ISO 27002 :2022 – Contrôle 8.26 – Exigences de sécurité des applications

Comprendre le contrôle 27002 de la norme ISO 8.26 : exigences de sécurité des applications

Programmes logiciels d'application tels que les applications Web, les logiciels graphiques, les logiciels de bases de données et les logiciels de traitement des paiements sont essentiels à de nombreuses opérations commerciales critiques.

Cependant, ces applications sont souvent exposées à vulnérabilités de sécurité pouvant entraîner la compromission d’informations sensibles.

Par exemple, Equifax, une agence d'évaluation du crédit basée aux États-Unis, n'a pas réussi à appliquer un correctif de sécurité sur un cadre d'application de site Web utilisé pour traiter les plaintes des clients. Les cyber-attaquants ont utilisé les failles de sécurité dans l'application Web pour infiltrer les réseaux d'entreprise d'Equifax et voler les données sensibles d'environ 145 millions de personnes.

Le contrôle 8.26 explique comment les organisations peuvent établir et appliquer des exigences en matière de sécurité de l’information pour le développement, l’utilisation et l’acquisition d’applications.

Objectif du contrôle 8.26

Control 8.26 permet aux organisations de protéger les actifs informationnels stockés ou traités via des applications en identifiant et en appliquant les exigences appropriées en matière de sécurité des informations.

Attributs Table de contrôle 8.26

Le contrôle 8.26 est un type de contrôle préventif qui prévient les risques pour l'intégrité, la disponibilité et la confidentialité des actifs informationnels stockés sur l'application grâce à l'utilisation de mesures de sécurité des informations appropriées.

Propriété du contrôle 8.26

Le responsable de la sécurité de l'information, avec le soutien de spécialistes de la sécurité de l'information, devrait être responsable de l'identification, de l'approbation et de la mise en œuvre des exigences en matière d'information pour l'acquisition, l'utilisation et le développement d'applications.

Orientations générales sur la conformité

Les orientations générales indiquent que les organisations devraient effectuer une évaluation des risques pour déterminer le type d'exigences en matière de sécurité de l'information approprié à une application particulière.

Bien que le contenu et les types de exigences en matière de sécurité de l'information peuvent varier en fonction de la nature de la demande, les exigences doivent répondre aux éléments suivants :

• Le degré de confiance attribué à l'identité d'entités spécifiques conformément aux contrôles 5.17, 8.2 et 8.5.
• Identification du niveau de classification affectés aux actifs informationnels à stocker ou à traiter par l'application.
• S'il est nécessaire de séparer l'accès aux fonctions et aux informations stockées sur l'application.
• Si l'application est résiliente contre les cyberattaques telles que les injections SQL ou les interceptions involontaires telles que le débordement de tampon.
• Exigences et normes légales, réglementaires et statutaires applicables à la transaction traitée, générée, stockée ou complétée par l'application.
• Considérations en matière de confidentialité pour toutes les parties impliquées.
• Conditions requises pour le protection des données confidentielles.
• Protection des informations en cours d'utilisation, en transit ou au repos.
• Collectivités, cryptage sécurisé des communications entre toutes les parties concernées est nécessaire.
• Mise en œuvre de contrôles d'entrée tels que la validation des entrées ou la réalisation de contrôles d'intégrité.
• Réalisation de contrôles automatisés.
• Effectuer des contrôles de sortie, en tenant compte de qui peut visualiser les sorties et de l'autorisation d'accès.
• Nécessité d'imposer des restrictions sur le contenu des champs « texte libre » pour protéger la diffusion de données confidentielles de manière incontrôlable.
• Exigences découlant des besoins commerciaux telles que la journalisation des transactions et les exigences de non-répudiation.
• Exigences imposées par d'autres contrôles de sécurité tels que les systèmes de détection des fuites de données.
• Comment gérer les messages d'erreur.

