Objectif du contrôle 7.4
Control 7.4 est un nouveau type de contrôle qui exige que les organisations détectent et préviennent les risques externes et internes les intrus qui pénètrent dans des zones physiques restreintes sans autorisation en mettant en place des outils de surveillance adaptés.
Ces outils de surveillance surveillent et enregistrent en permanence les zones à accès restreint et protègent l'organisation contre les risques pouvant résulter d'un accès non autorisé, y compris, mais sans s'y limiter :
- Vol de données sensibles.
- Perte de ressources informationnelles.
- Dommage financier.
- Vol de supports amovibles à des fins malveillantes.
- Infection des actifs informatiques par un malware.
- Attaques de ransomware pouvant être menées par un intrus.
Tableau des attributs des contrôles 7.4
Le contrôle 7.4 est de nature détective et préventive. Il permet aux organisations de maintenir l'intégrité, la confidentialité, la disponibilité et sécurité des données sensibles et des informations critiques en surveillant en permanence l’accès aux locaux restreints.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité physique | #Protection |
| #Détective | #Intégrité | #Détecter | #La défense | |
| #Disponibilité |
Propriété du contrôle 7.4
Le respect du contrôle 7.4 nécessite l'identification de toutes les zones réglementées et la détermination d'outils de surveillance appropriés à la zone physique concernée.
Par conséquent, les responsables de la sécurité devraient être responsables de la mise en œuvre, de la maintenance, de la gestion et de l’examen appropriés des systèmes de surveillance.
Obtenez une longueur d'avance de 81 %
Nous avons travaillé dur pour vous, vous offrant une longueur d'avance de 81 % dès votre connexion.
Il ne vous reste plus qu'à remplir les espaces vides.
Conseils généraux sur la manière de se conformer
Le contrôle 7.4 exige que les organisations mettent en œuvre ces trois étapes pour détecter et dissuader tout accès non autorisé aux installations qui hébergent des informations critiques :
- Étape 1 : Mettre en place un système de vidéosurveillance
Les organisations doivent disposer d'un système de vidéosurveillance, par exemple une caméra de vidéosurveillance, pour surveiller en permanence l'accès aux zones restreintes qui hébergent des informations critiques. De plus, ce système de surveillance doit conserver une trace de toutes les entrées dans les locaux physiques.
- Étape 2 : Installer des détecteurs pour déclencher une alarme
Déclencher une alarme lorsqu'un intrus accède aux locaux physiques permet à l'équipe de sécurité de réagir rapidement aux failles de sécurité. De plus, cela peut également être efficace pour dissuader l’intrus.
Les organisations doivent utiliser des détecteurs de mouvement, de son et de contact qui déclenchent une alarme lorsqu'une activité inhabituelle est détectée dans les locaux physiques.
En particulier:
- Un détecteur de contact doit être installé et doit déclencher une alarme lorsqu'un objet/individu inconnu entre en contact avec un objet ou rompt le contact avec un objet. Par exemple, un détecteur de contact peut être configuré pour déclencher une alarme lorsqu'une fenêtre ou une porte est contactée.
- Les détecteurs de mouvement peuvent être programmés pour déclencher une alarme lorsque le mouvement d'un objet est détecté dans leur champ de vision.
- Les détecteurs sonores tels que les détecteurs de bris de vitre peuvent être activés lorsqu'un son est détecté.
- Étape 3 : Configuration des alarmes pour protéger tous les locaux internes
La troisième étape de conformité nécessite la configuration du système d'alarme pour garantir que toutes les zones sensibles, y compris toutes les portes extérieures, fenêtres, zones inoccupées et salles informatiques, sont à portée du système d'alarme afin qu'il n'y ait aucune vulnérabilité pouvant être exploitée.
Par exemple, si des locaux tels que des zones fumeurs ou encore des entrées de salles de sport ne sont pas surveillés, ceux-ci peuvent être utilisés comme vecteurs d’attaque par des intrus.
