Assurer une maintenance sécurisée et conforme des équipements sous contrôle ISO 27002 7.13
Les équipements informatiques tels que les serveurs, les ordinateurs portables, les périphériques réseau et les imprimantes sont essentiels à de nombreuses opérations de traitement de l'information telles que le stockage, l'utilisation et le transfert d'actifs informationnels.
Cependant, si cet équipement n’est pas entretenu en tenant compte des spécifications du produit et des risques environnementaux, sa qualité et ses performances peuvent se dégrader. Ce manque de maintenance peut compromettre la disponibilité, l'intégrité et confidentialité des actifs informationnels stockés sur cet équipement.
Par exemple, si une organisation ne parvient pas à effectuer une maintenance régulière sur le matériel du serveur, elle peut ne pas reconnaître que l'espace disque est plein. Cela peut entraîner une perte de données transmises vers ou hors du serveur.
Par ailleurs, des salariés ou des prestataires externes peuvent accéder aux équipements informatiques dans le cadre de la procédure de maintenance, ce qui peut également présenter des risques sur la confidentialité des informations sensibles.
Par exemple, un fournisseur de services de maintenance externe peut accéder aux informations sensibles stockées sur les ordinateurs portables ou installer des logiciels malveillants sur les appareils.
Le contrôle 7.13 traite de la manière dont les organisations peuvent établir et mettre en œuvre des procédures et des mesures appropriées pour la maintenance appropriée des équipements afin que le actifs informationnels stockés sur cet équipement ne sont pas compromis.
Objectif du contrôle 7.13
Le contrôle 7.13 permet aux organisations de mettre en place les mesures et procédures techniques nécessaires pour mener à bien les activités de maintenance sur les équipements utilisés pour stocker les actifs informationnels.
Ces mesures et procédures garantissent que les actifs informationnels ne sont pas perdus ou endommagés, et qu'ils ne sont pas exposés au risque de compromission tel qu'un accès non autorisé.
Attributs Table de contrôle 7.13
Le contrôle 7.13 est un type de contrôle préventif qui oblige les organisations à adopter une approche proactive en matière de maintenance des équipements.
Il s'agit de détecter les risques pouvant survenir du fait d'un manque de maintenance, d'établir des procédures de maintenance des équipements tenant compte des spécifications de chaque équipement et d'appliquer des procédures appropriées. contrôles qui protégeront les actifs informationnels hébergés sur cet équipement contre compromission.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité physique | #Protection |
| #Intégrité | #La gestion d'actifs | #Résistance | ||
| #Disponibilité |
La conformité ne doit pas être compliquée.
Nous avons travaillé dur pour vous, vous offrant une longueur d'avance de 81 % dès votre connexion.
Il ne vous reste plus qu'à remplir les espaces vides.
Propriété du contrôle 7.13
Le respect du contrôle 7.13 implique la création d'une liste d'équipements, effectuer une évaluation des risques sur la base de facteurs environnementaux et des spécifications du produit et en établissant et en mettant en œuvre des procédures et des mesures appropriées pour un entretien approprié.
Bien que le rôle des personnes manipulant quotidiennement cet équipement soit essentiel, le responsable de la sécurité de l'information doit assumer la responsabilité du respect du contrôle 7.13.
Orientations générales sur la conformité
Le contrôle 7.13 énumère 11 recommandations spécifiques que les organisations doivent prendre en compte :
- Les procédures de maintenance doivent être conformes aux spécifications du fabricant de l'équipement, telles que la fréquence d'entretien recommandée.
- Les organisations doivent établir et appliquer un programme de maintenance pour tous les équipements.
- Seul le personnel autorisé ou des tiers doivent être autorisés à effectuer des activités de maintenance ou de réparation sur l'équipement.
- Les organisations doivent créer et conserver un enregistrement de tous les dysfonctionnements et pannes des équipements. De plus, ce dossier doit également inclure toutes les activités de maintenance effectuées sur l'équipement.
- Les organisations doivent appliquer des mesures appropriées lors de l'exécution de la maintenance, en fonction du fait que la maintenance soit effectuée par un employé ou par un prestataire de services tiers. En outre, le personnel concerné doit signer un accord de confidentialité.
- Le personnel effectuant les travaux de maintenance doit être surveillé à tout moment.
