Objectif du contrôle 8.6
La gestion de la capacité, dans le contexte des TIC, ne se limite pas à garantir que les organisations disposent d'un espace suffisant sur les serveurs et les supports de stockage associés pour l'accès aux données et à des fins de sauvegarde et de reprise après sinistre (BUDR).
Les organisations doivent s'assurer qu'elles ont la capacité de fonctionner avec un ensemble de ressources répondant à un large éventail de fonctions commerciales, notamment les ressources humaines, le traitement de l'information, la gestion des bureaux physiques et des installations annexes.
Toutes ces fonctions peuvent avoir un impact négatif sur les contrôles de gestion de l'information d'une organisation.
Control 8.6 est à double usage préventif ou contrôle de détective qui maintient le risque en mettant en œuvre des contrôles de détection qui identifient et maintiennent une capacité adéquate de traitement des informations dans l’ensemble de l’organisation.
Attributs Table de contrôle 8.6
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Intégrité | #Protéger | #Continuité | #Gouvernance et écosystème |
| #Détective | #Disponibilité | #Identifier | #Protection | |
| #Détecter |
Propriété du contrôle 8.6
Le contrôle 8.6 traite de la capacité d'une organisation à fonctionner en tant qu'entreprise de manière continue.
En tant que tel, la propriété devrait incomber au directeur de l'exploitation (ou à son équivalent organisationnel), responsable de l'intégrité et de l'efficacité quotidiennes des fonctions commerciales d'une organisation.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur le contrôle 8.6
En termes généraux qui ne sont pas propres à un type particulier de ressource, Control 8.6 contient 7 points d'orientation généraux :
- Les organisations devraient considérer la continuité des activités comme priorité absolue lors de la mise en œuvre de contrôles de gestion des capacités, y compris la mise en œuvre globale de contrôles de détection qui signalent les problèmes potentiels avant qu'ils ne surviennent.
- La gestion des capacités doit être basée sur les fonctions proactives de réglage ou Stack monitoring. Ces deux éléments doivent fonctionner en harmonie pour garantir que les systèmes et les fonctions commerciales ne soient pas compromis.
- En termes opérationnels, les organisations devraient effectuer régulièrement tests de stress qui interrogent la capacité des systèmes à répondre aux besoins globaux de l’entreprise. Ces tests doivent être formulés au cas par cas et être pertinents pour le domaine d'opération auquel ils sont destinés.
- Capacités contrôles de gestion ne doit pas se limiter aux activités d'une organisation actuel en matière de données ou de besoins opérationnels, et devrait inclure tous les plans d'expansion commerciale et technique (à la fois d'un point de vue physique et numérique) afin de rester aussi à l'épreuve du temps que cela est réalistement possible.
- L'expansion des ressources organisationnelles est soumise à des délais et des coûts variables, en fonction du système ou de la fonction commerciale en question. Les ressources plus coûteuses et plus difficiles à développer devraient être soumises à un degré plus élevé de surveillance, afin de préserver continuité de l'activité.
- La haute direction doit être consciente des points de défaillance uniques liés à une dépendance à l'égard du personnel clé ou des ressources individuelles. Si des difficultés surviennent liées à l’un ou l’autre de ces facteurs, cela peut souvent entraîner des complications nettement plus difficiles à corriger.
- Formuler un capacité plan de gestion qui traite spécifiquement des systèmes critiques de l’entreprise et les fonctions commerciales.
Conseils – Gérer la demande
27002:2022-8.6 préconise une approche à double front de la gestion des capacités qui soit augmente la capacité, ou réduit la demande sur une ressource ou un ensemble de ressources.
Lorsqu’elles tentent d’augmenter leur capacité, les organisations doivent :
- Envisagez d'embaucher de nouveaux employés pour exercer une fonction commerciale.
- Achetez, louez ou louez de nouvelles installations ou des bureaux.
- Achetez, louez ou louez des traitements supplémentaires, du stockage de données et de la RAM (sur site ou hébergés dans le cloud).
- Pensez à utiliser élastique ou évolutive des ressources cloud qui se développent avec le calcul besoins de l'organisation, avec une intervention minimale.
Lorsqu’elles tentent de réduire la demande, les organisations doivent :
- Supprimez les données obsolètes pour libérer de l'espace de stockage sur les serveurs et les supports connectés.
- Jetez en toute sécurité toutes les copies papier de informations dont l’organisation n’a plus besoin, et n'est pas légalement tenu de l'obtenir, que ce soit par la loi ou par l'intermédiaire d'un organisme de réglementation.
- Mettez hors service toutes les ressources TIC, applications ou environnements virtuels qui ne sont plus nécessaires.
- Examinez les tâches TIC planifiées (y compris les rapports, les fonctions de maintenance automatisées et les processus par lots) pour optimiser les ressources de mémoire et réduire l'espace de stockage occupé par les données générées.
- Optimisez tout code d'application ou requêtes de base de données exécutées suffisamment régulièrement pour avoir un effet sur la capacité opérationnelle de l'organisation.
- Limitez la quantité de bande passante allouée aux activités non critiques dans les limites du réseau de l'organisation. Cela peut inclure la restriction de l’accès à Internet et l’interdiction du streaming vidéo/audio à partir des appareils professionnels.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
27002:2022-8.6 remplace 27002:2013-12.1.3 (Gestion de capacité).
27002:2022-8.6 contient un ensemble de lignes directrices beaucoup plus complètes qui expliquent aux organisations comment augmenter leur capacité ou réduire la demande.
De plus, le 27002:2013-12.1.3 ne contient aucune directive spécifique sur la manière d'augmenter la capacité, contrairement au 27002:2022-8.6 qui décrit des plans d'action spécifiques conduisant à une plus grande marge de manœuvre opérationnelle.
27002:2013-12.1.3 ne contient également aucune directive sur la manière de tester la capacité opérationnelle sous contrainte, ou sinon, auditer la capacité d'une organisation gérer la capacité de façon continue, en dehors de recommander un plan de gestion de la capacité.
Conformément à l'essor fulgurant du cloud computing au cours de la dernière décennie, 27002:2022-8.6 conseille explicitement aux organisations d'utiliser des ressources basées sur le cloud qui s'adaptent automatiquement aux besoins de l'entreprise.
27002:2013-12.1.3 ne fait aucune mention de ce type des installations de stockage ou de calcul hors site.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
ISO 27002 la mise en œuvre est plus simple grâce à notre liste de contrôle étape par étape qui vous guide tout au long du processus. Votre solution complète de conformité pour ISO/IEC 27002:2022 .
- Jusqu'à 81 % de progression à partir de votre connexion
- Solution de conformité simple et totale
Contactez-nous dès aujourd'hui pour réserver une démo.
