Assurer la sécurité des systèmes d'information lors des audits : explication du contrôle 27002 de la norme ISO 8.34
Les tests d’audit jouent un rôle essentiel dans la détection et l’élimination des risques de sécurité et des vulnérabilités des systèmes d’information.
Toutefois, malgré la processus de vérification, qu'elles soient effectuées dans des environnements opérationnels, de test ou de développement, peuvent exposer des informations sensibles à des risques de divulgation non autorisée ou de perte d'intégrité et de disponibilité.
Le contrôle 8.34 traite de la manière dont les organisations peuvent maintenir sécurité des actifs informationnels lors des tests d’audit.
Objectif du contrôle 8.34
Control 8.34 permet aux organisations d'éliminer et d'atténuer les risques pour le sécurité des systèmes d'information et à la continuité des opérations commerciales en établissant et en appliquant des mesures et des contrôles appropriés tels que des restrictions d'accès et des limitations d'accès en lecture seule.
Attributs Table de contrôle 8.34
Le contrôle 8.34 est de nature préventive car il exige que la haute direction et l'auditeur doivent planifier et convenir des tests d'audit procédures, restrictions et contrôles avant de procéder à des audits.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité du système et des réseaux | #Gouvernance et écosystème |
| #Intégrité | #Protection des informations | #Protection | ||
| #Disponibilité |
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété du contrôle 8.34
L'informatique l'équipe de direction doit être responsable de planifier et de convenir des procédures d'audit et de créer et d'appliquer les mesures nécessaires.
Orientations générales sur la conformité
Le contrôle 8.34 énumère huit exigences spécifiques que les organisations devraient prendre en compte :
- Une direction appropriée et l'auditeur doivent se mettre d’accord sur l’accès aux systèmes et aux actifs informationnels.
- Accord sur l'étendue des tests d'audit technique à effectuer.
- Les organisations ne peuvent fournir qu'un accès en lecture seule aux informations et aux logiciels. S'il n'est pas possible d'utiliser la technique de lecture seule, un administrateur disposant des droits d'accès nécessaires peut accéder aux systèmes ou aux données au nom de l'auditeur.
- Si une demande d'accès est autorisée, les organisations doivent d'abord vérifier que les appareils utilisés pour accéder aux systèmes répondent aux exigences de sécurité avant de fournir l'accès.
- L'accès ne doit être accordé que pour des copies isolées de fichiers extraits du système. Ces copies doivent être définitivement supprimées une fois l’audit terminé, à moins qu’il n’y ait une obligation de conserver ces fichiers. Si l'accès en lecture seule est possible, ce contrôle ne s'applique pas.
- Les demandes des auditeurs visant à effectuer des traitements spéciaux tels que le déploiement d'outils d'audit doivent être acceptées par la direction.
- Si une l'audit risque d'avoir un impact sur la disponibilité du système, l'audit doit être effectué en dehors des heures de bureau afin de maintenir la disponibilité des informations.
- Demandes d'accès effectuées pour les audits doivent être enregistrées pour la piste d’audit.
Orientations supplémentaires sur le contrôle 8.34
Lorsque des audits sont effectués sur des environnements de test ou de développement, les organisations doivent être prudentes face aux risques suivants :
- Compromission de l'intégrité du code.
- Perte de confidentialité des informations sensibles.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022/8.34 replaces 27002:2013/(12.7.1)
Bien que la version 2022 soit dans une large mesure similaire à la version 2013, il existe deux différences clés.
La version ISO 27002 : 2022 introduit une nouvelle exigence
La version 2022 introduit l'exigence suivante qui n'était pas mentionnée dans la version 2013 :
Si une demande d'accès est autorisée, les organisations doivent d'abord vérifier que les appareils utilisés pour accéder aux systèmes répondent aux exigences de sécurité avant de fournir l'accès.
La version 2022 concerne les environnements de test et de développement
Dans les lignes directrices supplémentaires, la version 2022 met en garde les organisations contre les risques de sécurité en raison des audits réalisés sur les environnements de test et de développement. La version 2013, au contraire, ne faisait pas référence aux environnements de test et de développement.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus, depuis la définition de la portée de votre SMSI jusqu'à l'identification des risques et la mise en œuvre des contrôles.
Notre plateforme est intuitif et facile à utiliser. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre organisation. Nous vous encourageons à impliquer le personnel à tous les niveaux de votre entreprise dans le processus de construction de votre ISMS, car cela vous aide à construire un système véritablement durable.
Contactez-nous dès aujourd'hui pour réserver une démo.
