Mise en œuvre du contrôle 27002 de la norme ISO 8.27 pour une sécurité renforcée
La composition complexe des systèmes d’information modernes et le paysage en constante évolution des menaces de cybersécurité rendent les systèmes d’information plus vulnérables aux menaces de sécurité connues et potentielles.
Control 8.27 explique comment les organisations peuvent éliminer menaces de sécurité pour les systèmes d'information en créant des principes d'ingénierie de systèmes sécurisés qui s’appliquent à toutes les phases du cycle de vie du système d’information.
Objectif du contrôle 8.27
Control 8.27 permet aux organisations de maintenir le sécurité des systèmes d'information pendant les étapes de conception, de déploiement et d’exploitation en établissant et en mettant en œuvre des principes d’ingénierie de systèmes sécurisés auxquels les ingénieurs système se conforment.
Attributs Table de contrôle 8.27
Le contrôle 8.27 est un type de contrôle préventif qui oblige les organisations à éliminer les menaces connues et potentielles pour le système. confidentialité, intégrité et disponibilité des actifs informationnels stockés ou traités via des systèmes d'information tels que des supports de stockage, des bases de données et des applications via l'établissement de principes d'ingénierie de système sécurisé.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité des applications | #Protection |
| #Intégrité | #Sécurité du système et des réseaux | |||
| #Disponibilité |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 8.27
chef Le responsable de la sécurité de l’information doit être tenu responsable pour l'établissement, la maintenance et la mise en œuvre des principes qui régissent l'ingénierie sécurisée des systèmes d'information.
Orientations générales sur la conformité
Le contrôle 8.27 souligne que les organisations doivent intégrer la sécurité dans toutes les couches des systèmes d’information, y compris les processus métier, les applications et l'architecture des données.
De plus, les principes d’ingénierie sécurisée doivent s’appliquer à toutes les activités liées aux systèmes d’information et devrait être soumis à un examen et à des mises à jour réguliers en tenant compte des menaces et des modèles d'attaque émergents.
Outre les systèmes d'information développés et exploités en interne, le contrôle 8.27 s'applique également aux systèmes d'information créés par des prestataires de services externes.
Par conséquent, les organisations doivent s’assurer que les pratiques et normes des fournisseurs de services sont conformes à leurs propres principes d’ingénierie sécurisée.
Control 8.27 requiert des principes d'ingénierie de système sécurisé pour couvrir les huit problèmes suivants :
- Conseils sur les méthodes d’authentification des utilisateurs.
- Orientation sur contrôle de session sécurisé.
- Conseils sur les procédures de nettoyage et de validation des données.
- Base de connaissances complète analyse de toutes les mesures de sécurité nécessaires pour protéger les actifs et les systèmes d’information contre les menaces connues.
- Analyse complète des capacités des mesures de sécurité à identifier, éliminer et répondre aux menaces de sécurité.
- En cours d'analyse mesures de sécurité appliquées à des activités commerciales spécifiques comme le cryptage des informations.
- Comment les mesures de sécurité seront mises en œuvre et où. Cela peut inclure l'intégration d'un contrôle de sécurité spécifique au sein de l'infrastructure technique.
- Comment différentes mesures de sécurité fonctionnent ensemble et fonctionnent comme un ensemble combiné de contrôles.
Conseils sur le principe Zero Trust
Les organisations doivent prendre en compte les principes de confiance zéro suivants :
- En partant de l’hypothèse que les systèmes de l’organisation sont déjà compromis et que la sécurité définie du périmètre réseau n’est plus efficace.
- Adopter une approche « ne jamais faire confiance et toujours vérifier » pour fournir l’accès aux systèmes d’information.
- Garantir que les requêtes adressées aux systèmes d’information sont protégées par un cryptage de bout en bout.
- Mettre en œuvre un mécanisme de vérification qui suppose demandes d'accès à l'information les systèmes sont constitués de réseaux externes et ouverts.
