Qu'est-ce que le contrôle 5.9 Inventaire des informations et autres actifs associés ?
Le contrôle 5.9 de la norme ISO 27002:2022 révisée décrit comment un inventaire des informations et autres actifs associés, y compris les propriétaires, doit être développé et tenu à jour.
Inventaire des actifs informationnels expliqué
Afin de mener à bien ses activités, l’organisation a besoin de savoir de quels actifs informationnels elle dispose.
An inventaire des actifs informationnels (IA) est une liste de tout ce qu'une organisation stocke, traite ou transmet. Il comprend également l'emplacement et les contrôles de sécurité pour chaque article. L’objectif est d’identifier chaque élément de données. Vous pouvez le considérer comme l’équivalent comptable de la protection des données en matière de comptabilité financière.
Une IA peut être utilisée pour identifier les lacunes de votre programme de sécurité et éclairer les évaluations des cyber-risques où vous pouvez avoir des vulnérabilités qui pourraient conduire à une violation. Il peut également être utilisé comme preuve lors des audits de conformité que vous avez fait preuve de diligence raisonnable dans l'identification de vos données sensibles, ce qui vous aide à éviter des amendes et des pénalités.
inventaire des actifs informationnels devrait également inclure des détails sur qui possède chaque actif et qui le gère. Il doit également inclure des informations sur la valeur de chaque article de l'inventaire et sur son importance pour le succès des opérations commerciales de l'organisation.
Il est important que les inventaires soient tenus à jour afin qu'ils reflètent les changements au sein de l'organisation.
Pourquoi ai-je besoin d’un inventaire des actifs informationnels ?
La gestion des actifs informationnels a une longue histoire dans la planification de la continuité des activités (BCP), la reprise après sinistre (DR) et la planification de la réponse aux incidents.
La première étape de chacun de ces processus consiste à identifier les systèmes, réseaux, bases de données, applications, flux de données et autres composants critiques qui nécessitent une protection. Si vous ne savez pas ce qui doit être protégé ni où il se trouve, vous ne pouvez pas planifier comment le protéger !
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Attributs Table de contrôle 5.9
Les contrôles sont classés à l'aide d'attributs. Grâce à ceux-ci, vous pouvez rapidement faire correspondre votre sélection de commandes avec les termes et spécifications couramment utilisés dans l'industrie.
Ce tableau complète le travail que de nombreux clients effectuent actuellement dans le cadre de leur évaluation des risques et SOA en identifiant la confidentialité, l’intégrité et la disponibilité – et d’autres facteurs. Dans le contrôle 5.9, les attributs sont :
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #La gestion d'actifs | #Gouvernance et écosystème |
| #Intégrité | #Protection | |||
| #Disponibilité |
Quel est le but du contrôle 5.9 ?
Le but de ce contrôle est d'identifier les informations de l'organisation et les autres actifs associés afin de préserver la sécurité de leurs informations et d'en attribuer la propriété appropriée.
Le contrôle 5.9 couvre le contrôle, l'objectif et les conseils de mise en œuvre pour la création d'un inventaire des informations et autres actifs associés conformément au cadre ISMS tel que défini par la norme ISO 27001.
Le contrôle nécessite de dresser un inventaire de toutes les informations et autres actifs associés, de les classer en catégories distinctes, d'identifier leurs propriétaires et de documenter les contrôles qui sont ou devraient être en place.
Il s’agit d’une étape cruciale pour garantir que tous les actifs informationnels sont correctement protégés.
Qu'est-ce que cela implique et comment répondre aux exigences
À répondre aux exigences de la nouvelle norme ISO 27002:2022, vous devez identifier les informations et autres actifs associés au sein de votre organisation. Ensuite, vous devez déterminer l'importance de ces éléments en termes de sécurité des informations. Le cas échéant, la documentation doit être conservée dans des inventaires dédiés ou existants.
L'approche pour développer un inventaire variera en fonction de la taille et de la complexité d'une organisation, de ses contrôles et politiques existants, ainsi que des types d'informations et autres actifs associés qu'elle utilise.
Selon le contrôle 5.9, l'inventaire des informations et autres actifs associés doit être précis, à jour, cohérent et aligné avec d'autres inventaires. Les options permettant de garantir l’exactitude d’un inventaire d’informations et d’autres actifs associés comprennent :
a) effectuer des examens réguliers des informations identifiées et des autres actifs associés par rapport à l'inventaire des actifs ;
b) appliquer automatiquement une mise à jour de l'inventaire lors du processus d'installation, de modification ou de suppression d'un actif.
L'emplacement d'un actif doit être inclus dans l'inventaire, le cas échéant.
Certaines organisations peuvent avoir besoin de maintenir plusieurs inventaires à des fins différentes. Par exemple, certaines organisations disposent d'inventaires dédiés aux licences logicielles ou aux équipements physiques tels que les ordinateurs portables et les tablettes.
D'autres peuvent disposer d'un inventaire unique incluant tous les équipements physiques, y compris les périphériques réseau tels que les routeurs et les commutateurs. Il est important que ces inventaires soient régulièrement examinés pour s'assurer qu'ils sont tenus à jour afin qu'ils puissent être utilisés pour aider à la gestion des risques activités.
