ISO 27002 :2022 – Contrôle 8.32 – Gestion du changement

Assurer des changements sécurisés et contrôlés avec la norme ISO 27002:2022 Control 8.32

Des modifications apportées aux systèmes d'information, telles que le remplacement d'un périphérique réseau, la création d'une nouvelle instance de base de données ou la mise à niveau d'un logiciel, sont souvent nécessaires pour améliorer les performances, réduire les coûts et accroître l'efficacité.

Cependant, ces modifications apportées aux installations et systèmes de traitement de l'information, si elles ne sont pas mises en œuvre correctement, peuvent conduire à la compromission des actifs informationnels stockés ou traités par ces installations.

Le contrôle 8.32 explique comment les organisations peuvent établir et appliquer des procédures de gestion des changements pour surveiller, examiner et contrôler les modifications apportées aux installations et systèmes de traitement de l'information.

Objectif du contrôle 8.32

Control 8.32 permet aux organisations de maintenir la sécurité des actifs informationnels lors de l'exécution de modifications sur les installations et systèmes de traitement de l'information en établissant, en mettant en œuvre et en gérant les règles et procédures de gestion des changements.

Attributs Table de contrôle 8.32

Le contrôle 8.32 est de nature préventive. Cela oblige les organisations à définir, documenter, spécifier et appliquer des processus de contrôle des changements qui régissent l'ensemble du cycle de vie des systèmes d'information, depuis la conception initiale jusqu'au déploiement et à l'utilisation.

Propriété du contrôle 8.32

Considérant que la conformité au contrôle 8.32 implique l'établissement et l'application de procédures de contrôle des modifications qui s'appliquent à toutes les étapes du cycle de vie des systèmes d'information, les responsables de la sécurité de l'information, avec le soutien d'experts du domaine, devraient être responsables de la conception et de l'application de ces procédures.

Orientations générales sur la conformité

Tous les changements majeurs apportés aux systèmes d'information et l'introduction de nouveaux systèmes devraient être soumis à un ensemble convenu de règles et de procédures. Ces changements doivent être formellement spécifiés et documentés. De plus, ils doivent passer par les processus de test et de contrôle qualité.

Pour garantir que tous les changements sont conformes aux règles et normes de contrôle des changements, les organisations doivent attribuer des responsabilités de gestion à la direction appropriée et doivent définir les procédures nécessaires.

Le contrôle 8.32 énumère neuf éléments qui doivent être inclus dans la procédure de gestion du changement :

1. Les organisations doivent planifier et mesurer l’impact probable des changements prévus, en tenant compte de toutes les dépendances.
2. Implémentation de contrôles d'autorisation pour les modifications.
3. Informer les parties internes et externes concernées des changements prévus.
4. Établir et mettre en œuvre des processus de tests et de tests d'acceptation pour les modifications conformément au contrôle 8.29.
5. Comment les changements seront mis en œuvre, y compris comment ils seront déployés dans la pratique.
6. Établir des plans et des procédures d'urgence et de contingence. Cela peut également inclure la définition d’une procédure de repli.
7. Tenir des registres de tous les changements et activités connexes, y compris toutes les activités énumérées ci-dessus (1 à 6).
8. La documentation opérationnelle requise dans le contrôle 5.37 et les procédures d'utilisation sont examinées et mises à jour pour refléter les changements.
9. Les plans de continuité des TIC et les procédures de rétablissement et de réponse doivent être examinés et révisés pour refléter les changements.

Enfin, il convient de noter que les organisations devraient intégrer autant que possible les procédures de contrôle des modifications relatives aux logiciels et à l'infrastructure TIC.

Orientations supplémentaires sur le contrôle 8.32

Les modifications apportées aux environnements de production tels que les systèmes d'exploitation et les bases de données peuvent compromettre l'intégrité et la disponibilité des applications, en particulier le transfert de logiciels de l'environnement de développement vers l'environnement de production.

Un autre risque contre lequel les organisations doivent se méfier est que la modification des logiciels dans l'environnement de production peut avoir des conséquences inattendues.

Pour prévenir ces risques, les organisations doivent effectuer des tests sur les composants TIC dans un environnement isolé des environnements de développement et de production.

Cela permettra aux organisations d'avoir un meilleur contrôle sur les nouveaux logiciels et fournira une couche de protection supplémentaire pour les données réelles utilisées à des fins de test. Cette protection supplémentaire peut être obtenue via des correctifs et des service packs.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022/8.32 remplace 27002:2013/(12.1.2, 14.2.2, 14.2.3, 14.2.4)

Dans l’ensemble, la version 2013 était plus prescriptive que la version 2022 en termes d’exigences relatives aux procédures de contrôle des modifications.

Il y a trois différences clés à souligner entre les deux versions.

La version ISO 27002:2013 était plus détaillée en termes de ce que devrait impliquer la « procédure de modification »

Les versions 27002:2022 et 27002:2013 énumèrent de manière non exhaustive ce qu'une « procédure de modification » doit inclure.

Toutefois, la version 2013 contenait les éléments suivants qui n’étaient pas mentionnés dans la version 2022 :

• Le code critique pour la sécurité doit être identifié et examiné pour remédier aux vulnérabilités.
• Les organisations doivent conserver le contrôle de version pour toutes les mises à jour mises en œuvre sur les logiciels.
• Les organisations doivent identifier et documenter une liste de tous les composants matériels et logiciels qui nécessitent des modifications et des mises à jour.

La version 2013 traite des « Modifications apportées aux plates-formes d'exploitation »

Le contrôle 14.2.3 de la version 27002 : 2013 traitait de la manière dont les organisations peuvent minimiser les effets négatifs et les perturbations sur les opérations commerciales lorsque des modifications sont apportées aux systèmes d'exploitation.

En revanche, la version 27002 : 2022 n’inclut pas d’exigences relatives à de telles modifications.

La version 2013 traite des « Modifications apportées aux progiciels »

Le contrôle 14.2.4 dans la version 27002:2013 traitait des « Modifications apportées aux progiciels ». Au contraire, la version 27002:2022 ne contient aucune exigence relative à de telles modifications.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Notre plate-forme basée sur le cloud vous offre un cadre robuste de contrôles de sécurité des informations afin que vous puissiez vérifier votre processus ISMS au fur et à mesure pour vous assurer qu'il répond aux exigences de la norme ISO 27000k.

Utilisé correctement, ISMS. en ligne peut vous aider à obtenir la certification avec le strict minimum de temps et de ressources.

Contactez-nous dès aujourd'hui pour réserver une démo.