ISO 27002:2022, Contrôle 8.27 – Architecture de système sécurisée et principes d'ingénierie

Propriété du contrôle 8.27

chef Le responsable de la sécurité de l’information doit être tenu responsable pour l'établissement, la maintenance et la mise en œuvre des principes qui régissent l'ingénierie sécurisée des systèmes d'information.

Orientations générales sur la conformité

Le contrôle 8.27 souligne que les organisations doivent intégrer la sécurité dans toutes les couches des systèmes d’information, y compris les processus métier, les applications et l'architecture des données.

Les inspections régulières contribuent également à la sécurité des passagers. En identifiant et en traitant les risques potentiels pour la sécurité, tels que des freins usés, un éclairage défectueux ou le remplacement du revêtement de sol, les inspections permettent de réduire le risque d'accidents et de blessures et d'améliorer la sécurité générale du service. Les inspections régulières sont un moyen concret de mettre en valeur l'engagement des prestataires de services de transport en faveur du bien-être des passagers et des conducteurs. les principes d’ingénierie sécurisée doivent s’appliquer à toutes les activités liées aux systèmes d’information et devrait être soumis à un examen et à des mises à jour réguliers en tenant compte des menaces et des modèles d'attaque émergents.

Outre les systèmes d'information développés et exploités en interne, le contrôle 8.27 s'applique également aux systèmes d'information créés par des prestataires de services externes.

Par conséquent, les organisations doivent s’assurer que les pratiques et normes des fournisseurs de services sont conformes à leurs propres principes d’ingénierie sécurisée.

Control 8.27 requiert des principes d'ingénierie de système sécurisé pour couvrir les huit problèmes suivants :

• Conseils sur les méthodes d’authentification des utilisateurs.
• Orientation sur contrôle de session sécurisé.
• Conseils sur les procédures de nettoyage et de validation des données.
• Déclaration en ligne analyse de toutes les mesures de sécurité nécessaires pour protéger les actifs et les systèmes d’information contre les menaces connues.
• Analyse complète des capacités des mesures de sécurité à identifier, éliminer et répondre aux menaces de sécurité.
• En cours d'analyse mesures de sécurité appliquées à des activités commerciales spécifiques comme le cryptage des informations.
• Comment les mesures de sécurité seront mises en œuvre et où. Cela peut inclure l'intégration d'un contrôle de sécurité spécifique au sein de l'infrastructure technique.
• Comment différentes mesures de sécurité fonctionnent ensemble et fonctionnent comme un ensemble combiné de contrôles.

Conseils sur le principe Zero Trust

Les organisations doivent prendre en compte les principes de confiance zéro suivants :

• En partant de l’hypothèse que les systèmes de l’organisation sont déjà compromis et que la sécurité définie du périmètre réseau n’est plus efficace.
• Adopter une approche « ne jamais faire confiance et toujours vérifier » pour fournir l’accès aux systèmes d’information.
• Garantir que les requêtes adressées aux systèmes d’information sont protégées par un cryptage de bout en bout.
• Mettre en œuvre un mécanisme de vérification qui suppose demandes d'accès à l'information les systèmes sont constitués de réseaux externes et ouverts.
• Mettre en place le « moindre privilège » et la dynamique techniques de contrôle d'accès conformément aux contrôles 5.15, 5,18 et 8.2. Cela couvre l'authentification et l'autorisation des demandes d'accès aux informations et systèmes d'information sensibles en tenant compte des informations contextuelles telles que les identités des utilisateurs telles que définies dans le contrôle 5.16 et la classification des informations comme prescrit dans le contrôle 5.12.
• Authentifier toujours l’identité du demandeur et vérifier les demandes d’autorisation pour accéder aux systèmes d’information. Ces procédures d'authentification et de vérification doivent être effectuées conformément aux informations d'authentification du contrôle 5.17, aux identités des utilisateurs du contrôle 5.16 et à plusieurs facteurs du contrôle 8.5.

Que devraient couvrir les techniques d’ingénierie des systèmes sécurisés ?

• Adopter et mettre en œuvre des principes d'architecture sécurisée, notamment « sécurité dès la conception », « défense en profondeur », « échec sécurisé », « méfiance envers les entrées d'applications externes », « présumer une violation », « moindre privilège », « convivialité et gérabilité » et « moindre fonctionnalité ».
• Adopter et appliquer un processus de revue de conception axé sur la sécurité pour détecter la sécurité des informations vulnérabilités et garantir que les mesures de sécurité sont identifiées et répondent aux exigences de sécurité.
• Documenter et reconnaître les mesures de sécurité qui ne répondent pas aux exigences.
• Durcissement du système.

Quels critères prendre en compte lors de la conception de principes d’ingénierie sécurisée ?

Les organisations doivent prendre en compte les éléments suivants lors de l’établissement des principes d’ingénierie des systèmes sécurisés :

• La nécessité d’intégrer les contrôles à une architecture de sécurité spécifique.
• Infrastructure de sécurité technique existante, y compris l'infrastructure à clé publique, la gestion des identités et la prévention des fuites de données.
• Si l'organisation est capable de créer et de maintenir la technologie sélectionnée.
• Coût et temps requis pour satisfaire aux exigences de sécurité et à la complexité de ces exigences.
• Meilleures pratiques existantes.

Conseils pratiques sur l’application des principes d’ingénierie des systèmes sécurisés

Control 8.27 indique que les organisations peuvent mettre en pratique les principes d'ingénierie sécurisée lors de la configuration des éléments suivants :

• Tolérance aux pannes et méthodes de résilience similaires.
• Techniques de ségrégation telles que la virtualisation.
• Résistance aux manipulations.

En outre, l'utilisation de la technologie de virtualisation sécurisée peut aider à éliminer le risque d'interception entre deux applications exécutées sur le même appareil.

Enfin, il convient de souligner que l'utilisation de systèmes d'inviolabilité peut aider à identifier les altérations logiques et physiques des systèmes d'information et à empêcher l'extraction non autorisée d'informations.

Changements et différences par rapport à la norme ISO 27002:2013

27002:2022/8.27 replace 27002:2013/(14.2.5)

La version 2022 introduit des exigences plus complètes par rapport à la version 2013 :

1. Contrairement à la version 2013, la version 2022 fournit des indications sur ce que devraient couvrir les principes d'ingénierie sécurisée.
2. Contrairement à la version 2013, la version 2022 aborde les critères que les organisations devraient prendre en compte lorsqu'elles conçoivent des principes d'ingénierie de systèmes sécurisés.
3. La version 2022 comprend des orientations sur le principe de confiance zéro. La version 2013, en revanche, ne couvrait pas ce point.
4. La version 2022 comprend des recommandations sur les techniques d'ingénierie sécurisées à appliquer, telles que la « sécurité dès la conception ». Contrairement à la version 2022, la version 2013 ne faisait pas référence à de telles techniques.

Comment ISMS.online vous aide

La mise en œuvre de la norme ISO 27002 est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre solution complète de conformité pour ISO/IEC 27002:2022 .

• Jusqu'à 81 % de progression à partir de votre connexion.
• Solution simple et de conformité totale.

Contactez-nous dès aujourd'hui pour réserver une démo.