Objectif du contrôle 8.7
Les logiciels malveillants représentent la plus grande menace à la continuité des activités et à la sécurité des informations à laquelle sont confrontées les entreprises à l’ère numérique.
La communauté commerciale mondiale est confrontée quotidiennement à d’innombrables menaces provenant d’un large éventail de vecteurs d’attaque qui cherchent à obtenir un accès non autorisé à des systèmes et des données sensibles, à extraire des informations et de l’argent, à tromper des employés modestes et à exploiter des données rançonnées pour obtenir des sommes d’argent exorbitantes.
L'approche d'une organisation en matière de protection contre les logiciels malveillants doit être au cœur de toute politique de sécurité des informations.
Control 8.7 contient un ensemble de mesures qui aident les organisations à sensibiliser leurs employés aux dangers des logiciels malveillants et à mettre en œuvre des mesures pratiques significatives qui stoppent les attaques internes et externes avant qu'elles n'aient la possibilité de provoquer des perturbations et des pertes de données.
Attributs Table de contrôle 8.7
Le contrôle 8.7 est un prévention à triple usage, détective et correctif contrôler cela maintient le risque en mettant en œuvre des politiques et des procédures qui garantissent que les informations, les données et les actifs d'une organisation sont protégés contre les logiciels malveillants.
| Type de contrôle | Propriétés de sécurité des informations | Concepts de cybersécurité | Capacités opérationnelles | Domaines de sécurité |
|---|---|---|---|---|
| #Préventif | #Confidentialité | #Protéger | #Sécurité du système et des réseaux | #Protection |
| #Détective | #Intégrité | #Détecter | #Protection des informations | #La défense |
| #Correctif | #Disponibilité |
Propriété du contrôle 8.7
Même si la protection contre les logiciels malveillants implique des mesures pratiques qui doivent être prises par le personnel administratif des TIC et les utilisateurs standards, le sujet lui-même est vaste et englobe plusieurs fonctions commerciales distinctes avec différents niveaux de risque et de nombreux contrôles ISO supplémentaires. En tant que tel, la propriété de Control 8.7 devrait appartenir au Responsable de la sécurité de l'information, ou équivalent organisationnel.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Orientations générales sur la conformité
Control 8.7 demande aux organisations d'adopter une approche de protection contre les logiciels malveillants qui englobe quatre domaines clés :
- Logiciel anti-malware
- Sensibilisation à la sécurité de l'information organisationnelle (formation des utilisateurs)
- Systèmes contrôlés et accès aux comptes
- Gestion du changement
L'ISO souligne catégoriquement que c'est une erreur de supposer que les logiciels anti-malware constituent à eux seuls un ensemble de mesures adéquat. Control 8.7 demande plutôt aux organisations d'adopter une approche de bout en bout en matière de protection contre les logiciels malveillants, qui commence par la formation des utilisateurs et se termine par un réseau étroitement contrôlé qui minimise le risque d'intrusion à travers une variété de vecteurs d'attaque.
Pour atteindre cet objectif, les organisations doivent mettre en œuvre des contrôles qui :
- Empêcher l'utilisation de logiciels non autorisés (voir Contrôles 8.19 et 8.32).
- Bloquez le trafic vers des sites Web malveillants ou inappropriés.
- Minimisez le nombre de vulnérabilités résidant sur leur réseau susceptibles d'être exploitées par des logiciels malveillants ou des intentions malveillantes (voir Contrôles 8.8 et 8.19).
- Effectuez régulièrement des audits logiciels qui analysent le réseau à la recherche de logiciels non autorisés, de modifications du système et/ou de données.
- Assurez-vous que les données et les applications sont obtenues avec un risque minimal, que ce soit en interne ou en externe.
- Établissez une politique de détection des logiciels malveillants qui comprend des analyses régulières et approfondies de tous les systèmes et fichiers pertinents, en fonction des risques uniques de chaque zone à analyser. Les organisations doivent adopter une approche de « défense en profondeur » qui englobe les contrôles des terminaux et des passerelles, et prend en compte un large éventail de vecteurs d'attaque (par exemple les ransomwares).
- Protégez-vous contre les intrusions émanant de procédures et de protocoles d’urgence, en particulier lors d’un incident ou d’activités de maintenance à haut risque.
- Rédigez un processus permettant au personnel technique de désactiver tout ou partie des efforts de lutte contre les logiciels malveillants, en particulier lorsque de telles activités entravent la capacité de l'organisation à faire des affaires.
- Mettre en œuvre un plan de sauvegarde et de reprise après sinistre (BUDR) robuste qui permet à l'organisation de reprendre l'activité opérationnelle le plus rapidement possible, après une interruption (voir Contrôle 8.13). Cela devrait inclure des procédures traitant des logiciels qui ne peuvent pas être couverts par un logiciel anti-malware (c'est-à-dire un logiciel de machine).
