Objectif du contrôle 8.2
L'utilisation malveillante ou incorrecte des privilèges élevés d'administrateur système est l'une des principales causes de perturbation des TIC sur les réseaux commerciaux du monde entier.
Les droits d'accès privilégiés permettent aux organisations de contrôler l'accès à leur infrastructure, leurs applications et leurs actifs et de maintenir l'intégrité de toutes les données et systèmes stockés.
Le contrôle 8.2 est un contrôle préventif qui maintient le risque en établissant une autorisation processus qui gère toutes les demandes d’accès à travers le réseau TIC d'une organisation et les actifs associés.
Attributs Table de contrôle 8.2
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Gestion des identités et des accès | #Protection |
| #Intégrité | ||||
| #Disponibilité |
Propriété du contrôle 8.2
Le contrôle 8.6 traite d'un la capacité de l'organisation à contrôler l'accès aux données via des comptes d'utilisateurs bénéficiant de droits d'accès améliorés.
En tant que tel, la propriété doit appartenir au responsable informatique (ou à son équivalent organisationnel), qui détient responsabilité de l'organisation capacité d’administrer et de surveiller les comptes d’utilisateurs de domaines ou d’applications privilégiés.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur le contrôle 8.2
Le contrôle 8.2 présente 12 points d’orientation principaux qui les organisations ont besoin à suivre, conformément à une politique « spécifique à un sujet » sur le contrôle d'accès (voir Contrôle 5.15) qui cible les fonctions commerciales individuelles.
Les organisations devraient :
- Identifiez une liste d'utilisateurs qui nécessitent un degré d'accès privilégié, que ce soit pour un système individuel, tel qu'une base de données, une application ou un système d'exploitation sous-jacent.
- Maintenez une politique qui attribue des droits d'accès privilégiés aux utilisateurs sur ce que l'on appelle « événement par événement » : les utilisateurs doivent se voir accorder des niveaux d'accès basés sur le strict minimum requis pour qu'ils puissent remplir leur rôle.
- Décrire un processus d'autorisation clair qui traite toutes les demandes d'accès privilégié, y compris la tenue d'un enregistrement de tous les droits d'accès qui ont été mis en œuvre.
- Assurez-vous que les droits d’accès sont soumis à des dates d’expiration pertinentes.
- Prendre des mesures pour garantir que les utilisateurs sont explicitement conscient de toute période de temps pendant laquelle ils opèrent avec un accès privilégié à un système.
- Le cas échéant, il est demandé aux utilisateurs de se réauthentifier avant d'utiliser les droits d'accès privilégiés, afin d'assurer une plus grande sécurité des informations/données.
- Réaliser des audits périodiques des droits d’accès privilégiés, notamment suite à une période de changement organisationnel. Les droits d'accès des utilisateurs doivent être révisés en fonction de leurs « devoirs, rôles, responsabilités et compétences » (voir Contrôle 5.18).
- Pensez à opérer selon ce que l'on appelle une procédure « briser la vitre », c'est-à-dire s'assurer que les droits d'accès privilégiés sont accordés dans des plages horaires étroitement contrôlées qui répondent aux exigences minimales pour qu'une opération soit effectuée (changements critiques, administration du système, etc.).
- Assurez-vous que toutes les activités d’accès privilégié sont enregistrées en conséquence.
- Empêcher l'utilisation d'informations de connexion génériques au système (en particulier les noms d'utilisateur et mots de passe standardisés) (voir Contrôle 5.17).
- Respectez une politique d’attribution aux utilisateurs d’une identité distincte, qui permet un contrôle plus strict des droits d’accès privilégiés. De telles identités peuvent ensuite être regroupées, le groupe associé bénéficiant de différents niveaux de droits d'accès.
- Assurez-vous que les droits d'accès privilégiés sont réservés uniquement aux tâches critiques liées au fonctionnement continu d'un réseau TIC fonctionnel, telles que l'administration du système et la maintenance du réseau.
Contrôles pris en charge
- 5.15
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Modifications et différences par rapport à la norme ISO 27002:2013
Le contrôle 27002:2022-8.2 remplace le 27002:2013-9.2.3 (Gestion des droits d'accès privilégiés).
27002:2022-8.2 contient 5 points d'orientation majeurs qui ne sont pas explicites dans son homologue de 2013:
- 27002:2022-8.2 ne nécessite pas explicitement un ID utilisateur différent pour les droits d'accès privilégiés.
- 27002:2022-8.2 souligne la nécessité de se réauthentifier avant de recevoir des droits d'accès privilégiés.
- 27002:2022-8.2 préconise une approche en cas de bris de verre lors de l'exécution de tâches de maintenance critiques, basée sur des fenêtres horaires étroitement contrôlées.
- 27002:2022-8.2 demande aux organisations de conserver des journaux d'accès privilégiés complets, à des fins d'audit.
- 27002 : 2022-8.2 demande aux organisations de limiter l’utilisation des droits d’accès privilégiés aux tâches administratives.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
La norme ISO 27002, Contrôle 6.6, couvre la nécessité pour les organisations d'empêcher la fuite d'informations confidentielles en établissant accords de confidentialité avec les parties intéressées et personnels.
Notre plateforme basée sur le cloud fournit un ensemble complet d'outils pour aider les organisations à mettre en place un système de gestion de la sécurité de l'information (ISMS) selon ISO 27002.
Ces outils incluent:
- Une bibliothèque de modèles pour les documents d'entreprise courants.
- Un ensemble de politiques et de procédures prédéfinies.
- Un outil d'audit pour soutenir les audits internes.
- Une interface de configuration à personnaliser Politiques SMSI et procédures.
- Un workflow d'approbation pour toutes les modifications apportées aux politiques et procédures.
- Une liste de contrôle pour vous assurer que vos politiques et processus de sécurité des informations respectent les normes internationales approuvées.
ISMS.Online permet également aux utilisateurs de :
- Gérer tous les aspects du SMSI cycle de vie en toute simplicité.
- Obtenez des informations en temps réel sur leur posture de sécurité et leurs lacunes en matière de conformité.
- Intégrez-vous à d’autres systèmes tels que les ressources humaines, les finances et la gestion de projet.
- Démontrer la conformité de leurs SMSI avec ISO 27001
L'outil ISMS.Online fournit également des conseils sur la meilleure façon de mettre en œuvre votre SMSI en fournissant des conseils sur la façon de créer des politiques et des procédures liées à des aspects tels que la gestion des risques, la formation de sensibilisation à la sécurité du personnel et la planification de la réponse aux incidents.
