ISO 27002:2022 – Contrôle 7.7 – Bureau clair et écran clair

ISO 27002 Contrôle 7.7 : Renforcement de la sécurité grâce à des pratiques de bureau et d'écran clairs

Lorsqu'un employé laisse son poste de travail sans surveillance, les informations sensibles contenues dans les supports numériques et physiques présents sur son espace de travail seront exposées à un risque accru d'accès non autorisé, de perte de confidentialité et de dommages.

Par exemple, si un employé utilise un outil de gestion de la relation client qui traite les dossiers de santé et laisse son ordinateur sans surveillance pendant une pause déjeuner, des parties malveillantes peuvent profiter de cette opportunité pour voler et utiliser à mauvais escient des données de santé sensibles.

Control 7.7 explique comment les organisations peuvent concevoir et appliquer des règles claires de bureau et d'écran pour protéger et maintenir la confidentialité des informations sensibles sur les écrans numériques et sur papier.

Objectif sur le contrôle 7.7

Control 7.7 permet aux organisations d'éliminer et/ou atténuer les risques d’accès non autorisé, l'utilisation, l'endommagement ou la perte d'informations sensibles sur les écrans et sur les papiers situés sur les postes de travail des employés lorsque ceux-ci ne sont pas présents.

Attributs Table de contrôle 7.7

Le contrôle 7.7 est un type de contrôle préventif qui oblige les organisations à maintenir la confidentialité des actifs informationnels en décrivant et en appliquant des règles de bureau et d'écran claires.

Propriété du contrôle 7.7

Étant donné que le contrôle 7.7 exige que les organisations adoptent et mettent en œuvre une politique de bureau clair et d'écran clair à l'échelle de l'organisation, les responsables de la sécurité de l'information devraient être responsables de la production, de la maintenance et de l'application des règles de bureau clair et d'écran clair qui s'appliquent dans l'ensemble de l'organisation.

Orientations générales sur la conformité

Le contrôle 7.7 souligne que les organisations doivent créer et appliquer une politique spécifique à un sujet qui définit des règles claires sur le bureau et sur l'écran.

En outre, le contrôle 7.7 énumère sept exigences spécifiques que les organisations doivent prendre en compte lors de l'établissement et de l'application de règles de bureau et d'écran clairs :

1. Sensible ou critique les actifs informationnels stockés sur des éléments numériques ou physiques doivent être verrouillés en toute sécurité lorsqu'ils ne sont pas utilisés ou lorsque le poste de travail hébergeant ces documents est libéré. Par exemple, les éléments tels que les dossiers papier, les ordinateurs et les imprimantes doivent être stockés dans des meubles sécurisés tels qu'une armoire ou un tiroir verrouillé ou protégé par mot de passe.
2. Les appareils utilisés par les employés, tels que les ordinateurs, les scanners, les imprimantes et les ordinateurs portables, doivent être protégés par des mécanismes de sécurité tels que des verrous à clé lorsqu'ils ne sont pas utilisés ou lorsqu'ils sont laissés sans surveillance.
3. Lorsque les employés quittent leur espace de travail et laissent leurs appareils sans surveillance, ils doivent laisser leurs appareils déconnectés et la réactivation de l'appareil doit se faire uniquement via un mécanisme d'authentification de l'utilisateur. De plus, des fonctionnalités automatiques d’expiration et de déconnexion doivent être installées sur tous les appareils des employés, tels que les ordinateurs.
4. Les imprimantes doivent être conçues de manière à ce que les impressions soient immédiatement collectées par la personne (auteur) qui a imprimé le document. En outre, un mécanisme d'authentification fort devrait être mis en place afin que seul l'expéditeur soit autorisé à récupérer le document imprimé.
5. Les supports physiques et les supports de stockage amovibles contenant des informations sensibles doivent être conservés en sécurité à tout moment. Lorsqu’ils ne sont plus nécessaires, ils doivent être éliminés via un mécanisme sécurisé.
6. Les organisations doivent créer des règles pour l'affichage des fenêtres contextuelles sur les écrans et ces règles doivent être communiquées à tous les employés concernés. Par exemple, les fenêtres contextuelles des e-mails et des messages peuvent contenir des informations sensibles et si elles sont affichées à l'écran lors d'une présentation ou dans un espace public, cela peut compromettre la confidentialité des informations sensibles.
7. Les informations sensibles ou critiques affichées sur les tableaux blancs doivent être effacées lorsqu’elles ne sont plus nécessaires.

Orientations supplémentaires – Contrôle 7.7

Le contrôle 7.7 met en garde les organisations contre les risques découlant des installations libérées. Lorsqu'une organisation quitte une installation, les documents physiques et numériques précédemment stockés dans cette installation doivent être supprimé en toute sécurité afin que les informations sensibles n'est pas laissé dans l'insécurité.

Par conséquent, le contrôle 7.7 exige que les organisations établissent des procédures pour la libération des installations afin que tous actifs informationnels sensibles hébergés dans cette installation sont éliminés en toute sécurité. Ces procédures peuvent inclure la réalisation d'un balayage final afin qu'aucune information sensible ne soit laissée sans protection.

Changements et différences par rapport à la norme ISO 27002:2013

27002:2022/7.7 replaces 27002:2013/(11.2.9)

Il existe deux différences significatives entre les versions 2022 et 2013.

• La version 2022 ne fait pas référence aux critères à prendre en compte lors de l’établissement et de la mise en œuvre de règles de bureau et d’écran clairs.

Contrairement à la version 2022, la version 2013 indiquait explicitement que les organisations devraient prendre en compte les niveaux de classification des informations à l'échelle de l'organisation, les exigences légales et contractuelles ainsi que les types de risques auxquels l'organisation est confrontée lors de l'établissement d'une politique de bureau et d'écran clairs.

Pour ISO 27002 : 2022, cependant, ne fait pas référence à ces éléments.

• La version 2022 introduit de nouvelles exigences plus complètes pour les règles de bureau clair et d'écran clair.

Contrairement à la version 2013, la version 2022 définit les exigences suivantes que les organisations doivent prendre en compte lors de l'établissement de règles claires pour le bureau et l'écran.

• Les organisations doivent créer des règles spécifiques sur les écrans contextuels pour maintenir la confidentialité des informations sensibles.
• Les informations sensibles écrites sur les tableaux blancs doivent être supprimées lorsqu’elles ne sont plus nécessaires.
• Les terminaux des employés, tels que les ordinateurs, doivent être protégés par des verrous à clé lorsqu'ils ne sont pas utilisés ou lorsqu'ils sont laissés sans surveillance.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre complet solution de conformité pour ISO/CEI 27002:2022.

• Jusqu'à 81 % de progression à partir de votre connexion
• Solution de conformité simple et totale

Contactez-nous dès aujourd'hui pour réserver une démo.