Conseils supplémentaires sur les services transactionnels

Le contrôle 8.26 exige que les organisations prennent en compte les sept recommandations suivantes lorsqu'une application propose des services transactionnels entre l'organisation et un partenaire :

• Le degré de confiance que chaque partie à la transaction exige dans l'identité de l'autre partie.
• Le degré de confiance requis dans l'intégrité des données communiquées ou traitées et l'identification d'un mécanisme approprié pour détecter tout manque d'intégrité, y compris des outils tels que le hachage et les signatures numériques.
• Mise en place d'un processus d'autorisation pour déterminer qui est autorisé à approuver le contenu, à signer ou à approuver les documents transactionnels essentiels.
• Maintenir la confidentialité et l’intégrité des documents critiques et prouver l’envoi et la réception de ces documents.
• Protéger et maintenir l'intégrité et la confidentialité de toutes les transactions telles que les commandes et les reçus.
• Exigences pendant lesquelles les transactions doivent rester confidentielles.
• Exigences contractuelles et exigences liées à l’assurance.

Conseils supplémentaires sur les applications de commande et de paiement électroniques

Lorsque les applications incluent des fonctionnalités de paiement et de commande électronique, les organisations doivent prendre en compte les éléments suivants :

• Les exigences garantissent que la confidentialité et l’intégrité des informations de commande ne sont pas compromises.
• Déterminer un degré de vérification approprié pour vérifier les détails de paiement fournis par un client.
• Prévenir la perte ou la duplication des informations sur les transactions.
• Veiller à ce que les informations liées aux informations soient stockées en dehors d'un environnement accessible au public, par exemple sur un support de stockage hébergé sur le propre intranet de l'organisation.
• Lorsque les organisations s'appuient sur une autorité externe de confiance, par exemple pour l'émission de signatures numériques, elles doivent garantir que la sécurité est intégrée dans l'ensemble du processus.

Conseils supplémentaires sur les réseaux

Lorsque les applications sont accessibles via les réseaux, elles sont vulnérables à des menaces telles que des litiges contractuels, des activités frauduleuses, des erreurs d'acheminement, des modifications non autorisées du contenu des communications ou la perte de confidentialité d'informations sensibles.

Le contrôle 8.26 recommande aux organisations d'effectuer des évaluations des risques pour identifier les contrôles appropriés comme l'utilisation de la cryptographie pour assurer la sécurité des transferts d'informations.

Changements et différences par rapport à la norme ISO 27002:2013

27002:2022/8.26 remplace 27002:2013/(14.1.2 et 14.1.3)

Il existe trois grandes différences entre les deux versions.

Toutes les applications et applications passant par les réseaux publics

La version ISO 27002:2013 ne répertorie pas les exigences applicables à toutes les applications : elle fournit une liste d'exigences en matière de sécurité de l'information qui doivent être prises en compte pour les applications transitant par des réseaux publics.

Contrôle 8.26 dans la version 2022, au contraire, a fourni une liste d'exigences en matière de sécurité des informations qui s'appliquent à toutes les applications.

Conseils supplémentaires sur les applications de commande et de paiement électroniques

Control 8.26 dans la version 2022 contient des conseils spécifiques sur Applications de commande et de paiement électroniques. En revanche, la version 2013 n’aborde pas ce problème.

Exigence supplémentaire sur les services transactionnels

Alors que la version 2022 et la version 2013 sont quasiment identiques en termes d'exigences pour les services transactionnels, la version 2022 introduit une exigence supplémentaire non abordée dans la version 2013 :

• Les organisations doivent tenir compte des exigences contractuelles et des exigences liées à l’assurance.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISMS.online est une solution basée sur le cloud qui aide les entreprises à démontrer leur conformité à la norme ISO 27002. La solution ISMS.online peut être utilisée pour gérer les exigences de ISO 27002 et assurez-vous que votre organisation reste conforme à la nouvelle norme.

Notre plateforme est convivial et simple. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre entreprise.

Contactez-nous dès aujourd'hui pour réserver une démo.