Objectif du contrôle 8.19
Les logiciels opérationnels peuvent être décrits au sens large comme tout logiciel que l'entreprise utilise activement pour mener à bien ses opérations, par opposition aux logiciels de test ou aux projets de développement.
Il est d'une importance vitale de garantir que les logiciels sont installés et gérés sur un réseau donné conformément à un ensemble strict de règles et d'exigences qui minimisent les risques, améliorent l'efficacité et maintiennent la sécurité au sein des réseaux et services internes et externes.
Attributs Table de contrôle 8.19
Le contrôle 8.19 est un contrôle préventif qui maintient le risque en établissant un ensemble de règles qui régissent l'installation de logiciels sur les systèmes opérationnels.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Configuration sécurisée | #Protection |
| #Intégrité | #Sécurité des applications | |||
| #Disponibilité |
Propriété du contrôle 8.19
Le contrôle 8.19 traite des concepts techniques relatifs à la maintenance et à la gestion des systèmes informatiques opérationnels. En tant que tel, la propriété devrait incomber au responsable informatique ou à son équivalent organisationnel.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Orientations générales sur la conformité
Afin de gérer en toute sécurité les modifications et les installations sur leur réseau, les organisations doivent :
- Assurez-vous que les mises à jour du logiciel sont effectuées uniquement par du personnel formé et compétent (voir Contrôle 8.5).
- Installez uniquement du code exécutable robuste, exempt de tout bug et ayant quitté en toute sécurité la phase de développement.
- N'installez et/ou mettez à jour le logiciel qu'après que ladite mise à jour ou ce correctif a été testé avec succès, et que l'organisation est sûre qu'aucun conflit ou erreur ne surviendra.
- Maintenir un système de bibliothèque à jour.
- Utilisez un « système de contrôle de configuration » qui gère toutes les instances de logiciels opérationnels, y compris la documentation du programme.
- Convenez d'une « stratégie de restauration » avant toute mise à jour ou installation, pour garantir la continuité des activités en cas d'erreur ou de conflit imprévu.
- Tenir un journal de toutes les mises à jour effectuées sur les logiciels opérationnels, y compris un résumé de la mise à jour, le personnel impliqué et un horodatage.
- Assurez-vous que les logiciels inutilisés – y compris toute la documentation, les fichiers de configuration, les journaux système et les procédures de support – sont stockés en toute sécurité pour une utilisation ultérieure, si nécessaire.
- Appliquer un ensemble de règles strictes sur le type de progiciels que les utilisateurs peuvent installer, basées sur les principes des « moins privilégiés » et conformément aux rôles et responsabilités pertinents.
Conseils – Logiciel du fournisseur
Lorsqu'il s'agit d'un logiciel fourni par le fournisseur (par exemple, tout logiciel utilisé dans le fonctionnement de machines ou pour une fonction commerciale sur mesure), ce logiciel doit toujours être maintenu en bon état de fonctionnement en se référant aux directives du fournisseur pour un fonctionnement sûr et sécurisé.
Il est important de noter que même lorsque les logiciels ou modules logiciels sont fournis et gérés en externe (c'est-à-dire que l'organisation n'est pas responsable des mises à jour), des mesures doivent être prises pour garantir que les mises à jour tierces ne compromettent pas l'intégrité du réseau de l'organisation.
Les organisations doivent éviter d'utiliser des logiciels de fournisseurs non pris en charge, sauf en cas d'absolue nécessité, et prendre en compte les risques de sécurité associés à l'utilisation d'applications redondantes plutôt qu'à une mise à niveau vers des systèmes plus récents et plus sécurisés.
Si un fournisseur a besoin d'accéder au réseau d'une organisation pour effectuer une installation ou une mise à jour, l'activité doit être surveillée et validée conformément à toutes les procédures d'autorisation pertinentes (voir Contrôle 5.22).
Orientations supplémentaires sur le contrôle 8.19
Le logiciel doit être mis à niveau, installé et/ou corrigé conformément aux procédures de gestion des changements publiées par l'organisation, afin de garantir l'uniformité avec les autres domaines de l'entreprise.
Chaque fois qu'un correctif est identifié qui élimine totalement une vulnérabilité (ou une série de vulnérabilités) ou contribue d'une manière ou d'une autre à améliorer le fonctionnement de la sécurité des informations de l'organisation, de tels changements doivent presque toujours être appliqués (bien qu'il soit toujours nécessaire d'évaluer ces changements sur au cas par cas).
Lorsqu'il est nécessaire d'utiliser un logiciel open source, il doit toujours s'agir de la dernière version publiquement disponible et activement maintenue. Par conséquent, les organisations doivent prendre en compte les risques inhérents à l’utilisation de logiciels non entretenus dans toutes les fonctions commerciales.
Contrôles pris en charge
- 5.22
- 8.5
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
ISO 27002:2022-8.19 remplace ISO 27002:2003-12.5.1 (Installation de logiciels sur les systèmes d'exploitation) et 12.6.2 (Restrictions sur l'installation de logiciels).
27002:2022-8.19 est un amalgame de la plupart des conseils contenus dans 27002:2003-12.5.1 et 12.6.2, avec plusieurs concepts clés brièvement développés et avec l'ajout de nouveaux principes directeurs :
- Maintenir un système de bibliothèque.
- Règles régissant l'utilisation des logiciels open source.
- Des contrôles logiques plus étroits sur l’installation et la maintenance des logiciels des fournisseurs.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISMS.Online est une solution complète pour la mise en œuvre de la norme ISO 27002. Il s'agit d'un système basé sur le Web qui vous permet de montrer que votre système de gestion de la sécurité de l'information (ISMS) est conforme aux normes approuvées à l'aide de processus, de procédures et de listes de contrôle bien pensés.
Il ne s'agit pas seulement d'une plateforme facile à utiliser pour gérer votre mise en œuvre de la norme ISO 27002, mais également d'un excellent outil pour former votre personnel aux meilleures pratiques et processus en matière de sécurité de l'information, ainsi que pour documenter tous vos efforts.
Les avantages de l’utilisation d’ISMS.Online :
- Plateforme en ligne facile à utiliser et accessible depuis n’importe quel appareil.
- Il est entièrement personnalisable pour répondre à vos besoins.
- Flux de travail et processus personnalisables pour répondre aux besoins de votre entreprise.
- Des outils de formation pour aider les nouvelles recrues à se mettre à niveau plus rapidement.
- Une bibliothèque de modèles pour des documents tels que des politiques, des procédures, des plans et des listes de contrôle.
Contactez-nous dès aujourd'hui pour réserver une démo.