- Mettre en place le « moindre privilège » et la dynamique techniques de contrôle d'accès conformément aux contrôles 5.15, 5,18 et 8.2. Cela couvre l'authentification et l'autorisation des demandes d'accès aux informations et systèmes d'information sensibles en tenant compte des informations contextuelles telles que les identités des utilisateurs telles que définies dans le contrôle 5.16 et la classification des informations comme prescrit dans le contrôle 5.12.
- Authentifier toujours l’identité du demandeur et vérifier les demandes d’autorisation pour accéder aux systèmes d’information. Ces procédures d'authentification et de vérification doivent être effectuées conformément aux informations d'authentification du contrôle 5.17, aux identités des utilisateurs du contrôle 5.16 et à plusieurs facteurs du contrôle 8.5.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Que devraient couvrir les techniques d’ingénierie des systèmes sécurisés ?
- Adopter et mettre en œuvre des principes d'architecture sécurisée, notamment « sécurité dès la conception », « défense en profondeur », « échec sécurisé », « méfiance envers les entrées d'applications externes », « présumer une violation », « moindre privilège », « convivialité et gérabilité » et « moindre fonctionnalité ».
- Adopter et appliquer un processus de revue de conception axé sur la sécurité pour détecter la sécurité des informations vulnérabilités et garantir que les mesures de sécurité sont identifiées et répondent aux exigences de sécurité.
- Documenter et reconnaître les mesures de sécurité qui ne répondent pas aux exigences.
- Durcissement du système.
Quels critères prendre en compte lors de la conception de principes d’ingénierie sécurisée ?
Les organisations doivent prendre en compte les éléments suivants lors de l’établissement des principes d’ingénierie des systèmes sécurisés :
- La nécessité d’intégrer les contrôles à une architecture de sécurité spécifique.
- Infrastructure de sécurité technique existante, y compris l'infrastructure à clé publique, la gestion des identités et la prévention des fuites de données.
- Si l'organisation est capable de créer et de maintenir la technologie sélectionnée.
- Coût et temps requis pour satisfaire aux exigences de sécurité et à la complexité de ces exigences.
- Meilleures pratiques existantes.
Conseils pratiques sur l’application des principes d’ingénierie des systèmes sécurisés
Control 8.27 indique que les organisations peuvent mettre en pratique les principes d'ingénierie sécurisée lors de la configuration des éléments suivants :
- Tolérance aux pannes et méthodes de résilience similaires.
- Techniques de ségrégation telles que la virtualisation.
- Résistance aux manipulations.
En outre, l'utilisation de la technologie de virtualisation sécurisée peut aider à éliminer le risque d'interception entre deux applications exécutées sur le même appareil.
Enfin, il convient de souligner que l'utilisation de systèmes d'inviolabilité peut aider à identifier les altérations logiques et physiques des systèmes d'information et à empêcher l'extraction non autorisée d'informations.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Changements et différences par rapport à la norme ISO 27002:2013
27002:2022/8.27 replaces 27002:2013/(14.2.5)
La version 2022 introduit des exigences plus complètes par rapport à la version 2013 :
- Contrairement à la version 2013, la version 2022 fournit des indications sur ce que devraient couvrir les principes d'ingénierie sécurisée.
- Contrairement à la version 2013, la version 2022 aborde les critères que les organisations devraient prendre en compte lorsqu'elles conçoivent des principes d'ingénierie de systèmes sécurisés.
- La version 2022 comprend des orientations sur le principe de confiance zéro. La version 2013, en revanche, ne couvrait pas ce point.
- La version 2022 comprend des recommandations sur les techniques d'ingénierie sécurisées à appliquer, telles que la « sécurité dès la conception ». Contrairement à la version 2022, la version 2013 ne faisait pas référence à de telles techniques.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
La mise en œuvre de la norme ISO 27002 est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre solution complète de conformité pour ISO/IEC 27002:2022 .
- Jusqu'à 81 % de progression à partir de votre connexion.
- Solution simple et de conformité totale.
Contactez-nous dès aujourd'hui pour réserver une démo.
