Objectif du contrôle 8.12
La fuite de données peut être décrite au sens large comme toute information consultée, transférée ou extraite par du personnel et des systèmes internes et externes non autorisés, ou par des sources malveillantes ciblant le fonctionnement de l'information d'une organisation.
La fuite de données est un problème courant au sein des organisations qui traitent de grandes quantités de données, de différentes classifications, sur plusieurs systèmes TIC, applications et serveurs de fichiers autonomes et liés.
Attributs Table de contrôle 8.12
Control 8.12 est à double usage préventif et détective contrôler cela modifie le risque en mettant en œuvre des mesures techniques qui détectent et empêchent de manière proactive la divulgation et/ou l'extraction d'informations, soit par du personnel interne et/ou externe, soit par des systèmes logiques.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Protection des informations | #Protection |
| #Détective | #Détecter | #La défense |
Propriété du contrôle 8.12
Control 8.12 traite des opérations TIC effectuées à l'aide d'un accès administrateur système et relève de la gestion et de la maintenance du réseau. En tant que tel, la propriété de Control 8.12 devrait appartenir au responsable informatique ou à son équivalent organisationnel.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la conformité
Les fuites de données sont difficiles à éradiquer complètement. Cela étant dit, pour minimiser les risques propres à leurs opérations, les organisations doivent :
- Classez les données conformément aux normes reconnues de l’industrie (PII, données commerciales, informations sur les produits), afin d’attribuer différents niveaux de risque à tous les niveaux.
- Surveillez de près les canaux de données connus qui sont fortement utilisés et sujets aux fuites (par exemple, les e-mails, les transferts de fichiers internes et externes, les périphériques USB).
- Prenez des mesures proactives pour empêcher la fuite de données (par exemple, des autorisations de fichiers robustes et des techniques d'autorisation adéquates).
- Restreindre la capacité d'un utilisateur à copier et coller des données (le cas échéant) vers et depuis des plates-formes et des systèmes spécifiques.
- Exiger l’autorisation du propriétaire des données avant toute exportation massive.
- Envisagez de gérer ou d'empêcher les utilisateurs de prendre des captures d'écran ou de photographier des moniteurs affichant des types de données protégés.
- Chiffrez les sauvegardes contenant des informations sensibles.
- Formulez des mesures de sécurité de la passerelle et des mesures de prévention des fuites qui protègent contre les facteurs externes tels que (mais sans s'y limiter) l'espionnage industriel, le sabotage, l'interférence commerciale et/ou le vol de propriété intellectuelle.
La prévention des fuites de données est liée à de nombreuses autres directives de sécurité ISO qui visent à protéger les informations et les données sur le réseau d'une organisation, y compris les mesures de contrôle d'accès (voir Contrôle 5.12) et la gestion sécurisée des documents (voir Contrôle 5.15).
Conseils – Outils de fuite de données
Les organisations devraient envisager d’utiliser des outils et des programmes utilitaires dédiés aux fuites de données qui :
- Travaillez en tandem avec l’approche de l’organisation en matière de classification des données et identifiez le potentiel de fuite au sein des types de données à haut risque.
- Détectez et alertez de manière proactive en cas de transfert et/ou de divulgation de données, en particulier vers des systèmes, des plateformes ou des applications de partage de fichiers non autorisés.
- Reconnaître les risques inhérents à certaines méthodes de transfert de données (par exemple, copier des informations financières d'une base de données vers une feuille de calcul).
Les outils de prévention des fuites de données sont intrusifs par nature et doivent être mis en œuvre et gérés conformément à toute exigence réglementaire ou législation traitant de la confidentialité des utilisateurs.
Contrôles pris en charge
- 5.12
- 5.15
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
Aucun. L'ISO 27002:2022-8.12 est un nouveau contrôle sans équivalent dans l'ISO 27002:2003.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
Notre plateforme cloud vous permet de gérer rapidement et facilement tous les aspects de votre SMSI, y compris la gestion des risques, les politiques, les plans, les procédures et bien plus encore, dans un emplacement central. La plateforme est facile à utiliser et dispose d’une interface intuitive qui facilite l’apprentissage de son utilisation.
ISMS.Online vous permet de :
- Documentez vos processus à l'aide d'une interface Web intuitive sans avoir besoin d'installer de logiciel sur votre ordinateur ou votre réseau.
- Automatisez votre processus d’évaluation des risques.
- Démontrez facilement votre conformité avec des rapports et des listes de contrôle en ligne.
- Suivez les progrès tout en travaillant vers la certification.
Contactez-nous aujourd'hui pour réserver une démo.
