ISO 27002 :2022 – Contrôle 7.8 – Emplacement et protection des équipements

ISO 27002 Contrôle 7.8 : Bonnes pratiques pour l'implantation et la protection des équipements

Alors que les cybermenaces telles que les attaques de logiciels malveillants, l'injection SQL et l'interception du trafic deviennent de plus en plus sophistiquées et représentent un risque important pour l'entreprise. sécurité des actifs informationnels.

Le paysage des risques ne se limite pas aux cyberattaques logicielles :

• Les menaces physiques et environnementales pesant sur les équipements informatiques tels que les serveurs, les ordinateurs, les disques durs et les supports de stockage amovibles peuvent également compromettre la disponibilité, confidentialité et intégrité des actifs informationnels.

Par exemple, le déversement d'une boisson sur un serveur, l'arrêt d'un système informatique en raison d'une température élevée et l'accès non autorisé à un système informatique non situé dans une zone sécurisée sont autant d'exemples de menaces physiques contre le boîtier d'un équipement. actifs informationnels.

Control 7.8 explique comment les organisations peuvent éliminer et atténuer les risques découlant des menaces physiques et environnementales aux équipements hébergeant des actifs informationnels.

Objectif du contrôle 7.8

Contrôle 7.8 permet aux organisations d’éliminer et/ou d’atténuer deux types de risques pour les équipements contenant des actifs informationnels :

• Menaces physiques et environnementales pesant sur les équipements telles que l'éclairage, les pannes de courant, le vol, les interférences de communication et les interférences électriques. Ces menaces incluent également des changements dans les conditions environnementales telles que les niveaux d'humidité et de température, qui peuvent perturber les activités de traitement de l'information.
• Accès non autorisé, utilisation, endommagement et destruction d'équipements qui ne sont pas stockés dans des zones sécurisées.

Attributs Table de contrôle 7.8

Le contrôle 7.8 est un type de contrôle préventif qui oblige les organisations à maintenir l'intégrité, la disponibilité et la confidentialité des actifs informationnels en protégeant les équipements contenant des actifs informationnels contre les menaces physiques et environnementales.

Propriété du contrôle 7.8

Le respect du contrôle 7.8 implique la création d'un inventaire des équipements hébergeant des actifs informationnels, l'implantation de tous les équipements dans des zones sécurisées et la mise en œuvre de mesures appropriées pour prévenir les menaces physiques et environnementales.

Par conséquent, les responsables de la sécurité de l'information devraient être responsables de l'établissement, de la mise en œuvre et du maintien des mesures nécessaires et des lignes directrices sur l’emplacement sécurisé et la protection des équipements.

Orientations générales sur la conformité

Le contrôle 7.8 prescrit neuf exigences spécifiques qui doivent être prises en compte pour la conformité :

1. L'équipement doit être placé dans des zones sécurisées afin que les personnes non autorisées ne puissent pas accéder à l'équipement.
2. Les outils utilisés pour traiter des informations sensibles, tels que les ordinateurs, les moniteurs et les imprimantes, doivent être positionnés de manière à ce qu'ils ne soient pas autorisés. les personnes ne peuvent pas voir les informations affichées sur les écrans sans autorisation.
3. Des mesures appropriées doivent être mises en place pour éliminer et/ou atténuer les risques découlant de menaces physiques et environnementales telles que les explosifs, les interférences de communication, le feu, la poussière et les rayonnements électromagnétiques.
4. Par exemple, un paratonnerre peut constituer un moyen efficace de lutte contre la foudre.
5. Des lignes directrices sur la consommation de boissons et de repas à proximité des équipements doivent être établies et communiquées à toutes les parties concernées.
6. Les conditions environnementales susceptibles de perturber les opérations de traitement de l'information doivent être surveillées en permanence. Ceux-ci peuvent inclure les niveaux de température et d’humidité.
7. Des mécanismes de protection contre la foudre doivent être mis en œuvre dans tous les bâtiments et bureaux. De plus, des filtres de protection contre la foudre doivent être intégrés à toutes les lignes électriques entrantes, y compris les lignes de communication.
8. Si l'équipement est situé dans un environnement industriel, des contrôles de protection spéciaux tels que des membranes de clavier doivent être utilisés si nécessaire.
9. L'émanation électromagnétique peut entraîner la fuite d'informations sensibles. Par conséquent, les équipements abritant des Les actifs informationnels doivent être sécurisés pour prévenir un tel risque.
10. Les équipements informatiques détenus et contrôlés par une organisation doivent être clairement séparés de ceux qui ne sont pas détenus et contrôlés par l'organisation.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/7.8 replaces 27002:2013/(11.2.1)

Bien que les versions 2022 et 2013 soient dans une large mesure similaires, il y a une différence clé à souligner :

Contrairement à la version 2013, Control 7.8 dans la version 2022 introduit l'exigence suivante :

• Les équipements informatiques détenus et contrôlés par une organisation doivent être clairement séparés de ceux qui ne sont pas détenus et contrôlés par l'organisation.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Notre plateforme est intuitive et facile à utiliser. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre organisation. Nous vous encourageons à impliquer le personnel à tous les niveaux de votre entreprise dans le processus de création de votre SMSI, car cela vous aide à construire un système véritablement durable.

Une partie de la clé avantages de l'utilisation d'ISMS.online consistent à

• Vous pouvez construire votre SMSI conforme à la norme ISO 27001 dans la plate-forme.
• Les utilisateurs peuvent effectuer des tâches et soumettre des preuves pour démontrer leur conformité à la norme.
• Il est facile de déléguer des responsabilités et de suivre les progrès vers la conformité.
• Le vaste évaluation des risques L'ensemble d'outils permet d'économiser du temps et des efforts tout au long du processus.
• Nous avons un une équipe de consultants à votre disposition pour vous accompagner vous tout au long de votre parcours vers la conformité.

Contactez-nous dès aujourd'hui pour réserver une démo.