ISO 27002 :2022 – Contrôle 8.6 – Gestion des capacités

Objectif du contrôle 8.6

La gestion de la capacité, dans le contexte des TIC, ne se limite pas à garantir que les organisations disposent d'un espace suffisant sur les serveurs et les supports de stockage associés pour l'accès aux données et à des fins de sauvegarde et de reprise après sinistre (BUDR).

Les organisations doivent s'assurer qu'elles ont la capacité de fonctionner avec un ensemble de ressources répondant à un large éventail de fonctions commerciales, notamment les ressources humaines, le traitement de l'information, la gestion des bureaux physiques et des installations annexes.

Toutes ces fonctions peuvent avoir un impact négatif sur les contrôles de gestion de l'information d'une organisation.

Control 8.6 est à double usage préventif et mes contrôle de détective qui maintient le risque en mettant en œuvre des contrôles de détection qui identifient et maintiennent une capacité adéquate de traitement des informations dans l’ensemble de l’organisation.

Attributs Table de contrôle 8.6

Propriété du contrôle 8.6

Le contrôle 8.6 traite de la capacité d'une organisation à fonctionner en tant qu'entreprise de manière continue.

En tant que tel, la propriété devrait incomber au directeur de l'exploitation (ou à son équivalent organisationnel), responsable de l'intégrité et de l'efficacité quotidiennes des fonctions commerciales d'une organisation.

Orientations générales sur le contrôle 8.6

En termes généraux qui ne sont pas propres à un type particulier de ressource, Control 8.6 contient 7 points d'orientation généraux :

1. Les organisations devraient considérer la continuité des activités comme priorité absolue lors de la mise en œuvre de contrôles de gestion des capacités, y compris la mise en œuvre globale de contrôles de détection qui signalent les problèmes potentiels avant qu'ils ne surviennent.
2. La gestion des capacités doit être basée sur les fonctions proactives de réglage et mes Stack monitoring. Ces deux éléments doivent fonctionner en harmonie pour garantir que les systèmes et les fonctions commerciales ne soient pas compromis.
3. En termes opérationnels, les organisations devraient effectuer régulièrement tests de stress qui interrogent la capacité des systèmes à répondre aux besoins globaux de l’entreprise. Ces tests doivent être formulés au cas par cas et être pertinents pour le domaine d'opération auquel ils sont destinés.
4. Capacités contrôles de gestion ne doit pas se limiter aux activités d'une organisation actuel en matière de données ou de besoins opérationnels, et devrait inclure tous les plans d'expansion commerciale et technique (à la fois d'un point de vue physique et numérique) afin de rester aussi à l'épreuve du temps que cela est réalistement possible.
5. L'expansion des ressources organisationnelles est soumise à des délais et des coûts variables, en fonction du système ou de la fonction commerciale en question. Les ressources plus coûteuses et plus difficiles à développer devraient être soumises à un degré plus élevé de surveillance, afin de préserver continuité de l'activité.
6. La haute direction doit être consciente des points de défaillance uniques liés à une dépendance à l'égard du personnel clé ou des ressources individuelles. Si des difficultés surviennent liées à l’un ou l’autre de ces facteurs, cela peut souvent entraîner des complications nettement plus difficiles à corriger.
7. Formuler un capacité plan de gestion qui traite spécifiquement des systèmes critiques de l’entreprise et les fonctions commerciales.

Conseils – Gérer la demande

27002:2022-8.6 préconise une approche à double front de la gestion des capacités qui soit augmente la capacité, ou réduit la demande sur une ressource ou un ensemble de ressources.

Lorsqu’elles tentent d’augmenter leur capacité, les organisations doivent :

1. Envisagez d'embaucher de nouveaux employés pour exercer une fonction commerciale.
2. Achetez, louez ou louez de nouvelles installations ou des bureaux.
3. Achetez, louez ou louez des traitements supplémentaires, du stockage de données et de la RAM (sur site ou hébergés dans le cloud).
4. Pensez à utiliser élastique et mes évolutive des ressources cloud qui se développent avec le calcul besoins de l'organisation, avec une intervention minimale.

Lorsqu’elles tentent de réduire la demande, les organisations doivent :

1. Supprimez les données obsolètes pour libérer de l'espace de stockage sur les serveurs et les supports connectés.
2. Jetez en toute sécurité toutes les copies papier de informations dont l’organisation n’a plus besoin, et n'est pas légalement tenu de l'obtenir, que ce soit par la loi ou par l'intermédiaire d'un organisme de réglementation.
3. Mettez hors service toutes les ressources TIC, applications ou environnements virtuels qui ne sont plus nécessaires.
4. Examinez les tâches TIC planifiées (y compris les rapports, les fonctions de maintenance automatisées et les processus par lots) pour optimiser les ressources de mémoire et réduire l'espace de stockage occupé par les données générées.
5. Optimisez tout code d'application ou requêtes de base de données exécutées suffisamment régulièrement pour avoir un effet sur la capacité opérationnelle de l'organisation.
6. Limitez la quantité de bande passante allouée aux activités non critiques dans les limites du réseau de l'organisation. Cela peut inclure la restriction de l’accès à Internet et l’interdiction du streaming vidéo/audio à partir des appareils professionnels.

Modifications et différences par rapport à la norme ISO 27002:2013

27002:2022-8.6 remplace 27002:2013-12.1.3 (Gestion de capacité).

27002:2022-8.6 contient un ensemble de lignes directrices beaucoup plus complètes qui expliquent aux organisations comment augmenter leur capacité ou réduire la demande.

De plus, le 27002:2013-12.1.3 ne contient aucune directive spécifique sur la manière d'augmenter la capacité, contrairement au 27002:2022-8.6 qui décrit des plans d'action spécifiques conduisant à une plus grande marge de manœuvre opérationnelle.

27002:2013-12.1.3 ne contient également aucune directive sur la manière de tester la capacité opérationnelle sous contrainte, ou sinon, auditer la capacité d'une organisation gérer la capacité de façon continue, en dehors de recommander un plan de gestion de la capacité.

Conformément à l'essor fulgurant du cloud computing au cours de la dernière décennie, 27002:2022-8.6 conseille explicitement aux organisations d'utiliser des ressources basées sur le cloud qui s'adaptent automatiquement aux besoins de l'entreprise.

27002:2013-12.1.3 ne fait aucune mention de ce type des installations de stockage ou de calcul hors site.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre solution complète de conformité pour ISO/IEC 27002:2022 .

• Jusqu'à 81 % de progression à partir de votre connexion
• Solution de conformité simple et totale

Contactez-nous dès aujourd'hui pour réserver une démo.