- Les travaux de maintenance à distance doivent être soumis à des procédures d'accès et d'autorisation strictes.
- Si un équipement est retiré des locaux pour des travaux de maintenance, les organisations doivent appliquer des mesures de sécurité appropriées conformément au contrôle 7.9.
- Les organisations doivent respecter toutes les exigences imposées par les assureurs sur la manière d'effectuer la maintenance.
- Les organisations doivent inspecter les équipements qui ont fait l’objet de travaux de maintenance pour s’assurer qu’ils ne sont pas altérés et qu’ils fonctionnent correctement.
- Si l'équipement doit être éliminé ou réutilisé, les organisations doivent établir et mettre en œuvre des mesures et procédures appropriées en tenant compte des exigences énoncées dans le contrôle 7.14.
Orientations supplémentaires sur le contrôle 7.14
Le contrôle 7.13 indique que les éléments suivants sont considérés comme des équipements et relèvent de la portée du contrôle 7.13 :
- Composants techniques des installations de traitement de l'information
- Piles et batteries
- Extincteurs
- Ascenseurs
- Convertisseurs de puissance
- Climatiseurs
- Actifs similaires
Gérez toute votre conformité en un seul endroit
ISMS.online prend en charge plus de 100 normes
et réglementations, vous donnant un seul
plateforme pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002: 2022 / 7.13 remplace 27002:2013/(11.2.4)
La version 2022 contient des exigences plus complètes
Par rapport à la version 2013, le Control 7.13 de la version 2022 définit des exigences plus complètes. Alors que la version 2013 ne listait que six exigences spécifiques, le Control 7.13 contient 11 exigences.
Control 7.13 introduit les cinq exigences suivantes, qui n'ont pas été abordées dans la version 2013 :
- Les organisations doivent établir et appliquer un programme de maintenance pour tous les équipements.
- Le personnel effectuant les travaux de maintenance doit être surveillé à tout moment.
- Les travaux de maintenance à distance doivent être soumis à des procédures d'accès et d'autorisation strictes.
- Si l'équipement doit être éliminé ou réutilisé, les organisations doivent établir et mettre en œuvre des mesures et des procédures appropriées conformément au contrôle 7.14.
- Si un équipement est retiré des locaux pour des travaux de maintenance, les organisations doivent appliquer des mesures de sécurité appropriées conformément au contrôle 7.9.
La version 2022 définit « l'équipement »
Dans les orientations supplémentaires, le contrôle 7.13 définit ce qui entre dans le champ d'application de « Équipement ». En revanche, la version 2013 ne faisait pas référence à la signification du terme « équipement ».
Nouveaux contrôles ISO 27002
Nouveaux contrôles
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Équipement | Intelligence de la menace |
| 5.23 | Équipement | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Équipement | Préparation aux TIC pour la continuité des activités |
| 7.4 | Équipement | Surveillance de la sécurité physique |
| 8.9 | Équipement | Gestion de la configuration |
| 8.10 | Équipement | Suppression des informations |
| 8.11 | Équipement | Masquage des données |
| 8.12 | Équipement | Prévention des fuites de données |
| 8.16 | Équipement | Activités de surveillance |
| 8.23 | Équipement | filtrage web |
| 8.28 | Équipement | Codage sécurisé |
Contrôles organisationnels
Contrôles des personnes
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
Contrôles physiques
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Équipement | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Contrôles technologiques
Comment ISMS.online vous aide
ISMS.Online vous permet de :
- Documentez vos processus. Cette interface intuitive vous permet de documenter vos processus sans installer de logiciel sur votre ordinateur ou votre réseau.
- Automatisez votre processus d'évaluation des risques.
- Démontrez facilement votre conformité avec des rapports et des listes de contrôle en ligne.
- Gardez une trace des progrès tout en travaillant vers la certification.
- ISMS.Online offre une gamme complète de fonctionnalités pour aider les organisations et les entreprises à se conformer aux norme industrielle ISO 27001 et/ou ISO 27002 ISMS.
Contactez-nous dès aujourd'hui pour réserver une démo.
Aller au sujet
Obtenez une certification jusqu'à 5 fois plus rapidement
Remplissez simplement les blancs.
Demander demo Demande de Pro forma
