ISO 27002:2022, Contrôle 5.5 – Contact avec les autorités

Quel est le but du contrôle 5.5 ?

L'objectif du contrôle 5.5 est de garantir un flux approprié d'informations en ce qui concerne la sécurité de l'information entre l'organisation et les autorités juridiques, réglementaires et de surveillance compétentes. Un forum approprié de dialogue et de coopération entre la Société et les autorités juridiques, réglementaires et de surveillance compétentes doit être mis en place.

Le contrôle 5.5 couvre les exigences, l'objectif et les instructions de mise en œuvre sur la manière d'identifier et de signaler les événements liés à la sécurité des informations en temps opportun, ainsi que qui et comment contacter en cas d'incident.

L'objectif du contrôle 5.5 est d'identifier les parties prenantes (par exemple, les forces de l'ordre, les organismes de réglementation, les autorités de surveillance) qui devraient être contactées en cas d'événement de sécurité. Il est important que vous ayez déjà identifié ces parties prenantes avant qu'un incident ne survienne.

Le contact avec les autorités signifie que l'organisation doit établir et mettre en œuvre une communication informelle avec les autorités concernant les questions de sécurité de l'information, notamment :

• Communication continue avec les autorités compétentes pour garantir que le l'organisation est consciente des menaces et des vulnérabilités actuelles.
• Informer les autorités compétentes des vulnérabilités découvertes dans les produits, services ou systèmes de l'organisation.
• Recevoir des informations des autorités compétentes sur les menaces et les vulnérabilités.

Qu'est-ce que cela implique et comment répondre aux exigences

L'objectif principal du contrôle 5.5 est d'établir la relation de l'organisation avec les forces de l'ordre en ce qui concerne gérer les risques liés à la sécurité de l'information.

Pour répondre aux exigences du contrôle 5.5, il est prévu que si un un incident de sécurité des informations est découvert, l'organisation doit préciser quand et par quelles autorités (telles que les forces de l'ordre, les organismes de réglementation et les autorités de surveillance) doivent être informées, ainsi que la manière dont les incidents de sécurité des informations identifiés doivent être signalés en temps opportun.

L'échange d'informations avec les autorités devrait également permettre de mieux connaître les attentes actuelles et futures de ces agences (par exemple les réglementations applicables en matière de sécurité de l'information).

Cette exigence vise à garantir que l'organisation dispose d'une stratégie cohérente pour ses relations avec les organismes chargés de l'application de la loi et qu'elle a identifié le point de contact le plus approprié au sein de ces organismes.

Les contacts avec les organismes de réglementation sont également utiles pour anticiper et se préparer aux changements à venir dans les lois ou réglementations pertinentes qui affectent l'organisation.

Différences entre ISO 27002:2013 et ISO 27002:2022

Contrôle 5.5 : Le contact avec les autorités n'est pas un ajout nouveau dans la norme ISO 27002 : 2022. Il s'agit d'un contrôle existant dans la norme ISO 27002:2013 d'origine avec le numéro de contrôle 6.1.3. Cela signifie que le le numéro de contrôle a été modifié dans la nouvelle version de la norme ISO 27002.

Outre le changement du numéro de contrôle, la phraséologie a également été modifiée. Où le contrôle 5.5 indique que « l'organisation doit établir et maintenir des contacts avec les autorités compétentes ». Le contrôle 6.1.3 stipule que « des contacts appropriés avec les autorités compétentes doivent être maintenus ». Ce changement de phraséologie vise à rendre ce contrôle plus convivial.

Dans la version 2022, une finalité de contrôle a été incluse. Ceci n'est pas disponible dans la version 2013.

Dans le même temps, même si l’essence des deux commandes reste la même, il existe de subtiles variations qui les différencient.

Le contrôle 5.5 de la norme ISO 27002:2022 ajoute en outre que les contacts avec les autorités doivent également être utilisés pour faciliter la compréhension des attentes actuelles et futures de ces autorités (par exemple, les réglementations applicables en matière de sécurité de l'information). Ceci manque dans la version 2013.

Qui est en charge de ce processus ?

Les personne responsable de ce rôle est généralement le responsable de la sécurité de l’information.

D'autres personnes peuvent remplir cette fonction, mais elles doivent relever du responsable de la sécurité de l'information afin de pouvoir surveiller ces activités. Cela maintient un message cohérent et garantit une relation cohérente avec les autorités.

Que signifient ces changements pour vous ?

Lorsqu’une nouvelle norme de certification est publiée, il y aura généralement une période de transition. Pour la majorité des cycles de certification, il existe une période de transition de deux à trois ans.

Cela dit, la dernière édition de la norme ISO 27002 est absolument essentielle si vous envisagez de déployer un SMSI (et potentiellement même envisager une certification ISMS) et vous devez vous assurer que vos mesures de sécurité sont à jour.

Parmi les activités à réaliser figurent, sans s'y limiter, les suivantes :

• Acheter la norme la plus récente.
• Examinez la nouvelle norme pour voir comment elle a changé. La norme fournira un tableau de mappage qui montrera comment la nouvelle norme correspond à la norme ISO 27002:2013.
• Conduire un analyse de risque ainsi qu'une analyse des écarts de contrôle.
  Sélectionnez les contrôles pertinents et modifiez votre Politiques, normes et autres documents SMSI.
• Apportez les modifications nécessaires à votre Déclaration d'applicabilité.
• Vous devez réviser votre programme d'audit interne pour refléter les contrôles améliorés que vous avez choisis.

Veuillez consulter notre guide sur la norme ISO 27002:2022, où vous pourrez en savoir plus sur la manière dont ces modifications apportées au contrôle 5.5 affecteront votre organisation.

Comment ISMS.online vous aide

Garder une trace de vos contrôles de sécurité de l'information est l'un des aspects les plus difficiles de la mise en œuvre d'un Un SMSI conforme à la norme ISO 27001. Mais notre plateforme basée sur le cloud rend cela facile.

Notre plateforme basée sur le cloud vous offre un cadre robuste de sécurité de l'information contrôles afin que vous puissiez vérifier votre processus ISMS au fur et à mesure pour vous assurer qu'il répond aux exigences de la norme ISO 27k. Utilisé correctement, ISMS. en ligne peut vous aider à obtenir la certification avec le strict minimum de temps et de ressources.

Contactez-nous dès aujourd'hui pour réserver une démo.