ISO 27002:2022, Contrôle 8.7 – Protection contre les logiciels malveillants

Propriété du contrôle 8.7

Même si la protection contre les logiciels malveillants implique des mesures pratiques qui doivent être prises par le personnel administratif des TIC et les utilisateurs standards, le sujet lui-même est vaste et englobe plusieurs fonctions commerciales distinctes avec différents niveaux de risque et de nombreux contrôles ISO supplémentaires. En tant que tel, la propriété de Control 8.7 devrait appartenir au Responsable de la sécurité de l'information, ou équivalent organisationnel.

Orientations générales sur la conformité

Control 8.7 demande aux organisations d'adopter une approche de protection contre les logiciels malveillants qui englobe quatre domaines clés :

• Logiciel anti-malware
• Sensibilisation à la sécurité de l'information organisationnelle (formation des utilisateurs)
• Systèmes contrôlés et accès aux comptes
• Gestion du changement

L'ISO souligne catégoriquement que c'est une erreur de supposer que les logiciels anti-malware constituent à eux seuls un ensemble de mesures adéquat. Control 8.7 demande plutôt aux organisations d'adopter une approche de bout en bout en matière de protection contre les logiciels malveillants, qui commence par la formation des utilisateurs et se termine par un réseau étroitement contrôlé qui minimise le risque d'intrusion à travers une variété de vecteurs d'attaque.

Pour atteindre cet objectif, les organisations doivent mettre en œuvre des contrôles qui :

1. Empêcher l'utilisation de logiciels non autorisés (voir Contrôles 8.19 et 8.32).
2. Bloquez le trafic vers des sites Web malveillants ou inappropriés.
3. Minimisez le nombre de vulnérabilités résidant sur leur réseau susceptibles d'être exploitées par des logiciels malveillants ou des intentions malveillantes (voir Contrôles 8.8 et 8.19).
4. Effectuez régulièrement des audits logiciels qui analysent le réseau à la recherche de logiciels non autorisés, de modifications du système et/ou de données.
5. Assurez-vous que les données et les applications sont obtenues avec un risque minimal, que ce soit en interne ou en externe.
6. Établissez une politique de détection des logiciels malveillants qui comprend des analyses régulières et approfondies de tous les systèmes et fichiers pertinents, en fonction des risques uniques de chaque zone à analyser. Les organisations doivent adopter une approche de « défense en profondeur » qui englobe les contrôles des terminaux et des passerelles, et prend en compte un large éventail de vecteurs d'attaque (par exemple les ransomwares).
7. Protégez-vous contre les intrusions émanant de procédures et de protocoles d’urgence, en particulier lors d’un incident ou d’activités de maintenance à haut risque.
8. Rédigez un processus permettant au personnel technique de désactiver tout ou partie des efforts de lutte contre les logiciels malveillants, en particulier lorsque de telles activités entravent la capacité de l'organisation à faire des affaires.
9. Mettre en œuvre un plan de sauvegarde et de reprise après sinistre (BUDR) robuste qui permet à l'organisation de reprendre l'activité opérationnelle le plus rapidement possible, après une interruption (voir Contrôle 8.13). Cela devrait inclure des procédures traitant des logiciels qui ne peuvent pas être couverts par un logiciel anti-malware (c'est-à-dire un logiciel de machine).
10. Séparez les zones du réseau et/ou des environnements de travail numériques et virtuels susceptibles de provoquer des perturbations catastrophiques en cas d'attaque.
11. Offrez à tous les employés concernés une formation de sensibilisation à la lutte contre les logiciels malveillants qui instruit les utilisateurs sur un large éventail de sujets, notamment (mais sans s'y limiter) :
• Ingénierie sociale
• Sécurité du courrier électronique
• Installation de logiciels malveillants
12. Collectez des informations sectorielles sur les derniers développements en matière de protection contre les logiciels malveillants.
13. Assurez-vous que les notifications concernant les attaques potentielles de logiciels malveillants (en particulier celles émanant des fournisseurs de logiciels et de matériel) proviennent d'une source fiable et sont exactes.

Contrôles pris en charge

• 8.13
• 8.19
• 8.32
• 8.8

Modifications et différences par rapport à la norme ISO 27002:2013

ISO 27002:2022-8.7 remplace ISO 27002:2003-12.2.1 (Contrôles contre les logiciels malveillants).

27002:2022-8.7 contient les mêmes points d'orientation de base que 27002:2003-12.2.1, et élève certaines des orientations supplémentaires au rang de points d'orientation généraux, en fonction de leur importance pour les efforts de lutte contre les logiciels malveillants d'une organisation, notamment :

• Protection contre les logiciels malveillants pendant les périodes de maintenance.

27002:2003-12.2.1 demande également aux organisations d'envisager d'utiliser deux plates-formes anti-malware distinctes, tandis que 27002:2022-8.7 se contente d'une seule solution unifiée.

Comment ISMS.online vous aide

Notre plateforme vous fournit des tableaux de bord personnalisables qui vous donnent une visibilité en temps réel sur votre état de conformité.

Vous pouvez surveiller et gérer tous les aspects de votre parcours de conformité ISO 27002 à partir d'un seul endroit : gestion des audits, analyse des écarts, gestion de la formation, évaluation des risques, etc.

Il fournit une solution intégrée facile à utiliser, accessible 24h/7 et 27001j/XNUMX via n'importe quel appareil doté d'une connexion Internet. La plateforme permet à tous les employés de travailler ensemble de manière transparente et sécurisée pour gérer les risques de sécurité et suivre la conformité de l'organisation, ainsi que le parcours vers la certification ISO XNUMX.

Contactez-nous dès aujourd'hui pour réserver une démo.