Objectif du contrôle 5.37
Le contrôle 5.37 traite du concept de sécurité de l'information comme une activité opérationnelle, dont les éléments constitutifs sont réalisés et/ou gérés par une ou plusieurs personnes.
Le contrôle 5.37 décrit une série de procédures opérationnelles qui garantissent un la sécurité des informations de l'organisation l’installation reste efficace et sécurisée, et conforme à leurs exigences documentées.
Tableau des attributs
Le contrôle 5.37 est un préventif et correctif contrôler cela maintient le risque par la création d'une banque de procédures associées à un la sécurité des informations de l'organisation activités.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #La gestion d'actifs | #Gouvernance et écosystème |
| #Correctif | #Intégrité | #Récupérer | #Sécurité physique | #Protection |
| #Disponibilité | #Sécurité du système et des réseaux | #La défense | ||
| #Sécurité des applications | ||||
| #Configuration sécurisée | ||||
| #Gestion des identités et des accès | ||||
| #Gestion des menaces et des vulnérabilités | ||||
| #Continuité | ||||
| #Gestion des événements de sécurité de l'information |
Propriété du contrôle 5.37
Le contrôle 5.37 traite d'un ensemble diversifié de circonstances qui peuvent potentiellement inclure plusieurs départements et postes dans le cadre de procédures opérationnelles documentées. Cela étant dit, on peut supposer sans risque que la plupart des procédures affecteront le personnel, les équipements et les systèmes TIC.
Lorsque cela se produit, la propriété doit appartenir à un membre senior de l'équipe de direction responsable de toutes les activités liées aux TIC, tel qu'un responsable informatique.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Orientations générales sur le contrôle 5.37
Des procédures doivent être créées pour les activités liées à la sécurité de l'information conformément à 5 considérations opérationnelles clés :
- Toute instance d'une activité exécutée par une ou plusieurs personnes, de la même manière.
- Lorsqu'une activité n'est pas souvent exercée.
- Quand une démarche comporte le risque d’être oubliée.
- Toute nouvelle activité peu familière au personnel et donc soumise à un degré de risque plus élevé.
- Lorsque la responsabilité de l’exercice d’une activité est transférée à un autre employé ou groupe d’employés.
Lorsque de tels cas se produisent, les procédures opérationnelles documentées doivent clairement indiquer :
- Toutes les personnes responsables – qu’il s’agisse des opérateurs historiques ou des nouveaux opérateurs.
- Un ensemble de directives qui maintiennent la sécurité lors de l'installation et de la configuration ultérieure de tout système d'entreprise associé.
- Comment les informations sont traitées tout au long de l'activité.
- Plans BUDR et implications, en cas de perte de données ou d'événement majeur (voir Contrôle 8.13).
- Dépendances liées à tout autre système, y compris la planification.
- Une procédure claire pour traiter les « erreurs de traitement » ou les événements divers susceptibles de se produire (voir Contrôle 8.18).
- Une liste complète du personnel à contacter en cas de perturbation, y compris des procédures de remontée d'informations claires.
- Comment utiliser tout support de stockage pertinent associé à l'activité (voir Contrôles 7.10 et 7.14).
- Comment redémarrer et récupérer après une panne du système.
- Journalisation de la piste d'audit, y compris tous les journaux d'événements et système associés (voir Contrôles 8.15 et 8.17).
- Systèmes de surveillance vidéo qui surveillent les activités sur site (voir Contrôle 7.4).
- Un ensemble solide de procédures de suivi adaptées à la capacité opérationnelle, potentiel de performance et sécurité de ladite activité.
- Comment l'activité doit être maintenue, afin d'être maintenue à des niveaux de performance optimaux.
Toutes les procédures ci-dessus doivent être soumises à des examens périodiques et/ou ad hoc, selon les besoins, et tous les changements doivent être ratifiés par la direction en temps opportun pour protéger les activités de sécurité de l'information dans l'ensemble de l'organisation.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Changements et différences par rapport à la norme ISO 27002:2013
27002:2022-5.37 remplace 27002:2013-12.1.1 (procédures opérationnelles documentées).
27002:2022-5.37 développe 27002:2013-12.1.1 en offrant un ensemble beaucoup plus large de circonstances qui justifieraient le respect d'une procédure documentaire.
27002:2013-12.1.1 répertorie les activités de traitement de l'information telles que les procédures de démarrage et d'arrêt de l'ordinateur, la sauvegarde, la maintenance des équipements, la gestion des supports, tandis que 27002:2022-5.37 étend la portée du contrôle à des activités généralisées non limitées à des activités spécifiques. fonctions techniques.
Hormis quelques ajouts mineurs – tels que la catégorisation des personnes responsables d'une activité – le 27002:2022-5.37 contient les mêmes points d'orientation généraux que le 27002:2013-12.1.1.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.
- Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
- Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
- Le vaste L'ensemble d'outils d'évaluation des risques permet d'économiser du temps et des efforts tout au long du processus.
- Nous avons un une équipe de consultants à votre disposition pour vous accompagner vous tout au long de votre parcours vers la conformité.
Contactez-nous dès aujourd'hui pour réserver une démo.
