ISO 27002 :2022 – Contrôle 7.9 – Sécurité des actifs hors site

ISO 27002 Contrôle 7.9 : Sécurisation des actifs au-delà du bureau

Lorsque des appareils contenant des informations sont retirés des locaux d'une organisation, ils seront exposés à des risques plus élevés de dommages, de perte, de destruction, de vol ou de compromission.

Ceci est dû au fait contrôles de sécurité physique mises en œuvre dans les installations d'une organisation ne seront pas efficaces, laissant les actifs retirés du site vulnérables à des menaces telles que des risques physiques et un accès non autorisé par des parties malveillantes.

Par exemple, les employés travaillant hors site peuvent sortir des locaux de l'entreprise les ordinateurs de l'entreprise contenant des informations sensibles, travailler dans un café ou le hall d'un hôtel, se connecter à un réseau Wi-Fi public non sécurisé et laisser leurs appareils sans surveillance. Tous ces présents risques pour la sécurité, la confidentialité, l'intégrité et la disponibilité des informations hébergées sur ces appareils.

Par conséquent, les organisations doivent s’assurer que les appareils retirés du site restent sécurisés.

Adresses de contrôle 7.9 comment les organisations peuvent maintenir la sécurité des appareils hors site hébergeant des ressources informationnelles en établissant et en mettant en œuvre des contrôles et des procédures appropriés.

Objectif du contrôle 7.9

Control 7.9 permet aux organisations de maintenir la sécurité des équipements contenant des actifs informationnels en prévenant deux risques spécifiques :

• Éliminer et/ou minimiser les risques de perte, de dommage, de destruction ou de compromission des appareils hébergeant des actifs informationnels lorsqu'ils sont retirés des locaux.
• Empêcher la risque d’interruption du traitement des informations par l’organisation activités en raison de la compromission des appareils hors site.

Attributs Table de contrôle 7.9

Le contrôle 7.9 est de nature préventive. Il permet aux organisations de mettre en œuvre des contrôles et des procédures appropriés de manière préventive afin que les appareils retirés des locaux d'une organisation bénéficient du même niveau de protection que celui offert aux appareils hébergés sur site.

Propriété du contrôle 7.9

Le contrôle 7.9 exige que les organisations établissent et appliquent des procédures et des contrôles qui couvrent tous les appareils détenus par ou utilisés au nom de l'organisation. De plus, la création d'un inventaire des actifs et l'approbation par la haute direction de l'utilisation des appareils personnels sont essentielles à la protection efficace des appareils hors site.

Par conséquent, le responsable de la sécurité de l'information doit consulter la direction et les propriétaires des actifs concernés et doit être responsable de la création, de la mise en œuvre et du maintien des procédures et des mesures visant à maintenir la sécurité des appareils retirés des locaux de l'entreprise.

Orientations générales sur la conformité

Le contrôle 7.9 énumère six exigences que les organisations doivent respecter lors de la conception et de la mise en œuvre de mesures et de lignes directrices pour la protection des actifs retirés du site :

1. Les équipements informatiques et les supports de stockage retirés du site, tels que les ordinateurs d'entreprise, les clés USB, les disques durs et les moniteurs, ne doivent pas être laissés sans surveillance dans les espaces publics tels que les cafés ou dans toute zone non sécurisée.
2. Les directives et spécifications du fabricant de l'appareil concernant la protection physique de l'appareil concerné doivent être respectées à tout moment. Par exemple, les instructions du fabricant de l'appareil peuvent inclure la manière de protéger l'appareil/équipement contre l'eau, la chaleur, les champs électromagnétiques et la poussière.
3. Les employés et/ou autres organisations qui transportent du matériel informatique en dehors des locaux de l'entreprise peuvent transférer cet équipement à d'autres employés ou à des tiers. Pour maintenir la sécurité de cet équipement, les organisations doivent tenir un journal qui définit la chaîne de traçabilité. Cet enregistrement de journal doit au moins contenir les noms des personnes responsable de l'appareil et de leur organisation.
4. Si une organisation estime qu'un processus d'autorisation est nécessaire et pratique pour le retrait d'équipements hors des locaux de l'entreprise, elle doit établir et appliquer une procédure d'autorisation pour le retrait de certains équipements hors site. Cette procédure d'autorisation doit également inclure la tenue d'un enregistrement de toutes les actions de suppression de l'appareil afin que le l'organisation dispose d'une piste d'audit.
5. Des mesures appropriées devraient être mises en œuvre pour éliminer le risque de visualisation non autorisée d’informations affichées à l’écran dans les transports publics.
6. Des outils de suivi de localisation et un accès à distance doivent être en place afin que l'appareil puisse être suivi et que les informations contenues dans l'appareil puissent être effacées à distance si nécessaire.

Orientations supplémentaires sur le contrôle 7.9

Le contrôle 7.9 prescrit également des exigences pour la protection des équipements installés en permanence à l'extérieur des locaux de l'entreprise.

Cet équipement peut inclure des antennes et des ATM.

Considérant que cet équipement peut être soumis à des risques accrus de dommages et de perte, le contrôle 7.9 exige que les organisations prennent en compte les éléments suivants lors de la protection de cet équipement hors site :

1. Le contrôle 7.4, à savoir la surveillance de la sécurité physique, doit être pris en compte.
2. Le contrôle 7.5, à savoir la protection contre les menaces environnementales et physiques, doit être pris en compte
3. Contrôles d'accès doivent être établis et des mesures appropriées doivent être mises en œuvre pour empêcher toute falsification.
4. Des contrôles d’accès logiques doivent être créés et appliqués.

De plus, le contrôle 7.9 recommande aux organisations de prendre en compte les contrôles 6.7 et 8.1 lors de la définition et de la mise en œuvre de mesures de protection des appareils et des équipements.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/ 7.9 remplace 27002:2013/(11.2.6)

Il y a trois différences clés qui doivent être soulignées :

• Le contrôle 7.9 prescrit des exigences plus complètes

Par rapport à la version 2013, Contrôle 7.9 dans la version 2022 introduit les deux exigences suivantes :

1. Des mesures appropriées devraient être mises en œuvre pour éliminer le risque de visualisation non autorisée d’informations affichées à l’écran dans les transports publics.
2. Des outils de suivi de localisation et un accès à distance doivent être en place afin que l'appareil puisse être suivi et que les informations contenues dans l'appareil puissent être effacées à distance si nécessaire.

• Control 7.9 introduit de nouvelles exigences pour les appareils hors site installés en permanence

Contrairement à la version 2013, Control 7.9 dans la version 2022 contient des directives distinctes sur la protection des équipements installés de manière permanente dans un endroit hors site.

Ceux-ci peuvent inclure des antennes et des ATM.

• Interdiction du travail à distance pour éliminer les risques

La version de 2013 indiquait explicitement que les organisations peuvent interdire aux employés de travailler à distance lorsque cela est approprié au niveau de risque identifié. La version 2022 ne fait cependant pas référence à une telle mesure.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Vous pouvez utiliser ISMS.online pour pilotez votre mise en œuvre ISO 27002, car il a été conçu spécifiquement pour aider une entreprise à mettre en œuvre son système de gestion de la sécurité de l'information (ISMS) afin de répondre aux exigences de la norme ISO 27002.

La plateforme utilise une approche basée sur les risques combinée aux meilleures pratiques et modèles de pointe du secteur pour vous aider à identifier les risques auxquels votre organisation est confrontée et les contrôles nécessaires pour gérer ces risques. Cela vous permet de réduire systématiquement à la fois votre exposition aux risques et vos coûts de conformité.

Contactez-nous dès aujourd'hui pour réserver une démo.