ISO 27002:2022, Contrôle 7.10 – Supports de stockage

Quels supports de stockage sont couverts par Control 7.10 ?

Le contrôle 7.10 s'applique à la fois aux supports de stockage numériques et physiques. Par exemple stockage d'informations sur des fichiers physiques est également couvert par le contrôle 7.10.

En outre, outre les supports de stockage amovibles, les supports de stockage fixes tels que les disques durs sont également soumis au contrôle 7.10.

Propriété du contrôle 7.10

Le contrôle 7.10 exige que les organisations créent et mettent en œuvre des procédures appropriées, des contrôles techniques et des politiques à l'échelle de l'organisation sur l'utilisation des supports de stockage, basées sur le propre système de classification de l'organisation et ses exigences en matière de traitement des données telles que les obligations légales et contractuelles.

Compte tenu de cela, les responsables de la sécurité de l’information devraient être responsables de l’ensemble du processus de conformité.

Orientations générales sur la conformité

Supports de stockage amovibles

Bien que les supports de stockage amovibles soient essentiels à de nombreuses opérations commerciales et qu'ils soient couramment utilisés par la plupart du personnel, ils présentent le plus haut degré de risque pour les informations sensibles.

Control 7.10 répertorie dix exigences que les organisations doivent respecter pour la gestion des supports de stockage amovibles tout au long de leur cycle de vie :

1. Les organisations doivent établir une politique thématique spécifique sur l’acquisition, l’autorisation, l’utilisation et l’élimination des supports de stockage amovibles. Cette politique doit être communiquée à tout le personnel et à toutes les parties concernées.
2. Si cela est pratique et nécessaire, les organisations doivent mettre en place des procédures d'autorisation sur la manière dont les supports de stockage amovibles peuvent être retirés des locaux de l'entreprise. En outre, les organisations doivent conserver des journaux de retrait des supports de stockage à des fins de piste d’audit.
3. Tous les supports de stockage amovibles doivent être stockés dans une zone sécurisée telle qu'un coffre-fort, en tenant compte du niveau de classification des informations attribué à l'information et des menaces environnementales et physiques pesant sur les supports de stockage.
4. Si la confidentialité et l'intégrité des informations contenues sur les supports de stockage amovibles revêtent une importance cruciale, des techniques cryptographiques doivent être utilisées pour protéger les supports de stockage contre tout accès non autorisé.
5. Contre le risque de dégradation des supports de stockage amovibles et de perte des informations stockées sur le support, les informations doivent être transférées vers un nouveau périphérique de stockage avant qu'un tel risque ne se produise.
6. Les informations critiques et sensibles doivent être copiées et stockées sur plusieurs supports de stockage afin de minimiser le risque de perte d'informations critiques.
7. Pour atténuer le risque de perte totale d’informations, l’enregistrement des périphériques de stockage amovibles peut être une option à envisager.
8. À moins qu’il n’y ait une raison professionnelle d’utiliser des ports de supports de stockage amovibles tels que des ports USB ou des emplacements pour carte SD, ils ne devraient pas être autorisés.
9. Un mécanisme de surveillance doit être mis en place pour le transfert d'informations vers des périphériques de stockage amovibles.
10. Lorsque des informations contenues sur des supports physiques tels que des papiers sont transférées par courrier ou par courrier, il existe un risque élevé d'accès non autorisé à ces informations. Des mesures appropriées doivent donc être appliquées.

Conseils sur la réutilisation et l'élimination sécurisées des supports de stockage

Control 7.10 fournit des conseils distincts sur la réutilisation et l'élimination sécurisées des supports de stockage afin que les organisations puissent atténuer et éliminer les risques de compromission de la confidentialité des informations.

Le contrôle 7.10 souligne que les organisations doivent définir et appliquer des procédures de réutilisation et d'élimination des supports de stockage, en tenant compte du niveau de sensibilité des informations contenues dans les supports de stockage.

En établissant ces procédures, les organisations doivent prendre en compte les éléments suivants :

1. Si un support de stockage doit être réutilisé par une partie interne au sein d'une organisation, les informations sensibles hébergées sur ce support de stockage doivent être supprimées ou reformatées de manière irréversible avant d'être autorisées à être réutilisées.
2. Les supports de stockage hébergeant des informations sensibles doivent être détruits de manière sécurisée lorsqu’ils ne sont plus nécessaires. Par exemple, les documents papier peuvent être déchiquetés et les équipements numériques peuvent être physiquement détruits.
3. Il devrait y avoir une procédure pour l'identification des éléments de support de stockage qui doivent être éliminés.
4. Lorsque les organisations choisissent de travailler avec une partie externe pour gérer la collecte et l'élimination des supports de stockage, elles doivent prendre les mesures nécessaires. diligence pour s’assurer que le fournisseur choisi est compétent et il met en œuvre des contrôles appropriés.
5. Tenir un registre de tous les articles éliminés pour Piste d'audit.
6. Lorsque plusieurs supports de stockage doivent être éliminés ensemble, l'effet d'accumulation doit être pris en compte : la combinaison de différents éléments d'information de chaque support de stockage peut transformer des informations non sensibles en informations sensibles.

Dernier point mais non le moindre, le Contrôle 7.10 exige que les organisations effectuent une évaluation des risques sur les équipements endommagés stockant des informations confidentielles décider si l'équipement doit être détruit au lieu d'être réparé.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/7.10 remplace 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Il y a quatre différences clés qui doivent être soulignées :

• Changements structurels

Alors que la version 2013 contenait trois contrôles sur la gestion des médias, de l'élimination des médias et du transfert des médias physiques, la version 2022 combine ces trois contrôles sous le contrôle 7.10.

• La version 2022 inclut des exigences pour la réutilisation des supports de stockage

Contrairement à la version 2013 qui traitait uniquement de l'élimination sécurisée des supports de stockage, la version 2022 traite également de la réutilisation sécurisée des supports de stockage.

• La version 2013 contient des exigences plus complètes pour le transfert physique des supports de stockage

La version 2013 impliquait des exigences plus complètes pour le transfert physique des supports de stockage. Par exemple, la version 2013 comprenait des règles sur la vérification de l'identité des coursiers et des normes d'emballage.

En revanche, le contrôle 7.10 de la version 2022 indiquait uniquement que les organisations devaient agir avec diligence lors du choix des prestataires de services tels que les coursiers.

• La version 2022 nécessite une politique spécifique à un sujet sur les supports de stockage amovibles

Alors que les versions 2022 et 2013 sont dans une large mesure similaires en termes d'exigences relatives aux supports de stockage amovibles, la version 2022 introduit l'exigence d'établir une politique thématique spécifique sur les supports de stockage amovibles. La version 2013, en revanche, ne répondait pas à cette exigence.

Comment ISMS.online vous aide

Les Plateforme ISMS.online utilise une approche basée sur les risques combinée aux meilleures pratiques et modèles de pointe du secteur pour vous aider à identifier les risques auxquels votre organisation est confrontée et les contrôles nécessaires pour gérer ces risques. Cela vous permet de réduire systématiquement à la fois votre exposition aux risques et vos coûts de conformité.

Contactez-nous dès aujourd'hui pour réserver une démo.