ISO 27002 :2022 – Contrôle 8.8 – Gestion des vulnérabilités techniques

Objectif du contrôle 8.8

Aucun réseau informatique, système, logiciel ou appareil n’est sécurisé à 100 %. Les vulnérabilités font partie intégrante de l'exploitation d'un LAN ou d'un WAN moderne, et il est important pour les organisations de reconnaître que d'une part, elles existent et, d'autre part, de la nécessité de minimiser les risques là où ils sont susceptibles de se produire.

Control 8.8 contient une quantité importante de conseils qui aident les organisations à empêcher l'exploitation interne et externe des vulnérabilités sur l'ensemble de leur réseau. Le contrôle 8.8 s'appuie sur les procédures et lignes directrices de nombreux autres contrôles ISO 27002:2022, en particulier ceux liés à la gestion des changements (voir Contrôle 8.32) et aux protocoles de contrôle d'accès.

Attributs Table de contrôle 8.8

Le contrôle 8.8 est un préventif contrôler cela maintient le risque en mettant en œuvre des procédures qui collectent des informations sur les vulnérabilités techniques et permettent à l'organisation de prendre les mesures appropriées pour protéger les actifs, les systèmes, les données et le matériel.

Propriété du contrôle 8.8

Le contrôle 8.8 traite de la gestion technique et administrative des logiciels, des systèmes et des actifs TIC. Certaines des lignes directrices impliquent le déploiement d'une approche très détaillée de la gestion des logiciels, de la gestion des actifs et de l'audit de la sécurité des réseaux.

En tant que tel, la propriété du Contrôle 8.8 doit appartenir à la personne qui assume la responsabilité globale de la maintenance de l'infrastructure TIC de l'organisation, telle que le responsable informatique ou son équivalent organisationnel.

Conseils – Identifier les vulnérabilités

Avant la mise en œuvre des contrôles de vulnérabilité, il est essentiel d'obtenir une liste complète et à jour des actifs physiques et numériques (voir Contrôles 5.9 et 5.14) détenus et exploités par l'organisation.

Les informations sur les actifs logiciels doivent inclure :

• Nom du fournisseur
• Nom de l'application
• Numéros de version actuellement en service
• Où le logiciel est déployé dans le domaine

Lorsqu’elles tentent d’identifier les vulnérabilités techniques, les organisations doivent :

1. Indiquez clairement qui (au sein de l'organisation) est responsable de la gestion des vulnérabilités d'un point de vue technique, conformément à ses différentes fonctions, notamment (mais sans s'y limiter) :
• Gestion d'actifs
• L'évaluation des risques
• Le Monitoring
• Mise à jour
2. Qui est responsable du logiciel au sein de l'organisation
3. Maintenir un inventaire des applications et des ressources qui seront utilisées pour identifier les vulnérabilités techniques.
4. Demandez aux fournisseurs et vendeurs de divulguer les vulnérabilités lors de la fourniture de nouveaux systèmes et matériels (voir Contrôle 5.20) et de le préciser dans tous les contrats et accords de service pertinents.
5. Utilisez des outils d’analyse des vulnérabilités, y compris des fonctionnalités de mise à jour de correctifs.
6. Réalisez des tests d’intrusion réguliers et documentés – soit en interne, soit via un tiers certifié.
7. Soyez attentif à l'utilisation de bibliothèques de code tierces et/ou de code source pour les vulnérabilités programmatiques sous-jacentes (voir Contrôle 8.28).

Orientation – Activités publiques

En plus des systèmes internes, les organisations doivent développer des politiques et des procédures qui détectent les vulnérabilités dans tous leurs produits et services, et recevoir des évaluations de vulnérabilité liées à la fourniture desdits produits et services.

L'ISO conseille aux organisations de déployer des efforts publics pour détecter toute vulnérabilité et encourage les tiers à s'engager dans des efforts de gestion des vulnérabilités via l'utilisation de programmes de primes (dans lesquels les exploits sont recherchés et signalés à l'organisation contre une récompense).

Les organisations devraient se rendre accessibles au grand public via des forums, des adresses électroniques publiques et des activités de recherche afin que les connaissances collectives du grand public puissent être utilisées pour protéger les produits et services à la source.

Lorsque des mesures correctives ont été prises qui affectent les utilisateurs ou les clients, les organisations doivent envisager de divulguer les informations pertinentes aux personnes ou organisations concernées, et collaborer avec des organisations de sécurité spécialisées pour diffuser des informations sur les vulnérabilités et les vecteurs d'attaque.

En outre, les organisations devraient envisager de proposer une procédure de mise à jour automatique à laquelle les clients peuvent adhérer ou non, en fonction de leurs besoins commerciaux.

Conseils – Évaluation des vulnérabilités

Des rapports adéquats sont essentiels pour garantir des mesures correctives rapides et efficaces lorsque des vulnérabilités sont découvertes.

Lors de l’évaluation des vulnérabilités, les organisations doivent :

1. Analysez attentivement tous les rapports et décidez des mesures à prendre, y compris (mais sans s'y limiter) la modification, la mise à jour ou la suppression des systèmes et/ou du matériel concernés.
2. Convenez d’une résolution qui prend en compte les autres contrôles ISO (en particulier ceux liés à la norme ISO 27002:2022) et reconnaît le niveau de risques impliqués.

