ISO 27002:2022 – Contrôle 5.37 – Procédures opérationnelles documentées

Objectif du contrôle 5.37

Le contrôle 5.37 traite du concept de sécurité de l'information comme une activité opérationnelle, dont les éléments constitutifs sont réalisés et/ou gérés par une ou plusieurs personnes.

Le contrôle 5.37 décrit une série de procédures opérationnelles qui garantissent un la sécurité des informations de l'organisation l’installation reste efficace et sécurisée, et conforme à leurs exigences documentées.

Tableau des attributs

Le contrôle 5.37 est un préventif et correctif contrôler cela maintient le risque par la création d'une banque de procédures associées à un la sécurité des informations de l'organisation activités.

Propriété du contrôle 5.37

Le contrôle 5.37 traite d'un ensemble diversifié de circonstances qui peuvent potentiellement inclure plusieurs départements et postes dans le cadre de procédures opérationnelles documentées. Cela étant dit, on peut supposer sans risque que la plupart des procédures affecteront le personnel, les équipements et les systèmes TIC.

Lorsque cela se produit, la propriété doit appartenir à un membre senior de l'équipe de direction responsable de toutes les activités liées aux TIC, tel qu'un responsable informatique.

Orientations générales sur le contrôle 5.37

Des procédures doivent être créées pour les activités liées à la sécurité de l'information conformément à 5 considérations opérationnelles clés :

1. Toute instance d'une activité exécutée par une ou plusieurs personnes, de la même manière.
2. Lorsqu'une activité n'est pas souvent exercée.
3. Quand une démarche comporte le risque d’être oubliée.
4. Toute nouvelle activité peu familière au personnel et donc soumise à un degré de risque plus élevé.
5. Lorsque la responsabilité de l’exercice d’une activité est transférée à un autre employé ou groupe d’employés.

Lorsque de tels cas se produisent, les procédures opérationnelles documentées doivent clairement indiquer :

1. Toutes les personnes responsables – qu’il s’agisse des opérateurs historiques ou des nouveaux opérateurs.
2. Un ensemble de directives qui maintiennent la sécurité lors de l'installation et de la configuration ultérieure de tout système d'entreprise associé.
3. Comment les informations sont traitées tout au long de l'activité.
4. Plans BUDR et implications, en cas de perte de données ou d'événement majeur (voir Contrôle 8.13).
5. Dépendances liées à tout autre système, y compris la planification.
6. Une procédure claire pour traiter les « erreurs de traitement » ou les événements divers susceptibles de se produire (voir Contrôle 8.18).
7. Une liste complète du personnel à contacter en cas de perturbation, y compris des procédures de remontée d'informations claires.
8. Comment utiliser tout support de stockage pertinent associé à l'activité (voir Contrôles 7.10 et 7.14).
9. Comment redémarrer et récupérer après une panne du système.
10. Journalisation de la piste d'audit, y compris tous les journaux d'événements et système associés (voir Contrôles 8.15 et 8.17).
11. Systèmes de surveillance vidéo qui surveillent les activités sur site (voir Contrôle 7.4).
12. Un ensemble solide de procédures de suivi adaptées à la capacité opérationnelle, potentiel de performance et sécurité de ladite activité.
13. Comment l'activité doit être maintenue, afin d'être maintenue à des niveaux de performance optimaux.

Toutes les procédures ci-dessus doivent être soumises à des examens périodiques et/ou ad hoc, selon les besoins, et tous les changements doivent être ratifiés par la direction en temps opportun pour protéger les activités de sécurité de l'information dans l'ensemble de l'organisation.

Changements et différences par rapport à la norme ISO 27002:2013

27002:2022-5.37 remplace 27002:2013-12.1.1 (procédures opérationnelles documentées).

27002:2022-5.37 développe 27002:2013-12.1.1 en offrant un ensemble beaucoup plus large de circonstances qui justifieraient le respect d'une procédure documentaire.

27002:2013-12.1.1 répertorie les activités de traitement de l'information telles que les procédures de démarrage et d'arrêt de l'ordinateur, la sauvegarde, la maintenance des équipements, la gestion des supports, tandis que 27002:2022-5.37 étend la portée du contrôle à des activités généralisées non limitées à des activités spécifiques. fonctions techniques.

Hormis quelques ajouts mineurs – tels que la catégorisation des personnes responsables d'une activité – le 27002:2022-5.37 contient les mêmes points d'orientation généraux que le 27002:2013-12.1.1.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.

• Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
• Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
• Le vaste L'ensemble d'outils d'évaluation des risques permet d'économiser du temps et des efforts tout au long du processus.
• Nous avons un une équipe de consultants à votre disposition pour vous accompagner vous tout au long de votre parcours vers la conformité.

Contactez-nous dès aujourd'hui pour réserver une démo.