialisés qui vous accompagneront tout au long de votre cheminement vers la conformité.
Contactez-nous dès aujourd'hui pour réserver une démo.
