ISO 27002:2022, Contrôle 8.2 – Droits d'accès privilégiés

Orientations générales sur le contrôle 8.2

Le contrôle 8.2 présente 12 points d’orientation principaux qui les organisations ont besoin à suivre, conformément à une politique « spécifique à un sujet » sur le contrôle d'accès (voir Contrôle 5.15) qui cible les fonctions commerciales individuelles.

Les organisations devraient :

1. Identifiez une liste d'utilisateurs qui nécessitent un degré d'accès privilégié, que ce soit pour un système individuel, tel qu'une base de données, une application ou un système d'exploitation sous-jacent.
2. Maintenez une politique qui attribue des droits d'accès privilégiés aux utilisateurs sur ce que l'on appelle « événement par événement » : les utilisateurs doivent se voir accorder des niveaux d'accès basés sur le strict minimum requis pour qu'ils puissent remplir leur rôle.
3. Décrire un processus d'autorisation clair qui traite toutes les demandes d'accès privilégié, y compris la tenue d'un enregistrement de tous les droits d'accès qui ont été mis en œuvre.
4. Assurez-vous que les droits d’accès sont soumis à des dates d’expiration pertinentes.
5. Prendre des mesures pour garantir que les utilisateurs sont explicitement conscient de toute période de temps pendant laquelle ils opèrent avec un accès privilégié à un système.
6. Le cas échéant, il est demandé aux utilisateurs de se réauthentifier avant d'utiliser les droits d'accès privilégiés, afin d'assurer une plus grande sécurité des informations/données.
7. Réaliser des audits périodiques des droits d’accès privilégiés, notamment suite à une période de changement organisationnel. Les droits d'accès des utilisateurs doivent être révisés en fonction de leurs « devoirs, rôles, responsabilités et compétences » (voir Contrôle 5.18).
8. Pensez à opérer selon ce que l'on appelle une procédure « briser la vitre », c'est-à-dire s'assurer que les droits d'accès privilégiés sont accordés dans des plages horaires étroitement contrôlées qui répondent aux exigences minimales pour qu'une opération soit effectuée (changements critiques, administration du système, etc.).
9. Assurez-vous que toutes les activités d’accès privilégié sont enregistrées en conséquence.
10. Empêcher l'utilisation d'informations de connexion génériques au système (en particulier les noms d'utilisateur et mots de passe standardisés) (voir Contrôle 5.17).
11. Respectez une politique d’attribution aux utilisateurs d’une identité distincte, qui permet un contrôle plus strict des droits d’accès privilégiés. De telles identités peuvent ensuite être regroupées, le groupe associé bénéficiant de différents niveaux de droits d'accès.
12. Assurez-vous que les droits d'accès privilégiés sont réservés uniquement aux tâches critiques liées au fonctionnement continu d'un réseau TIC fonctionnel, telles que l'administration du système et la maintenance du réseau.

Contrôles pris en charge

• 5.15

Modifications et différences par rapport à la norme ISO 27002:2013

Le contrôle 27002:2022-8.2 remplace le 27002:2013-9.2.3 (Gestion des droits d'accès privilégiés).

27002:2022-8.2 contient 5 points d'orientation majeurs qui ne sont pas explicites dans son homologue de 2013:

1. 27002:2022-8.2 ne nécessite pas explicitement un ID utilisateur différent pour les droits d'accès privilégiés.
2. 27002:2022-8.2 souligne la nécessité de se réauthentifier avant de recevoir des droits d'accès privilégiés.
3. 27002:2022-8.2 préconise une approche en cas de bris de verre lors de l'exécution de tâches de maintenance critiques, basée sur des fenêtres horaires étroitement contrôlées.
4. 27002:2022-8.2 demande aux organisations de conserver des journaux d'accès privilégiés complets, à des fins d'audit.
5. 27002 : 2022-8.2 demande aux organisations de limiter l’utilisation des droits d’accès privilégiés aux tâches administratives.

Comment ISMS.online vous aide

La norme ISO 27002, Contrôle 6.6, couvre la nécessité pour les organisations d'empêcher la fuite d'informations confidentielles en établissant accords de confidentialité avec les parties intéressées et personnels.

Notre plateforme basée sur le cloud fournit un ensemble complet d'outils pour aider les organisations à mettre en place un système de gestion de la sécurité de l'information (ISMS) selon ISO 27002.

Ces outils incluent:

• Une bibliothèque de modèles pour les documents d'entreprise courants.
• Un ensemble de politiques et de procédures prédéfinies.
• Un outil d'audit pour soutenir les audits internes.
• Une interface de configuration à personnaliser Politiques SMSI et procédures.
• Un workflow d'approbation pour toutes les modifications apportées aux politiques et procédures.
• Une liste de contrôle pour vous assurer que vos politiques et processus de sécurité des informations respectent les normes internationales approuvées.

ISMS.Online permet également aux utilisateurs de :

• Gérer tous les aspects du SMSI cycle de vie en toute simplicité.
• Obtenez des informations en temps réel sur leur posture de sécurité et leurs lacunes en matière de conformité.
• Intégrez-vous à d’autres systèmes tels que les ressources humaines, les finances et la gestion de projet.
• Démontrer la conformité de leurs SMSI avec ISO 27001

L'outil ISMS.Online fournit également des conseils sur la meilleure façon de mettre en œuvre votre SMSI en fournissant des conseils sur la façon de créer des politiques et des procédures liées à des aspects tels que la gestion des risques, la formation de sensibilisation à la sécurité du personnel et la planification de la réponse aux incidents.