ISO 27002:2022, Contrôle 7.4 – Surveillance de la sécurité physique

Conseils généraux sur la manière de se conformer

Le contrôle 7.4 exige que les organisations mettent en œuvre ces trois étapes pour détecter et dissuader tout accès non autorisé aux installations qui hébergent des informations critiques :

• Étape 1 : Mettre en place un système de vidéosurveillance

Les organisations doivent disposer d'un système de vidéosurveillance, par exemple une caméra de vidéosurveillance, pour surveiller en permanence l'accès aux zones restreintes qui hébergent des informations critiques. De plus, ce système de surveillance doit conserver une trace de toutes les entrées dans les locaux physiques.

• Étape 2 : Installer des détecteurs pour déclencher une alarme

Déclencher une alarme lorsqu'un intrus accède aux locaux physiques permet à l'équipe de sécurité de réagir rapidement aux failles de sécurité. De plus, cela peut également être efficace pour dissuader l’intrus.

Les organisations doivent utiliser des détecteurs de mouvement, de son et de contact qui déclenchent une alarme lorsqu'une activité inhabituelle est détectée dans les locaux physiques.

En particulier:

• Un détecteur de contact doit être installé et doit déclencher une alarme lorsqu'un objet/individu inconnu entre en contact avec un objet ou rompt le contact avec un objet. Par exemple, un détecteur de contact peut être configuré pour déclencher une alarme lorsqu'une fenêtre ou une porte est contactée.
• Les détecteurs de mouvement peuvent être programmés pour déclencher une alarme lorsque le mouvement d'un objet est détecté dans leur champ de vision.
• Les détecteurs sonores tels que les détecteurs de bris de vitre peuvent être activés lorsqu'un son est détecté.

• Étape 3 : Configuration des alarmes pour protéger tous les locaux internes

La troisième étape de conformité nécessite la configuration du système d'alarme pour garantir que toutes les zones sensibles, y compris toutes les portes extérieures, fenêtres, zones inoccupées et salles informatiques, sont à portée du système d'alarme afin qu'il n'y ait aucune vulnérabilité pouvant être exploitée.

Par exemple, si des locaux tels que des zones fumeurs ou encore des entrées de salles de sport ne sont pas surveillés, ceux-ci peuvent être utilisés comme vecteurs d’attaque par des intrus.

Types de systèmes de surveillance

Bien que le contrôle 7.4 n'indique pas que les organisations doivent choisir et mettre en œuvre un système de surveillance spécifique plutôt que d'autres alternatives, il répertorie une gamme d'outils de surveillance qui peuvent être utilisés séparément ou en combinaison avec d'autres :

• Caméras de vidéosurveillance
• Gardes de sécurité
• Alarmes de sécurité pour les intrus
• Outils logiciels pour le physique gestion de la sécurité

Orientations supplémentaires sur le contrôle 7.4

Le contrôle 7.4 souligne que les organisations doivent prendre en compte les éléments suivants lors de la mise en œuvre de systèmes de surveillance de la sécurité physique :

• La conception et le fonctionnement interne des systèmes de surveillance doivent rester confidentiels.
• Approprié des mesures devraient être mises en œuvre pour empêcher la divulgation des informations de surveillance activités et flux vidéo à des parties non autorisées et pour éliminer le risque de désactivation à distance des systèmes de surveillance par des parties malveillantes.
• Les centrales d'alarme doivent être situées dans une zone alarmée et il doit y avoir une voie de sortie sûre et facile pour la personne qui déclenche l'alarme.
• Tous les détecteurs utilisés et les centrales d'alarme utilisées doivent être inviolables.
• La surveillance et l'enregistrement des individus via des systèmes de surveillance, même à des fins légitimes, doivent être conformes à toutes les lois et réglementations applicables, en particulier les lois sur la protection des données. Par exemple, le RGPD UE et Royaume-Uni peut exiger que les organisations effectuent une évaluation d’impact avant le déploiement de caméras de vidéosurveillance. De plus, l'enregistrement des flux vidéo doit respecter les périodes de conservation des données définies par les lois locales applicables.

Changements et différences par rapport à la norme ISO 27002:2013

Le contrôle 7.4 est a nouveau contrôle qui n'a pas été abordé dans la norme ISO 27002:2013 à quelque titre que ce soit.

Comment ISMS.online vous aide

Les Plateforme ISMS.online fournit une gamme d'outils puissants qui simplifient la façon dont vous pouvez documenter, mettre en œuvre, maintenir et améliorer votre système de gestion de la sécurité de l'information (ISMS) et atteindre la conformité à la norme ISO 27002.

L'ensemble complet d'outils vous offre un endroit central où vous pouvez créer un ensemble de politiques et de procédures sur mesure qui s'alignent sur les risques et les besoins spécifiques de votre organisation. Il permet également une collaboration entre collègues ainsi qu’avec des partenaires externes tels que des fournisseurs ou des auditeurs tiers.

Contactez-nous dès aujourd'hui pour réserver une démo.