Comprendre le contrôle 27002 de la norme ISO 8.26 : exigences de sécurité des applications
Programmes logiciels d'application tels que les applications Web, les logiciels graphiques, les logiciels de bases de données et les logiciels de traitement des paiements sont essentiels à de nombreuses opérations commerciales critiques.
Cependant, ces applications sont souvent exposées à vulnérabilités de sécurité pouvant entraîner la compromission d’informations sensibles.
Par exemple, Equifax, une agence d'évaluation du crédit basée aux États-Unis, n'a pas réussi à appliquer un correctif de sécurité sur un cadre d'application de site Web utilisé pour traiter les plaintes des clients. Les cyber-attaquants ont utilisé les failles de sécurité dans l'application Web pour infiltrer les réseaux d'entreprise d'Equifax et voler les données sensibles d'environ 145 millions de personnes.
Le contrôle 8.26 explique comment les organisations peuvent établir et appliquer des exigences en matière de sécurité de l’information pour le développement, l’utilisation et l’acquisition d’applications.
Objectif du contrôle 8.26
Control 8.26 permet aux organisations de protéger les actifs informationnels stockés ou traités via des applications en identifiant et en appliquant les exigences appropriées en matière de sécurité des informations.
Attributs Table de contrôle 8.26
Le contrôle 8.26 est un type de contrôle préventif qui prévient les risques pour l'intégrité, la disponibilité et la confidentialité des actifs informationnels stockés sur l'application grâce à l'utilisation de mesures de sécurité des informations appropriées.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité des applications | #Protection |
| #Intégrité | #Sécurité du système et des réseaux | #La défense | ||
| #Disponibilité |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 8.26
Le responsable de la sécurité de l'information, avec le soutien de spécialistes de la sécurité de l'information, devrait être responsable de l'identification, de l'approbation et de la mise en œuvre des exigences en matière d'information pour l'acquisition, l'utilisation et le développement d'applications.
Orientations générales sur la conformité
Les orientations générales indiquent que les organisations devraient effectuer une évaluation des risques pour déterminer le type d'exigences en matière de sécurité de l'information approprié à une application particulière.
Bien que le contenu et les types de exigences en matière de sécurité de l'information peuvent varier en fonction de la nature de la demande, les exigences doivent répondre aux éléments suivants :
- Le degré de confiance attribué à l'identité d'entités spécifiques conformément aux contrôles 5.17, 8.2 et 8.5.
- Identification du niveau de classification affectés aux actifs informationnels à stocker ou à traiter par l'application.
- S'il est nécessaire de séparer l'accès aux fonctions et aux informations stockées sur l'application.
- Si l'application est résiliente contre les cyberattaques telles que les injections SQL ou les interceptions involontaires telles que le débordement de tampon.
- Exigences et normes légales, réglementaires et statutaires applicables à la transaction traitée, générée, stockée ou complétée par l'application.
- Considérations en matière de confidentialité pour toutes les parties impliquées.
- Conditions requises pour le protection des données confidentielles.
- Protection des informations en cours d'utilisation, en transit ou au repos.
- Collectivités, cryptage sécurisé des communications entre toutes les parties concernées est nécessaire.
- Mise en œuvre de contrôles d'entrée tels que la validation des entrées ou la réalisation de contrôles d'intégrité.
- Réalisation de contrôles automatisés.
- Effectuer des contrôles de sortie, en tenant compte de qui peut visualiser les sorties et de l'autorisation d'accès.
- Nécessité d'imposer des restrictions sur le contenu des champs « texte libre » pour protéger la diffusion de données confidentielles de manière incontrôlable.
- Exigences découlant des besoins commerciaux telles que la journalisation des transactions et les exigences de non-répudiation.
- Exigences imposées par d'autres contrôles de sécurité tels que les systèmes de détection des fuites de données.
