ISO 27002 :2022 – Contrôle 8.14 – Redondance des installations de traitement de l'information

Objectif du contrôle 8.14

Un 'installation de traitement de l'information» (IPF) est un terme général utilisé pour décrire tout élément d'infrastructure TIC impliqué dans le traitement des données, tel que l'équipement informatique, les logiciels et les installations et emplacements physiques.

Les IPF jouent un rôle clé dans le maintien de la continuité des activités et dans le bon fonctionnement du ou des réseaux TIC d'une organisation. Pour accroître la résilience, les organisations doivent mettre en œuvre des mesures qui augmentent la redondance de leurs IPF, c'est-à-dire des méthodologies et des processus de sécurité qui atténuent les risques pour les systèmes et les données en cas de panne, d'utilisation abusive ou d'intrusion.

Attributs Table de contrôle 8.14

Le contrôle 8.14 est un contrôle préventif qui maintient le risque en mettant en œuvre des plans et des procédures qui maintiennent le fonctionnement continu des installations de traitement de l'information et, par procuration, de l'ensemble du réseau TIC d'une organisation.

Propriété du contrôle 8.14

Le contrôle 8.14 porte sur la capacité d'une organisation à poursuivre ses activités en cas de défaillances critiques ou mineures susceptibles d'avoir un impact sur la résilience. En tant que tel, la propriété de 8.14 doit appartenir au directeur de l'exploitation, ou à son équivalent organisationnel.

Orientations générales sur la conformité

L'objectif primordial du contrôle 8.14 est d'augmenter la disponibilité de ce que l'ISO considère comme étant les services aux entreprises , les systèmes d'information, qui peut être interprété comme tout aspect d’un réseau permettant à l’organisation de mener ses activités.

Control 8.14 préconise répétition comme principale méthode pour assurer la redondance entre ses différents IPF, principalement en maintenant un inventaire de pièces de rechange, de composants en double (matériel et logiciel) et de périphériques supplémentaires.

Un système redondant est aussi performant que son alerte facilité. En tant que telles, les organisations doivent s'assurer que les IPF défaillants sont détectés rapidement et que des mesures correctives sont prises soit pour basculer vers le matériel de secours, soit pour réparer l'IPF défectueux dans les plus brefs délais.

Lors de la conception et de l’installation de mesures de redondance, les organisations doivent prendre en compte les éléments suivants :

1. Entrer dans une relation commerciale avec deux prestataires de services distincts, pour réduire le risque de temps d'arrêt général en cas d'événement critique (par exemple un fournisseur de services Internet ou un fournisseur VoIP).
2. Adhérer aux principes de redondance lors de la conception réseaux de données (DC secondaires, systèmes BUDR redondants, etc.).
3. Faire usage de emplacements géographiquement séparés lors de la sous-traitance de services de données, notamment dans le cas de stockage de fichiers et/ou d'installations de centres de données.
4. Achats les systèmes d'alimentation qui ont la capacité d’obtenir une redondance totale ou partielle, selon les besoins.
5. En utilisant l'équilibrage de charge , échec automatique entre deux composants logiciels ou systèmes identiques et redondants, pour améliorer à la fois les performances en temps réel et la résilience suite à un événement critique. Ceci est particulièrement important lorsqu’on envisage un modèle opérationnel qui englobe à la fois les services de cloud public et les services sur site. Les systèmes redondants doivent être régulièrement testés (dans la mesure du possible) en mode production pour garantir que les systèmes de basculement fonctionnent correctement.
6. Duplication des composants TIC physiques à la fois au sein des serveurs et des emplacements de stockage de fichiers (matrices RAID, processeurs), ainsi que dans tous ceux qui agissent comme un périphérique réseau (pare-feu, commutateurs redondants). Les mises à jour du micrologiciel doivent être effectuées sur tous les appareils liés et redondants, pour garantir la continuité.

Orientations supplémentaires sur le contrôle 8.14

Le contrôle 8.14 reconnaît le lien inhérent entre des systèmes robustes et redondants et la planification de la continuité des activités (voir Contrôle 5.30) et demande aux organisations de considérer les deux comme faisant partie de la solution au même ensemble de défis.

Il est important de noter que lorsqu'il s'agit d'applications métiers, il est extrêmement difficile de gérer les erreurs critiques dans l'application elle-même (en particulier dans le cas d'applications gérées).

Contrôles pris en charge

• 5.30

Modifications et différences par rapport à la norme ISO 27002:2013

L'ISO 27002:2022-8.14 remplace l'ISO 27002:2003-17.2.1 (Disponibilité des installations de traitement de l'information).

27002:2022-8.14 représente un énorme progrès opérationnel par rapport à 27002:2003-17.2.1, la différence entre les deux contrôles représentant le changement le plus important tout au long de la mise à jour ISO 27002:2022.

27002:2003-17.2.1 ne contient que quelques paragraphes superficiels sur la nécessité de parvenir à la redondance, tandis que 27002:2022-8.14 contient des conseils détaillés sur la manière précise d'y parvenir à travers les composants logiques et physiques sur site, basés sur le cloud.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Chez ISMS.online, nous avons créé un système complet et facile à utiliser qui peut vous aider à mettre en œuvre les contrôles ISO 27002 et à gérer l'ensemble de votre SMSI.

ISMS.online facilite la mise en œuvre de la norme ISO 27002 en fournissant un ensemble d'outils pour vous aider à gérer la sécurité des informations dans votre organisation. Il vous aidera à identifier les risques et à développer des contrôles pour atténuer ces risques, puis vous montrera comment les mettre en œuvre au sein de l'organisation.

Contactez-nous aujourd'hui pour planifier une démo.