Types de systèmes de surveillance
Bien que le contrôle 7.4 n'indique pas que les organisations doivent choisir et mettre en œuvre un système de surveillance spécifique plutôt que d'autres alternatives, il répertorie une gamme d'outils de surveillance qui peuvent être utilisés séparément ou en combinaison avec d'autres :
- Caméras de vidéosurveillance
- Gardes de sécurité
- Alarmes de sécurité pour les intrus
- Outils logiciels pour le physique gestion de la sécurité
Gérez toute votre conformité en un seul endroit
ISMS.online prend en charge plus de 100 normes
et réglementations, vous donnant un seul
plateforme pour tous vos besoins de conformité.
Orientations supplémentaires sur le contrôle 7.4
Le contrôle 7.4 souligne que les organisations doivent prendre en compte les éléments suivants lors de la mise en œuvre de systèmes de surveillance de la sécurité physique :
- La conception et le fonctionnement interne des systèmes de surveillance doivent rester confidentiels.
- Approprié des mesures devraient être mises en œuvre pour empêcher la divulgation des informations de surveillance activités et flux vidéo à des parties non autorisées et pour éliminer le risque de désactivation à distance des systèmes de surveillance par des parties malveillantes.
- Les centrales d'alarme doivent être situées dans une zone alarmée et il doit y avoir une voie de sortie sûre et facile pour la personne qui déclenche l'alarme.
- Tous les détecteurs utilisés et les centrales d'alarme utilisées doivent être inviolables.
- La surveillance et l'enregistrement des individus via des systèmes de surveillance, même à des fins légitimes, doivent être conformes à toutes les lois et réglementations applicables, en particulier les lois sur la protection des données. Par exemple, le RGPD UE et Royaume-Uni peut exiger que les organisations effectuent une évaluation d’impact avant le déploiement de caméras de vidéosurveillance. De plus, l'enregistrement des flux vidéo doit respecter les périodes de conservation des données définies par les lois locales applicables.
Changements et différences par rapport à la norme ISO 27002:2013
Le contrôle 7.4 est a nouveau contrôle qui n'a pas été abordé dans la norme ISO 27002:2013 à quelque titre que ce soit.
Nouveaux contrôles ISO 27002
Nouveaux contrôles
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Équipement | Intelligence de la menace |
| 5.23 | Équipement | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Équipement | Préparation aux TIC pour la continuité des activités |
| 7.4 | Équipement | Surveillance de la sécurité physique |
| 8.9 | Équipement | Gestion de la configuration |
| 8.10 | Équipement | Suppression des informations |
| 8.11 | Équipement | Masquage des données |
| 8.12 | Équipement | Prévention des fuites de données |
| 8.16 | Équipement | Activités de surveillance |
| 8.23 | Équipement | filtrage web |
| 8.28 | Équipement | Codage sécurisé |
Contrôles organisationnels
Contrôles des personnes
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
Contrôles physiques
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Équipement | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Contrôles technologiques
Comment ISMS.online vous aide
Pour Plateforme ISMS.online fournit une gamme d'outils puissants qui simplifient la façon dont vous pouvez documenter, mettre en œuvre, maintenir et améliorer votre système de gestion de la sécurité de l'information (ISMS) et atteindre la conformité à la norme ISO 27002.
L'ensemble complet d'outils vous offre un endroit central où vous pouvez créer un ensemble de politiques et de procédures sur mesure qui s'alignent sur les risques et les besoins spécifiques de votre organisation. Il permet également une collaboration entre collègues ainsi qu’avec des partenaires externes tels que des fournisseurs ou des auditeurs tiers.
Contactez-nous dès aujourd'hui pour réserver une démo.
Aller au sujet
Obtenez une certification jusqu'à 5 fois plus rapidement
Remplissez simplement les blancs.
Demander demo Demande de Pro forma