- Comment gérer les messages d'erreur.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Conseils supplémentaires sur les services transactionnels
Le contrôle 8.26 exige que les organisations prennent en compte les sept recommandations suivantes lorsqu'une application propose des services transactionnels entre l'organisation et un partenaire :
- Le degré de confiance que chaque partie à la transaction exige dans l'identité de l'autre partie.
- Le degré de confiance requis dans l'intégrité des données communiquées ou traitées et l'identification d'un mécanisme approprié pour détecter tout manque d'intégrité, y compris des outils tels que le hachage et les signatures numériques.
- Mise en place d'un processus d'autorisation pour déterminer qui est autorisé à approuver le contenu, à signer ou à approuver les documents transactionnels essentiels.
- Maintenir la confidentialité et l’intégrité des documents critiques et prouver l’envoi et la réception de ces documents.
- Protéger et maintenir l'intégrité et la confidentialité de toutes les transactions telles que les commandes et les reçus.
- Exigences pendant lesquelles les transactions doivent rester confidentielles.
- Exigences contractuelles et exigences liées à l’assurance.
Conseils supplémentaires sur les applications de commande et de paiement électroniques
Lorsque les applications incluent des fonctionnalités de paiement et de commande électronique, les organisations doivent prendre en compte les éléments suivants :
- Les exigences garantissent que la confidentialité et l’intégrité des informations de commande ne sont pas compromises.
- Déterminer un degré de vérification approprié pour vérifier les détails de paiement fournis par un client.
- Prévenir la perte ou la duplication des informations sur les transactions.
- Veiller à ce que les informations liées aux informations soient stockées en dehors d'un environnement accessible au public, par exemple sur un support de stockage hébergé sur le propre intranet de l'organisation.
- Lorsque les organisations s'appuient sur une autorité externe de confiance, par exemple pour l'émission de signatures numériques, elles doivent garantir que la sécurité est intégrée dans l'ensemble du processus.
Conseils supplémentaires sur les réseaux
Lorsque les applications sont accessibles via les réseaux, elles sont vulnérables à des menaces telles que des litiges contractuels, des activités frauduleuses, des erreurs d'acheminement, des modifications non autorisées du contenu des communications ou la perte de confidentialité d'informations sensibles.
Le contrôle 8.26 recommande aux organisations d'effectuer des évaluations des risques pour identifier les contrôles appropriés comme l'utilisation de la cryptographie pour assurer la sécurité des transferts d'informations.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Changements et différences par rapport à la norme ISO 27002:2013
27002:2022/8.26 remplace 27002:2013/(14.1.2 et 14.1.3)
Il existe trois grandes différences entre les deux versions.
Toutes les applications et applications passant par les réseaux publics
La version ISO 27002:2013 ne répertorie pas les exigences applicables à toutes les applications : elle fournit une liste d'exigences en matière de sécurité de l'information qui doivent être prises en compte pour les applications transitant par des réseaux publics.
Contrôle 8.26 dans la version 2022, au contraire, a fourni une liste d'exigences en matière de sécurité des informations qui s'appliquent à toutes les applications.
Conseils supplémentaires sur les applications de commande et de paiement électroniques
Control 8.26 dans la version 2022 contient des conseils spécifiques sur Applications de commande et de paiement électroniques. En revanche, la version 2013 n’aborde pas ce problème.
Exigence supplémentaire sur les services transactionnels
Alors que la version 2022 et la version 2013 sont quasiment identiques en termes d'exigences pour les services transactionnels, la version 2022 introduit une exigence supplémentaire non abordée dans la version 2013 :
- Les organisations doivent tenir compte des exigences contractuelles et des exigences liées à l’assurance.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISMS.online est une solution basée sur le cloud qui aide les entreprises à démontrer leur conformité à la norme ISO 27002. La solution ISMS.online peut être utilisée pour gérer les exigences de ISO 27002 et assurez-vous que votre organisation reste conforme à la nouvelle norme.
Notre plateforme est convivial et simple. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre entreprise.
Contactez-nous dès aujourd'hui pour réserver une démo.
