ISO 27002 : 2022 – Contrôle 5.36 – Conformité aux politiques, règles et normes en matière de sécurité de l'information

Objectif du contrôle 5.36

Un élément clé pour fonctionner avec un système robuste, ensemble sécurisé de pratiques de sécurité des informations est la nécessité de rester conforme à toutes les politiques et procédures publiées.

Le contrôle 5.36 exige que les organisations adoptent une approche descendante vue de la sécurité de l'information conformité, relative à ses différentes politiques (à la fois uniques et thématiques), règles et normes.

Tableau des attributs

Le contrôle 5.36 est un préventif et du correctif contrôler cela modifie le risque en maintenant le respect des acquis préexistants politiques et procédures dans le cadre de la sécurité de l’information.

Propriété du contrôle 5.36

Le contrôle 5.36 traite principalement des questions opérationnelles. En tant que tel, la propriété doit appartenir au COO ou au RSSI (le cas échéant).

Orientations générales sur le contrôle 5.36

Gestionnaires et propriétaires d’informations (y compris les propriétaires de services et de produits) devraient être en mesure de vérifier la conformité de l'ensemble des politiques, règles et normes de sécurité des informations d'une organisation.

Les responsables doivent mettre en œuvre des méthodes de reporting spécifiques à l'entreprise (incorporant tous les outils techniques requis) sur la conformité en matière de sécurité de l'information, dans le but général de mener des examens périodiques – qui sont minutieusement enregistrés, stockés et rapportés – qui mettent en évidence les domaines à améliorer.

Si des problèmes sont découverts et des cas de non-conformité sont détectés, les gestionnaires doivent être en mesure de procéder comme suit :

1. Établir la cause sous-jacente de la non-conformité.
2. Décide si une action corrective est nécessaire.
3. Si nécessaire, planifier et mettre en œuvre lesdites actions correctives pour assurer une conformité continue.
4. Une fois promulguée, examinez toute mesure corrective prise pour explorer son efficacité et mettre en évidence les domaines nécessitant un développement ultérieur.

Des mesures correctives doivent être prises « en temps opportun », et idéalement avant le prochain examen. Si les actions ne sont pas terminées au moment du prochain examen, les gestionnaires devraient au moins être en mesure de prouver les progrès réalisés.

Contrôles pris en charge

• 5.35
• 8.15
• 8.16
• 8.17

Changements et différences par rapport à la norme ISO 27002:2013

27002:2022-5.36 remplace deux contrôles de 27002:2013, à savoir :

• 18.2.2 – Conformité aux politiques et normes de sécurité
• 18.2.3 – Examen de la conformité technique

27002:2022-5.36 condense toutes les orientations techniques complexes proposées dans 27002:2013-18.2.3, en indiquant simplement que les gestionnaires devraient être en mesure de vérifier la conformité chaque fois que cela est nécessaire.

27002:2022-5.36 contient exactement le même ensemble de points d'orientation que 27002:2013-18.2.2, relatifs à la les actions nécessaires lorsqu'un examen signale des cas de non-conformité.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.

Contactez-nous dès aujourd'hui pour réserver une démo.