Objectif du contrôle 8.21
En informatique, un « service réseau » peut être largement décrit comme un système fonctionnant sur la « couche application réseau », tel que e-mail, Printingou simplement une façon de vous faire plaisir avec un serveur de fichiers. Les services réseau incluent également des applications gérées et des solutions de sécurité telles que pare-feu ou passerelle plateformes antivirus, systèmes de détection d'intrusion et services de connexion.
Les services réseau représentent souvent les éléments fonctionnels les plus importants d'un réseau et sont essentiels au fonctionnement quotidien d'un réseau TIC commercial moderne. La sécurité est donc primordiale et l'utilisation des services réseau doit être étroitement surveillée et directement gérée afin de minimiser les risques associés de panne, d'intrusion et de perturbation de l'activité.
Attributs Table de contrôle 8.21
Le contrôle 8.21 est un contrôle préventif qui maintient le risque en établissant un ensemble de règles qui régissent l'utilisation à la fois des services réseau et, par association, du réseau hôte lui-même.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité du système et des réseaux | #Protection |
| #Intégrité | ||||
| #Disponibilité |
Propriété du contrôle 8.21
Le contrôle 8.21 traite des concepts techniques liés à la maintenance et à la gestion de plusieurs composants clés du réseau TIC d'une organisation. En tant que tel, la propriété devrait incomber au responsable informatique ou à son équivalent organisationnel.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la conformité
Le contrôle 8.21 identifie trois principaux types de sécurité, lorsqu'il aborde le concept plus large de sécurité des services réseau :
- Fonctions de sécurité
- Niveaux de service
- Exigences de service
Ces trois mesures doivent être prises en compte par tous les fournisseurs de services réseau internes et externes, et l'organisation doit prendre des mesures pour garantir que les fournisseurs remplissent à tout moment leurs obligations.
Les organisations doivent juger un fournisseur de services réseau sur sa capacité à gérer les services comme dicté par un ensemble sans ambiguïté de SLA, et surveiller le respect de leurs capacités au mieux.
Une partie de cette évaluation opérationnelle doit inclure des références obtenues auprès de sources fiables qui attestent de la capacité d'un fournisseur de services réseau à gérer les services de manière sécurisée et efficace.
Les règles de sécurité du réseau doivent inclure :
- Tous les services réseau et réseaux associés auxquels l’accès est autorisé.
- Les exigences d'authentification pour accéder auxdits services de réseau, y compris qui est autorisé à y accéder, d'où et quand ils peuvent le faire.
- Comment le personnel obtient l’autorisation préalable pour accéder aux services réseau, y compris l’approbation finale et l’analyse de rentabilisation.
- Un ensemble robuste de contrôles de gestion de réseau qui protègent les services réseau contre toute utilisation abusive et tout accès non autorisé.
- Comment le personnel est autorisé à accéder aux services réseau (c'est-à-dire à distance ou exclusivement sur site).
- Procédures de journalisation qui détaillent les informations clés sur l'accès aux services réseau et le personnel qui les utilise – par exemple, l'heure, l'emplacement et les données de l'appareil.
- Surveillance de l'utilisation des services réseau.
Conseils – Sécurité des services réseau
Control 8.21 propose également des notes d'orientation sur la façon d'augmenter la sécurité sur tous les services réseau, y compris les fonctionnalités back-end et le fonctionnement des utilisateurs.
- Les organisations devraient envisager des fonctionnalités de sécurité telles que protocoles d'authentification, chiffrement et contrôles de connexion.
- Des paramètres rigides doivent être établis pour dicter la connexion aux services réseau.
- Les utilisateurs doivent pouvoir choisir la quantité de données mises en cache (stockées temporairement) par un service réseau pour à la fois augmenter les performances globales et garantir que les données ne sont pas stockées de manière excessive au point de constituer un risque de sécurité tangible.
- Restreindre l'accès aux services réseau.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
L'ISO 27002:2022-8.21 remplace l'ISO 27002:2003-13.1.2 (Sécurité des services réseau).
27002:2022-8.21 contient plusieurs ajouts majeurs à son homologue de 2013, ce dernier se concentrant entièrement sur la sécurité des services réseau (qui contient le même ensemble de notes d'orientation) et omettant toute orientation générale sur les règles de réseau (voir les points 1 à 7 ci-dessus sous « Orientations générales »).
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
La norme ISO 27002 est un ensemble de lignes directrices qui aident les organisations à protéger leurs actifs informationnels. Il s’applique à tous les types d’organisations, quels que soient leur taille, leur structure ou leur secteur d’activité.
ISMS.online est une plate-forme basée sur le cloud qui offre une assistance pour la mise en œuvre efficace et rentable de la norme ISO 27002.
Il offre aux organisations un accès facile à tout moment à des informations à jour sur leur état de conformité via son interface de tableau de bord conviviale qui permet aux responsables de suivre leurs progrès vers la conformité rapidement et facilement.
Contactez-nous aujourd'hui pour planifier une démo.
