ISO 27002 :2022 – Contrôle 8.16 – Activités de surveillance

Objectif du contrôle 8.16

La surveillance du réseau est la pierre angulaire de toute opération réussie de support informatique et de sécurité des informations.

Il est d’une importance vitale pour les organisations de promouvoir une approche proactive de surveillance qui vise à prévenir les incidents avant qu’ils ne surviennent et qui travaille en tandem avec des efforts réactifs pour former une stratégie de bout en bout de sécurité des informations et de résolution des incidents qui coche chaque case.

Attributs Table de contrôle 8.16

Control 8.16 est à double usage détective et mes correctif contrôler cela modifie le risque en optimisant les activités de surveillance pour identifier les comportements anormaux et aide à l'analyse rapide des événements et incidents de sécurité de l'information.

Propriété du contrôle 8.16

Le contrôle 8.16 traite des opérations TIC effectuées à l'aide d'un accès administrateur système et relève de la gestion et de la maintenance du réseau.

En tant que tel, la propriété du contrôle 8.16 devrait appartenir au responsable informatique ou à son équivalent organisationnel.

Orientations générales sur la conformité

La surveillance doit avant tout être effectuée conformément à toute exigence réglementaire ou à la législation en vigueur, et à tous les enregistrements conservés conformément à la politique de conservation de l'entreprise.

Les événements suspects doivent être signalés à tout le personnel concerné afin de maintenir l'intégrité du réseau et d'améliorer la continuité des activités parallèlement aux processus suivants (voir Contrôle 5.25) :

• vérification des comptes
• Évaluation de la sécurité et des risques
• Analyse de vulnérabilité
• Le Monitoring

Les organisations doivent inclure les éléments suivants dans leur opération de surveillance :

1. Le trafic réseau entrant et sortant, y compris les données vers et depuis les applications
2. L'accès à la plateformes critiques pour l'entreprise, y compris, mais sans s'y limiter):
• placement
• Serveurs
• Matériel réseau
• Le système de surveillance lui-même
3. Fichiers de configuration
4. Journaux d'événements à partir d’équipements de sécurité et de plateformes logicielles
5. Vérifications des codes qui garantissent que tous les programmes exécutables sont à la fois autorisés et sans tempérament
6. Calcul, stockage et mise en réseau l'utilisation des ressources

Orientation – Analyse comportementale

Les organisations doivent acquérir une solide compréhension de activité normale de l'utilisateur et comportement du réseau, et utilisez-le comme de base pour identifier les comportements anormaux sur le réseau, notamment :

1. Fermeture ou arrêt soudain des processus et des applications
2. Trafic réseau reconnu comme émanant de et/ou de adresses IP problématiques et/ou domaines externes
3. Méthodes d'intrusion bien connues (par exemple DDoS)
4. Comportement malveillant du système (par exemple, journalisation des clés)
5. Goulots d'étranglement du réseau et temps de ping et/ou de latence élevés
6. Accès non autorisé ou inexplicable à et/ou analyse de données, domaines ou applications
7. Toute tentative d'accès à des ressources TIC critiques pour l'entreprise (par exemple, contrôleurs de domaine, serveurs DNS, serveurs de fichiers et portails Web)

Pour établir une base de référence efficace, les organisations doivent surveiller l’utilisation du réseau et les temps d’accès aux niveaux de travail normaux.

Orientation – Outils de surveillance

Les organisations doivent optimiser leurs efforts de surveillance à l'aide d'outils de surveillance spécialisés adaptés au type de réseau et de trafic qu'elles traitent quotidiennement.

Les outils de surveillance doivent pouvoir :

1. Gérer de grandes quantités de données de surveillance
2. Réagissez aux données suspectes, aux modèles de comportement du trafic et des utilisateurs et aux activités ponctuelles
3. Modifier toutes les activités de surveillance pour réagir à différents niveaux de risque
4. Informer les organisations de toute activité anormale en temps réel, grâce à une série d'alertes proactives contenant un minimum de faux positifs (voir Contrôle 5.26).
5. S'appuyer sur un niveau adéquat de redondance applicative afin de maintenir une opération de surveillance continue

Conseils – Surveillance de la sécurité

La surveillance de la sécurité doit être optimisée via :

1. Systèmes dédiés de renseignement sur les menaces (voir Contrôle 5.7) et plateformes de protection contre les intrusions
2. Plateformes d'apprentissage automatique
3. Listes blanches, listes noires, listes de blocage et listes d'autorisation sur les plateformes de gestion IP et les logiciels de sécurité de messagerie
4. Combiner les activités de journalisation et de surveillance en une seule approche de bout en bout
5. Une approche dédiée aux méthodes d'intrusion et aux activités malveillantes bien connues, telles que l'utilisation de botnets ou les attaques par déni de service

Contrôles pris en charge

• 5.25
• 5.26
• 5.7

Modifications et différences par rapport à la norme ISO 27002:2013

ISO 27002:2022-8.16 est un nouveau contrôle qui ne figure pas dans la norme ISO 27002:2003.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISMS.online facilite la mise en œuvre de la norme ISO 27002 en fournissant un ensemble d'outils pour vous aider à gérer la sécurité des informations dans votre organisation. Il vous aidera à identifier les risques et à développer des contrôles pour atténuer ces risques, puis vous montrera comment les mettre en œuvre au sein de l'organisation.

Contactez-nous aujourd'hui pour réserver une démo.