Conseils – Contrer les vulnérabilités logicielles

Les vulnérabilités logicielles sont mieux combattues grâce à une approche proactive des mises à jour logicielles et de la gestion des correctifs.

Avant la mise en œuvre de toute modification, les organisations doivent s'assurer que les versions logicielles existantes sont conservées, que toutes les modifications sont entièrement testées et appliquées à une copie désignée du logiciel.

Lorsqu’elles s’attaquent directement aux vulnérabilités après leur identification, les organisations doivent :

1. Chercher à résoudre toutes les vulnérabilités de manière rapide et efficace.
2. Dans la mesure du possible, suivez les procédures organisationnelles sur la gestion du changement (voir Contrôle 8.32) et la réponse aux incidents (voir Contrôle 5.26).
3. Appliquez uniquement des mises à jour et des correctifs émanant de sources fiables et/ou certifiées, en particulier dans le cas de logiciels et d'équipements de fournisseurs tiers.
• En ce qui concerne les logiciels des fournisseurs, les organisations doivent faire un jugement, en fonction des informations disponibles, quant à la nécessité d'appliquer des mises à jour automatiques (ou des parties de celles-ci) aux logiciels et au matériel acquis.
4. Testez toutes les mises à jour requises avant l’installation, pour éviter tout incident imprévu dans un environnement opérationnel.
5. Cherchez à traiter en priorité les systèmes à haut risque et critiques pour l’entreprise.
6. Assurez-vous que toutes les mesures correctives sont efficaces et authentiques.

En cas d'indisponibilité d'une mise à jour ou de problèmes empêchant l'installation d'une mise à jour (tels que des problèmes de coût), les organisations doivent envisager d'autres mesures, telles que :

1. Demander conseil au fournisseur sur une solution de contournement ou une solution de « plâtre collant » pendant que les efforts correctifs s'intensifient.
2. Désactiver ou arrêter tous les services réseau affectés par la vulnérabilité.
3. Mettre en œuvre des contrôles de sécurité du réseau aux points de passerelle critiques, y compris des règles de trafic et des filtres.
4. Augmenter le niveau global de surveillance en fonction du risque associé.
5. Assurez-vous que toutes les parties concernées sont conscientes de la vulnérabilité, y compris les fournisseurs et les clients.
6. Retarder la mise à jour pour mieux évaluer les risques associés, en particulier lorsque les coûts opérationnels peuvent poser problème.

Contrôles pris en charge

• 5.14
• 5.20
• 5.9
• 8.20
• 8.22
• 8.28

Orientations supplémentaires sur le contrôle 8.8

• Les organisations doivent tenir un journal d'audit de toutes les activités pertinentes de gestion des vulnérabilités, afin de faciliter les efforts correctifs et d'améliorer les procédures en cas d'incident de sécurité.
• L'ensemble du processus de gestion des vulnérabilités doit être périodiquement revu et évalué, afin d'améliorer les performances et d'identifier davantage de vulnérabilités à la source.
• Si l'organisation a utilisé un logiciel hébergé par un fournisseur de services cloud, elle doit s'assurer que la position du fournisseur de services en matière de gestion des vulnérabilités est alignée sur la sienne et doit constituer un élément clé de tout accord de service contraignant entre les deux parties, y compris les procédures de reporting. (voir Contrôle 5.32).

Modifications et différences par rapport à la norme ISO 27002:2013

L'ISO 27002:2022-8.8 remplace deux contrôles de l'ISO 27002:2013 :

• 12.6.1 – Gestion des vulnérabilités techniques
• 18.2.3 – Examen de la conformité technique

27002:2022-8.8 représente une approche de gestion des vulnérabilités fondamentalement différente de celle contenue dans 27002:2013.

27002:2013-12.6.1 concerne en grande partie la mise en œuvre d'actions correctives une fois qu'une vulnérabilité a été identifiée, tandis que 18.2.3 se limite aux outils techniques (principalement des tests d'intrusion).

27002:2022-8.8 contient des sections entièrement nouvelles sur des sujets tels que les activités publiques d'une organisation, la manière dont les vulnérabilités sont identifiées en premier lieu et le rôle que jouent les fournisseurs de cloud pour garantir que les vulnérabilités soient réduites au minimum.

Dans l’ensemble, l’ISO met davantage l’accent sur le rôle que joue la gestion des vulnérabilités dans d’autres domaines de la norme 27002:2022 (notamment la gestion du changement) et préconise une approche holistique qui s’appuie sur de nombreux autres contrôles et procédures de sécurité de l’information.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Notre plateforme est intuitive et facile à utiliser. Ce n'est pas seulement destiné aux personnes hautement techniques ; c'est pour tout le monde dans votre organisation. Nous vous encourageons à impliquer le personnel à tous les niveaux de votre entreprise dans le processus de création de votre SMSI, car cela vous aide à construire un système véritablement durable.

Contactez-nous dès aujourd'hui pour réserver une démo.