- Séparez les zones du réseau et/ou des environnements de travail numériques et virtuels susceptibles de provoquer des perturbations catastrophiques en cas d'attaque.
- Offrez à tous les employés concernés une formation de sensibilisation à la lutte contre les logiciels malveillants qui instruit les utilisateurs sur un large éventail de sujets, notamment (mais sans s'y limiter) :
- Ingénierie sociale
- Sécurité du courrier électronique
- Installation de logiciels malveillants
- Collectez des informations sectorielles sur les derniers développements en matière de protection contre les logiciels malveillants.
- Assurez-vous que les notifications concernant les attaques potentielles de logiciels malveillants (en particulier celles émanant des fournisseurs de logiciels et de matériel) proviennent d'une source fiable et sont exactes.
Contrôles pris en charge
- 8.13
- 8.19
- 8.32
- 8.8
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Modifications et différences par rapport à la norme ISO 27002:2013
ISO 27002:2022-8.7 remplace ISO 27002:2003-12.2.1 (Contrôles contre les logiciels malveillants).
27002:2022-8.7 contient les mêmes points d'orientation de base que 27002:2003-12.2.1, et élève certaines des orientations supplémentaires au rang de points d'orientation généraux, en fonction de leur importance pour les efforts de lutte contre les logiciels malveillants d'une organisation, notamment :
- Protection contre les logiciels malveillants pendant les périodes de maintenance.
27002:2003-12.2.1 demande également aux organisations d'envisager d'utiliser deux plates-formes anti-malware distinctes, tandis que 27002:2022-8.7 se contente d'une seule solution unifiée.
Nouveaux contrôles ISO 27002
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 5.7 | NOUVEAU | Intelligence de la menace |
| 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 8.9 | NOUVEAU | Gestion de la configuration |
| 8.10 | NOUVEAU | Suppression des informations |
| 8.11 | NOUVEAU | Masquage des données |
| 8.12 | NOUVEAU | Prévention des fuites de données |
| 8.16 | NOUVEAU | Activités de surveillance |
| 8.23 | NOUVEAU | filtrage web |
| 8.28 | NOUVEAU | Codage sécurisé |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 6.1 | 07.1.1 | Présélection |
| 6.2 | 07.1.2 | Termes et conditions d'emploi |
| 6.3 | 07.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| 6.4 | 07.2.3 | Processus disciplinaire |
| 6.5 | 07.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| 6.6 | 13.2.4 | Accords de confidentialité ou de non-divulgation |
| 6.7 | 06.2.2 | Travail à distance |
| 6.8 | 16.1.2, 16.1.3 | Rapports d'événements liés à la sécurité des informations |
| Identifiant de contrôle ISO/IEC 27002:2022 | Identifiant de contrôle ISO/IEC 27002:2013 | Nom du contrôle |
|---|---|---|
| 7.1 | 11.1.1 | Périmètres de sécurité physique |
| 7.2 | 11.1.2, 11.1.6 | Entrée physique |
| 7.3 | 11.1.3 | Sécurisation des bureaux, des locaux et des installations |
| 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| 7.5 | 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| 7.6 | 11.1.5 | Travailler dans des zones sécurisées |
| 7.7 | 11.2.9 | Bureau clair et écran clair |
| 7.8 | 11.2.1 | Implantation et protection des équipements |
| 7.9 | 11.2.6 | Sécurité des actifs hors site |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Supports de stockage |
| 7.11 | 11.2.2 | Utilitaires pris en charge |
| 7.12 | 11.2.3 | Sécurité du câblage |
| 7.13 | 11.2.4 | La maintenance des équipements |
| 7.14 | 11.2.7 | Élimination ou réutilisation sécurisée des équipements |
Comment ISMS.online vous aide
Notre plateforme vous fournit des tableaux de bord personnalisables qui vous donnent une visibilité en temps réel sur votre état de conformité.
Vous pouvez surveiller et gérer tous les aspects de votre parcours de conformité ISO 27002 à partir d'un seul endroit : gestion des audits, analyse des écarts, gestion de la formation, évaluation des risques, etc.
Il fournit une solution intégrée facile à utiliser, accessible 24h/7 et 27001j/XNUMX via n'importe quel appareil doté d'une connexion Internet. La plateforme permet à tous les employés de travailler ensemble de manière transparente et sécurisée pour gérer les risques de sécurité et suivre la conformité de l'organisation, ainsi que le parcours vers la certification ISO XNUMX.
Contactez-nous dès aujourd'hui pour réserver une démo.
