ISO 27002:2022, Contrôle 8.3 – Restriction d'accès aux informations

Orientations générales sur le contrôle 8.3

Afin de maintenir l'efficacité contrôle des informations et des actifs TIC, et à l'appui des mesures de restriction d'accès, les organisations doivent garantir ce qui suit conformément à un spécifique au sujet approche de l’accès à l’information :

1. Empêcher l’accès anonyme à l’information, y compris l’accès public à grande échelle.
• Lorsqu’un accès public ou tiers est accordé, les organisations doivent s’assurer que l’accès ne s’étend pas aux données sensibles ou critiques pour l’entreprise.

2. Opérer avec des mesures de maintenance adéquates qui contrôlent l’accès aux systèmes et à toutes les applications ou processus métier associés.
3. Dictez l’accès aux données utilisateur par utilisateur.
4. Spécifiez les droits d'accès aux données entre les groupes qui valident des opérations de données spécifiques, telles que la lecture, l'écriture, la suppression et l'exécution.
5. Conserver la possibilité de partitionner processus et applications critiques pour l'entreprise utilisant une gamme de contrôles d'accès physiques et numériques.

Conseils – Gestion dynamique des accès

Le contrôle 8.3 préconise un Dynamic approche de l’accès à l’information.

La gestion dynamique des accès présente de nombreux avantages résiduels pour les processus organisationnels qui nécessitent de partager ou d'utiliser des données internes avec des utilisateurs externes, notamment des délais de résolution des incidents plus rapides.

Accès dynamique les techniques de gestion protègent un large éventail d’informations types, des documents standard aux e-mails et aux informations de base de données, et ont la capacité d'être appliqués fichier par fichier, permettant un contrôle strict des données au niveau organisationnel.

Les organisations devraient envisager une telle approche lorsque :

1. Exiger un contrôle granulaire sur les utilisateurs humains et non humains qui peuvent accéder à ces informations à tout moment.
2. Il est nécessaire de partager des informations avec des parties externes (telles que des fournisseurs ou des organismes de réglementation).
3. Envisager une approche « en temps réel » de la gestion et de la distribution des données qui implique la surveillance et la gestion de l'utilisation des données au fur et à mesure qu'elles se produisent.
4. Protéger les informations contre les modifications, le partage ou la sortie non autorisés (impression, etc.).
5. Contrôler l'accès et la modification des informations, en particulier lorsque les informations en question sont de nature sensible.

La gestion dynamique des accès est particulièrement utile pour les organisations qui doivent surveiller et protéger les données depuis leur création jusqu'à leur suppression, notamment :

1. Décrire un cas d'utilisation (ou une série de cas d'utilisation) qui appliquent des règles d'accès aux données basées sur les variables suivantes :
• Identite
• Appareil
• Localisation
• Application
2. Décrire un processus qui couvre le opération ainsi que Stack monitoring de données et en établissant un processus de reporting approfondi qui s'appuie à son tour sur une infrastructure technique solide.

Tous les efforts visant à formuler une approche dynamique de gestion des accès devraient aboutir à données protégées par:

1. Garantir que l’accès aux données est le résultat final d’un processus d’authentification réussi.
2. Un degré d'accès restreint, basé sur le type de données et son impact sur la capacité continuité de l'activité.
3. Chiffrement
4. Autorisations d'impression.
5. Approfondie journaux d'audit qui enregistre qui accède aux données et comment ces données sont utilisées.
6. Une procédure d'alerte qui signale une utilisation inappropriée des données, y compris (mais sans s'y limiter) l'accès et la distribution non autorisés, ainsi que les tentatives de suppression.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (Restriction d'accès à l'information), et représente un changement majeur dans la façon dont l'ISO envisage la gestion de l'accès à l'information conformément à l'approche dynamique susmentionnée (une technique qui n'est pas mentionnée dans le 27002:2013-9.4.1)

27002:2022-8.3 contient un grand nombre de notes d'orientation relatives à la gestion dynamique des accès qui sont absentes de son homologue de 2013, et il est conseillé aux organisations de les considérer sujet par sujet lors de la recherche de certification.

Comment ISMS.online vous aide

ISMS.Online est le principal logiciel de système de gestion ISO 27002 qui prend en charge conformité à la norme ISO 27002, et aide les entreprises à aligner leurs politiques et procédures de sécurité sur la norme.

La plateforme basée sur le cloud fournit un ensemble complet d'outils pour aider les organisations à mettre en place un système de gestion de la sécurité de l'information (ISMS) selon ISO 27002.

Notre plateforme a été conçu à partir de zéro avec l'aide d'experts en sécurité de l'information du monde entier et nous l'avons développé de manière à permettre aux personnes sans aucune connaissance technique des systèmes de gestion de la sécurité de l'information (ISMS) de l'utiliser facilement.

Contactez-nous dès aujourd'hui pour réserver une démo.