De plus amples informations sur le respect des exigences du contrôle 5.9 sont disponibles dans le nouveau document ISO 27002:2022.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Différences entre ISO 27002:2013 et ISO 27002:2022
Dans la norme ISO 27002 : 2022, 57 contrôles de la norme ISO 27002 : 2013 ont été fusionnés en 24 contrôles. Vous ne trouverez donc pas le contrôle 5.9 comme Inventaire des informations et autres biens associés dans la version 2013. Plutôt dans la version 2022, il s'agit d'une combinaison du contrôle 8.1.1 Inventaire des actifs et du contrôle 8.1.2 Propriété des actifs.
L'objectif du contrôle 8.1.1 L'inventaire des actifs est de garantir que tous les actifs informationnels sont identifiés, documentés et régulièrement examinés, et que des processus et procédures appropriés sont en place pour garantir la sécurité de cet inventaire.
Contrôle 8.1.2 Propriété des actifs est chargé de garantir que tous les actifs informationnels sous son contrôle sont correctement identifiés et détenus. Savoir qui possède quoi peut vous aider à déterminer quels actifs vous devez protéger et envers qui vous devez rendre des comptes.
Bien que les deux contrôles de l'ISO 27002:2013 soient similaires au contrôle 5.9 de l'ISO 27002:2022, ce dernier a été élargi pour permettre une interprétation plus conviviale. Par exemple, les directives de mise en œuvre pour la propriété des actifs sous contrôle 8.1.2 stipulent que le propriétaire de l'actif doit :
a) veiller à ce que les actifs soient inventoriés ;
b) veiller à ce que les actifs soient correctement classés et protégés ;
c) définir et réviser périodiquement les restrictions d'accès et les classifications aux actifs importants, en tenant compte des politiques de contrôle d'accès applicables ;
d) assurer un traitement approprié lorsque l’actif est supprimé ou détruit.
Ces 4 points ont été développés en 9 points dans la section propriété du contrôle 5.9.
le propriétaire des actifs devrait être responsable de la bonne gestion d’un actif tout au long de son cycle de vie, en garantissant que :
a) les informations et autres actifs associés sont inventoriés ;
b) les informations et autres actifs associés sont correctement classés et protégés ;
c) la classification est revue périodiquement ;
d) les composants prenant en charge les actifs technologiques sont répertoriés et liés, tels que la base de données, le stockage, les composants et sous-composants logiciels ;
e) des exigences relatives à l'utilisation acceptable des informations et autres actifs associés (voir 5.10) sont établies ;
f) les restrictions d'accès correspondent à la classification et qu'elles sont efficaces et sont révisées périodiquement ;
g) les informations et autres actifs associés, lorsqu'ils sont supprimés ou éliminés, sont traités de manière sécurisée et retirés de l'inventaire ;
h) ils sont impliqués dans l'identification et la gestion des risques associés à leur(s) actif(s) ;
i) ils soutiennent le personnel qui a le rôles et responsabilités dans la gestion de leurs informations.
La fusion de ces deux contrôles pour n’en former qu’un seul permet une meilleure compréhension par l’utilisateur.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Que signifient ces changements pour vous ?
Les dernières modifications ISO 27002 n'ont aucun effet sur votre certification actuelle selon les normes ISO 27001. Les mises à niveau ISO 27001 sont les seules à avoir une influence sur les certifications existantes, et les organismes d'accréditation collaboreront avec les organismes de certification pour développer un cycle de transition qui donnera aux organisations disposant de certificats ISO 27001 suffisamment de temps pour passer d'une version à une autre.
Cela dit, les étapes suivantes sont à suivre pour respecter la version révisée :
- Assurez-vous que votre entreprise est en conformité avec la nouvelle exigence en examinant votre registre des risques et votre gestion des risques les pratiques.
- La SoA devrait être révisée pour refléter les changements apportés au Annexe A.
- Vos politiques et processus doivent être mis à jour pour se conformer à la nouvelle réglementation.
De nouvelles meilleures pratiques et qualités pour la sélection des contrôles seront disponibles pendant la période de transition vers la nouvelle norme, ce qui permettra un processus de sélection plus efficace et efficient.
Pour cette raison, vous devez continuer à utiliser une approche basée sur les risques pour garantir que seuls les les contrôles les plus pertinents et les plus efficaces sont choisis pour votre entreprise.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
Voici à quoi vous utilisez ISMS.online pour gérer votre mise en œuvre de la norme ISO 27002, car elle a été conçue spécifiquement pour aider une entreprise à mettre en œuvre son système de gestion de la sécurité de l'information (ISMS) afin de répondre aux exigences de la norme ISO 27002.
La plateforme utilise une approche basée sur les risques combinée aux meilleures pratiques et modèles de pointe du secteur pour vous aider à identifier les risques auxquels votre organisation est confrontée et les contrôles nécessaires pour gérer ces risques. Cela vous permet de réduire systématiquement à la fois votre exposition aux risques et vos coûts de conformité.
En utilisant ISMS.en ligne vous pouvez:
- Implémentez rapidement un système de gestion de la sécurité de l’information (ISMS).
- Gérez facilement la documentation de votre SMSI.
- Rationalisez la conformité à toutes les normes pertinentes.
- Gérez tous les aspects de la sécurité des informations, de la gestion des risques à la formation de sensibilisation à la sécurité.
- Communiquez efficacement au sein de votre organisation grâce à notre fonctionnalité de communication intégrée.
Plateforme ISMS.online est basé sur Plan-Do-Check-Act (PDCA), un processus itératif en quatre étapes d'amélioration continue, et répond à toutes les exigences de la norme ISO 27002:2022. Il suffit de créer un compte d'essai gratuit et de suivre les étapes que nous vous proposons.
Contactez-nous dès aujourd'hui pour réserver une démo.
