Assurer la sécurité de l'information dans le développement externalisé : contrôle ISO 27002 8.30
L'externalisation du développement des systèmes informatiques et des logiciels à des parties externes présente de nombreux avantages pour les entreprises, tels qu'une réduction des coûts et une plus grande évolutivité. Toutefois, ces gains d’efficacité ne doivent pas se faire au détriment de la sécurité.
Par exemple, les fournisseurs de services externes peuvent ne pas avoir mis en place de contrôles d’accès stricts aux réseaux ou ne pas appliquer un cryptage de niveau industriel aux données stockées dans le cloud, ce qui peut compromettre les systèmes informatiques et les produits logiciels.
Cela peut entraîner des violations de données et une perte de disponibilité, de confidentialité ou d’intégrité des informations.
D’après une rapport de Trustwave, l'externalisation du développement logiciel et informatique a joué un rôle dans plus de 60 % de toutes les violations de données.
Étant donné que l’externalisation entraîne inévitablement une perte de contrôle sur le processus de développement et rend plus difficile l’application et le maintien des exigences en matière de sécurité de l’information, les organisations doivent veiller à ce que les parties externes respectent les exigences en matière de sécurité de l’information définies par l’organisation.
Objectif du contrôle 8.30
Control 8.30 permet aux organisations de garantir que les exigences établies en matière de sécurité des informations sont respectées lorsque le développement du système et des logiciels est sous-traité à des fournisseurs externes.
Attributs du contrôle 8.30
Le contrôle 8.30 est de nature à la fois détective et préventive : il oblige les organisations à superviser et surveiller toutes les activités d'externalisation et à garantir que le processus de développement externalisé satisfait aux exigences de sécurité de l'information.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Identifier | #Sécurité du système et des réseaux | #Gouvernance et écosystème |
| #Détective | #Intégrité | #Protéger | #Sécurité des applications | #Protection |
| #Disponibilité | #Détecter | #Sécurité de la relation fournisseur |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 8.30
Le responsable de la sécurité de l'information doit être chargé d'établir et de mettre en œuvre les procédures et contrôles nécessaires pour garantir que ces exigences en matière de sécurité de l'information sont communiquées, acceptées et respectées par les fournisseurs externes.
Orientations générales sur la conformité
Les orientations générales soulignent que les organisations doivent surveiller et vérifier en permanence que la livraison des travaux de développement externalisés satisfait aux exigences de sécurité des informations imposées au fournisseur de services externe.
Control 8.30 recommande aux organisations de prendre en compte les 11 facteurs suivants lors de l'externalisation du développement :
- Conclure des accords, y compris des accords de licence, qui traitent de la propriété du code et des droits de propriété intellectuelle.
- Imposer des exigences contractuelles appropriées pour une conception et un codage sécurisés conformément aux contrôles 8.25 et 8.29.
- Établir un modèle de menace à adopter par les développeurs tiers.
- Réaliser une procédure de tests d'acceptation pour garantir la qualité et l'exactitude du travail livré.
- Preuve que les capacités minimales requises en matière de confidentialité et de sécurité sont atteintes. Ceci peut être réalisé via des rapports d’assurance.
- Conserver la preuve de la manière dont suffisamment de tests ont été effectués pour protéger le système informatique ou le logiciel livré contre le contenu malveillant.
- Conserver des preuves de la manière dont suffisamment de tests ont été appliqués pour se protéger contre les vulnérabilités identifiées.
- Mettre en place des accords de séquestre couvrant le code source du logiciel. Par exemple, il peut s’agir de ce qui se passerait si le fournisseur externe faisait faillite.
- L'accord avec le fournisseur doit impliquer le droit de l'organisation d'effectuer des audits sur les processus et les contrôles de développement.
- Établir et mettre en œuvre des exigences de sécurité pour l'environnement de développement.
- Les organisations doivent également tenir compte des lois, statuts et réglementations applicables.
Conseils supplémentaires
Pour des conseils plus détaillés sur la gestion des relations avec les fournisseurs, les organisations peuvent se référer à la norme ISO/IEC 27036.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022/8.30 replaces 27002:2013/(14.2.7)
Dans l’ensemble, il n’y a pas de différence matérielle entre les deux versions.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
Les entreprises peuvent utiliser ISMS.Online pour les aider dans leurs efforts de conformité ISO 27002 en leur fournissant une plateforme qui facilite la gestion de leurs politiques et procédures de sécurité, leur mise à jour si nécessaire, leur test et le contrôle de leur efficacité.
Notre plateforme cloud vous permet de gérer rapidement et facilement tous les aspects de votre SMSI, y compris la gestion des risques, les politiques, les plans, les procédures et bien plus encore, dans un emplacement central. La plateforme est facile à utiliser et dispose d’une interface intuitive qui facilite l’apprentissage de son utilisation.
Contactez-nous dès aujourd'hui pour réserver une démo.
