Programmes logiciels d'application tels que les applications Web, les logiciels graphiques, les logiciels de bases de données et les logiciels de traitement des paiements sont essentiels à de nombreuses opérations commerciales critiques.
Cependant, ces applications sont souvent exposées à vulnérabilités de sécurité pouvant entraîner la compromission d’informations sensibles.
Par exemple, Equifax, une agence d'évaluation du crédit basée aux États-Unis, n'a pas réussi à appliquer un correctif de sécurité sur un cadre d'application de site Web utilisé pour traiter les plaintes des clients. Les cyber-attaquants ont utilisé les failles de sécurité dans l'application Web pour infiltrer les réseaux d'entreprise d'Equifax et voler les données sensibles d'environ 145 millions de personnes.
Le contrôle 8.26 explique comment les organisations peuvent établir et appliquer des exigences en matière de sécurité de l’information pour le développement, l’utilisation et l’acquisition d’applications.
Control 8.26 permet aux organisations de protéger les actifs informationnels stockés ou traités via des applications en identifiant et en appliquant les exigences appropriées en matière de sécurité des informations.
Le contrôle 8.26 est un type de contrôle préventif qui prévient les risques pour l'intégrité, la disponibilité et la confidentialité des actifs informationnels stockés sur l'application grâce à l'utilisation de mesures de sécurité des informations appropriées.
Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
---|---|---|---|---|
#Préventif | #Confidentialité #Intégrité #Disponibilité | #Protéger | #Sécurité des applications #Sécurité du système et des réseaux | #Protection #La défense |
Le responsable de la sécurité de l'information, avec le soutien de spécialistes de la sécurité de l'information, devrait être responsable de l'identification, de l'approbation et de la mise en œuvre des exigences en matière d'information pour l'acquisition, l'utilisation et le développement d'applications.
Les orientations générales indiquent que les organisations devraient effectuer une évaluation des risques pour déterminer le type d'exigences en matière de sécurité de l'information approprié à une application particulière.
Bien que le contenu et les types de exigences en matière de sécurité de l'information peuvent varier en fonction de la nature de la demande, les exigences doivent répondre aux éléments suivants :
La seule conformité
solution dont vous avez besoin
Réservez votre démo
Le contrôle 8.26 exige que les organisations prennent en compte les sept recommandations suivantes lorsqu'une application propose des services transactionnels entre l'organisation et un partenaire :
Lorsque les applications incluent des fonctionnalités de paiement et de commande électronique, les organisations doivent prendre en compte les éléments suivants :
Lorsque les applications sont accessibles via les réseaux, elles sont vulnérables à des menaces telles que des litiges contractuels, des activités frauduleuses, des erreurs d'acheminement, des modifications non autorisées du contenu des communications ou la perte de confidentialité d'informations sensibles.
Le contrôle 8.26 recommande aux organisations d'effectuer des évaluations des risques pour identifier les contrôles appropriés comme l'utilisation de la cryptographie pour assurer la sécurité des transferts d'informations.
Nous vous donnerons une longueur d'avance de 81 %
à partir du moment où vous vous connectez
Réservez votre démo
27002:2022/8.26 remplace 27002:2013/(14.1.2 et 14.1.3)
Il existe trois grandes différences entre les deux versions.
La version ISO 27002:2013 ne répertorie pas les exigences applicables à toutes les applications : elle fournit une liste d'exigences en matière de sécurité de l'information qui doivent être prises en compte pour les applications transitant par des réseaux publics.
Contrôle 8.26 dans la version 2022, au contraire, a fourni une liste d'exigences en matière de sécurité des informations qui s'appliquent à toutes les applications.
Control 8.26 dans la version 2022 contient des conseils spécifiques sur Applications de commande et de paiement électroniques. En revanche, la version 2013 n’aborde pas ce problème.
Alors que la version 2022 et la version 2013 sont quasiment identiques en termes d'exigences pour les services transactionnels, la version 2022 introduit une exigence supplémentaire non abordée dans la version 2013 :
ISMS.online est une solution basée sur le cloud qui aide les entreprises à démontrer leur conformité à la norme ISO 27002. La solution ISMS.online peut être utilisée pour gérer les exigences de ISO 27002 et assurez-vous que votre organisation reste conforme à la nouvelle norme.
Notre plateforme est convivial et simple. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre entreprise.
Contactez-nous dès aujourd'hui pour réserver une démo.
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
---|---|---|
5.7 | Nouveauté | Intelligence de la menace |
5.23 | Nouveauté | Sécurité des informations pour l'utilisation des services cloud |
5.30 | Nouveauté | Préparation aux TIC pour la continuité des activités |
7.4 | Nouveauté | Surveillance de la sécurité physique |
8.9 | Nouveauté | Gestion de la configuration |
8.10 | Nouveauté | Suppression des informations |
8.11 | Nouveauté | Masquage des données |
8.12 | Nouveauté | Prévention des fuites de données |
8.16 | Nouveauté | Activités de surveillance |
8.23 | Nouveauté | filtrage web |
8.28 | Nouveauté | Codage sécurisé |
Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
---|---|---|
6.1 | 07.1.1 | Tamisage |
6.2 | 07.1.2 | Termes et conditions d'emploi |
6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
6.4 | 07.2.3 | Processus disciplinaire |
6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
6.7 | 06.2.2 | Travail à distance |
6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
---|---|---|
7.1 | 11.1.1 | Périmètres de sécurité physique |
7.2 | 11.1.2, 11.1.6 | Entrée physique |
7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
7.4 | Nouveauté | Surveillance de la sécurité physique |
7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
7.6 | 11.1.5 | Travailler dans des zones sécurisées |
7.7 | 11.2.9 | Bureau clair et écran clair |
7.8 | 11.2.1 | Implantation et protection des équipements |
7.9 | 11.2.6 | Sécurité des actifs hors site |
7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
7.11 | 11.2.2 | Utilitaires pris en charge |
7.12 | 11.2.3 | Sécurité du câblage |
7.13 | 11.2.4 | La maintenance des équipements |
7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |