Si les employés visitent des sites Web au contenu malveillant, cela peut exposer les réseaux et les systèmes d'information de l'entreprise à des risques de sécurité tels que des attaques de logiciels malveillants.
Par exemple, les cyberattaquants peuvent envoyer un e-mail de phishing à la messagerie professionnelle d'un employé, le persuader de cliquer sur un lien et de visiter un site Web. Lorsqu'un employé visite ce site Web, il peut automatiquement télécharger des logiciels malveillants sur son appareil, puis s'infiltrer dans les réseaux de l'entreprise. Ce type d'attaque est appelé téléchargement au volant et il télécharge automatiquement les logiciels malveillants dès qu'un employé visite un site Web.
Par conséquent, les organisations doivent mettre en place des contrôles de filtrage Web appropriés pour restreindre et contrôler l’accès aux sites Web externes et prévenir les menaces de sécurité.
Control 8.23 permet aux organisations d'éliminer les risques de sécurité tels que les infections par des logiciels malveillants qui peuvent survenir suite à l'accès à des sites Web externes contenant du contenu malveillant.
Le contrôle 8.23 est un type de contrôle préventif qui oblige les organisations à mettre en place des contrôles d'accès et des mesures appropriés pour empêcher l'accès au contenu malveillant sur des sites Web externes.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité #Intégrité #Disponibilité | #Protéger | #Sécurité du système et des réseaux | #Protection |
Étant donné que l'article 8.28 implique l'identification des sites Web externes à haut risque ainsi que la conception et la mise en œuvre de contrôles d'accès et de filtrage Web appropriés, le responsable de la sécurité de l'information devrait être responsable de prendre les mesures appropriées pour assurer la conformité.
Les organisations doivent établir et mettre en œuvre les contrôles nécessaires pour empêcher les employés d'accéder à des sites Web externes susceptibles de contenir des virus, du matériel de phishing ou d'autres types d'informations illégales.
Une technique efficace pour empêcher l’accès à des sites Web externes dangereux consiste à bloquer l’adresse IP ou le domaine des sites Web identifiés comme dangereux. Par exemple, certains navigateurs et outils anti-malware permettent aux organisations de le faire automatiquement.
Le contrôle 8.23 note que les organisations doivent déterminer quels types de sites Web ne doivent pas être consultés par les employés.
En particulier, les types de sites Web suivants doivent être bloqués :
Avant de concevoir et de mettre en œuvre ce contrôle, il est conseillé aux organisations de mettre en place des règles pour un accès et une utilisation sûrs et appropriés aux ressources en ligne. Cela devrait également inclure l’imposition de restrictions sur les sites Web contenant des éléments inappropriés.
Ces règles doivent être revues et mises à jour à intervalles réguliers.
Le contrôle 8.23 exige que tout le personnel reçoive une formation sur la manière d’accéder et d’utiliser les ressources en ligne en toute sécurité.
Cette formation doit couvrir les propres règles de l'organisation et doit expliquer comment le personnel peut faire part de ses préoccupations en matière de sécurité en contactant la personne concernée au sein de l'organisation.
En outre, la formation devrait également expliquer comment le personnel peut accéder à des sites Web restreints pour des raisons professionnelles valables et comment fonctionne ce processus d'exception pour un tel accès.
Dernier point mais non le moindre, la formation devrait aborder les avis du navigateur qui avertissent les utilisateurs qu'un site Web n'est pas sécurisé mais qui leur permettent de continuer. Le personnel doit être informé de ne pas ignorer ces avertissements.
La seule conformité
solution dont vous avez besoin
Réservez votre démo
Il existe diverses techniques de filtrage Web telles que :
27002:2022/8.23 est un nouveau type de contrôle.
Vous pouvez surveiller et gérer tous les aspects de votre parcours de conformité ISO 27002 à partir d'un seul endroit : gestion des audits, analyse des écarts, gestion de la formation, évaluation des risques, etc.
Il fournit une solution intégrée facile à utiliser, accessible 24h/7 et 27001j/XNUMX via n'importe quel appareil doté d'une connexion Internet. La plateforme permet à tous les employés de travailler ensemble de manière transparente et sécurisée pour gérer les risques de sécurité et suivre la conformité de l'organisation, ainsi que le parcours vers la certification ISO XNUMX.
Contactez-nous dès aujourd'hui pour réserver une démo.
Nous vous donnerons une longueur d'avance de 81 %
à partir du moment où vous vous connectez
Réservez votre démo
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | Nouveauté | Intelligence de la menace |
| 5.23 | Nouveauté | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | Nouveauté | Préparation aux TIC pour la continuité des activités |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 8.9 | Nouveauté | Gestion de la configuration |
| 8.10 | Nouveauté | Suppression des informations |
| 8.11 | Nouveauté | Masquage des données |
| 8.12 | Nouveauté | Prévention des fuites de données |
| 8.16 | Nouveauté | Activités de surveillance |
| 8.23 | Nouveauté | filtrage web |
| 8.28 | Nouveauté | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Tamisage |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | Nouveauté | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
