Objectif du contrôle 5.37
Le contrôle 5.37 traite du concept de sécurité de l’information en tant qu’activité opérationnelle, dont les éléments constitutifs sont exécutés et/ou gérés par une ou plusieurs personnes.
Le contrôle 5.37 décrit une série de procédures opérationnelles visant à garantir que le système de sécurité de l'information d'une organisation reste efficace et sécurisé, et conforme à ses exigences documentées.
Tableau des attributs
Le contrôle 5.37 est un contrôle préventif et correctif qui maintient le risque grâce à la création d'une banque de procédures associées aux activités de sécurité de l'information d'une organisation.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #La gestion d'actifs | #Gouvernance et écosystème |
| #Correctif | #Intégrité | #Récupérer | #Sécurité physique | #Protection |
| #Disponibilité | #Sécurité du système et des réseaux | #La défense | ||
| #Sécurité des applications | ||||
| #Configuration sécurisée | ||||
| #Gestion des identités et des accès | ||||
| #Gestion des menaces et des vulnérabilités | ||||
| #Continuité | ||||
| #Gestion des événements de sécurité de l'information |
Propriété du contrôle 5.37
Le contrôle 5.37 traite d'un ensemble diversifié de situations pouvant concerner plusieurs services et fonctions, conformément aux procédures opérationnelles documentées. Cela étant dit, on peut raisonnablement supposer que la plupart de ces procédures auront un impact sur le personnel, les équipements et les systèmes informatiques.
Lorsque cela se produit, la propriété doit appartenir à un membre senior de l'équipe de direction responsable de toutes les activités liées aux TIC, tel qu'un responsable informatique.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Orientations générales sur le contrôle 5.37
Des procédures doivent être créées pour les activités liées à la sécurité de l'information, conformément à 5 considérations opérationnelles clés :
- Toute instance d'une activité exécutée par une ou plusieurs personnes, de la même manière.
- Lorsqu'une activité n'est pas souvent exercée.
- Quand une démarche comporte le risque d’être oubliée.
- Toute nouvelle activité peu familière au personnel et donc soumise à un degré de risque plus élevé.
- Lorsque la responsabilité de l’exercice d’une activité est transférée à un autre employé ou groupe d’employés.
Lorsque de tels cas se produisent, les procédures opérationnelles documentées doivent clairement indiquer :
- Toutes les personnes responsables – qu’il s’agisse des opérateurs historiques ou des nouveaux opérateurs.
- Un ensemble de directives qui maintiennent la sécurité lors de l'installation et de la configuration ultérieure de tout système d'entreprise associé.
- Comment les informations sont traitées tout au long de l'activité.
- Plans BUDR et implications, en cas de perte de données ou d'événement majeur (voir Contrôle 8.13).
- Dépendances liées à tout autre système, y compris la planification.
- Une procédure claire pour traiter les « erreurs de traitement » ou les événements divers susceptibles de se produire (voir Contrôle 8.18).
- Une liste complète du personnel à contacter en cas de perturbation, y compris des procédures de remontée d'informations claires.
- Comment utiliser tout support de stockage pertinent associé à l'activité (voir Contrôles 7.10 et 7.14).
- Comment redémarrer et récupérer après une panne du système.
- Journalisation de la piste d'audit, y compris tous les journaux d'événements et système associés (voir Contrôles 8.15 et 8.17).
- Systèmes de surveillance vidéo qui surveillent les activités sur site (voir Contrôle 7.4).
- Un ensemble solide de procédures de suivi adaptées à la capacité opérationnelle, potentiel de performance et sécurité de ladite activité.
- Comment l'activité doit être maintenue, afin d'être maintenue à des niveaux de performance optimaux.
Toutes les procédures ci-dessus doivent être soumises à des examens périodiques et/ou ad hoc, selon les besoins, et tous les changements doivent être ratifiés par la direction en temps opportun pour protéger les activités de sécurité de l'information dans l'ensemble de l'organisation.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Changements et différences par rapport à la norme ISO 27002:2013
27002:2022-5.37 remplace 27002:2013-12.1.1 (procédures opérationnelles documentées).
27002:2022-5.37 développe 27002:2013-12.1.1 en offrant un ensemble beaucoup plus large de circonstances qui justifieraient le respect d'une procédure documentaire.
27002:2013-12.1.1 répertorie les activités de traitement de l'information telles que les procédures de démarrage et d'arrêt de l'ordinateur, la sauvegarde, la maintenance des équipements, la gestion des supports, tandis que 27002:2022-5.37 étend la portée du contrôle à des activités généralisées non limitées à des activités spécifiques. fonctions techniques.
Hormis quelques ajouts mineurs – tels que la catégorisation des personnes responsables d'une activité – le 27002:2022-5.37 contient les mêmes points d'orientation généraux que le 27002:2013-12.1.1.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
La mise en œuvre de la norme ISO 27002 est simplifiée grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, de la définition du périmètre de votre SMSI à l'identification des risques et à la mise en œuvre des contrôles.
- Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
- Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
- Le vaste L'ensemble d'outils d'évaluation des risques permet d'économiser du temps et des efforts tout au long du processus.
- Nous avons un une équipe de consultants à votre disposition pour vous accompagner vous tout au long de votre parcours vers la conformité.
Contactez-nous dès aujourd'hui pour réserver une démonstration.
