ISO 27002 :2022, Contrôle 8.9 – Gestion de la configuration

Orientations générales sur la conformité

Dans l'ensemble, l'organisation doit rédiger et mettre en œuvre des politiques de gestion de configuration pour les nouveaux systèmes et matériels, ainsi que pour ceux déjà utilisés. Les contrôles internes doivent inclure des éléments critiques pour l'entreprise tels que les configurations de sécurité, tout le matériel contenant un fichier de configuration et toutes les applications ou systèmes logiciels pertinents.

Control 8.9 demande aux organisations de prendre en compte tous les rôles et responsabilités pertinents lors de la mise en œuvre d'une politique de configuration, y compris la propriété déléguée des configurations appareil par appareil ou application par application.

Conseils – Modèles standards

Dans la mesure du possible, les organisations doivent utiliser des modèles standardisés pour sécuriser tous les matériels, logiciels et systèmes. Les modèles doivent :

1. Essayez d'utiliser des conseils accessibles au public, spécifiques au fournisseur et/ou open source sur la meilleure façon de configurer les actifs matériels et logiciels.
2. Répondre aux exigences minimales de sécurité pour l’appareil, l’application ou le système auquel elles s’appliquent.
3. Travailler en harmonie avec les efforts plus larges de l'organisation en matière de sécurité des informations, y compris tous les contrôles ISO pertinents.
4. Gardez à l'esprit les exigences commerciales uniques de l'organisation – en particulier en ce qui concerne les configurations de sécurité – y compris la possibilité d'appliquer ou de gérer un modèle à un moment donné.
5. Être examiné à intervalles appropriés afin de prendre en compte les mises à jour du système et/ou du matériel, ou toute menace de sécurité dominante.

Conseils – Contrôles de sécurité

La sécurité est primordiale lors de l'application de modèles de configuration ou de la modification de modèles existants conformément aux instructions ci-dessus.

Lorsqu’elles envisagent des modèles standard à utiliser dans toute l’organisation, afin de minimiser les risques liés à la sécurité des informations, les organisations doivent :

1. Réduisez au minimum le nombre d’utilisateurs disposant de privilèges d’administrateur.
2. Désactivez toutes les identités inutilisées ou inutiles.
3. Surveillez de près l’accès aux programmes de maintenance, aux applications utilitaires et aux paramètres internes.
4. Assurez-vous que les horloges sont synchronisées afin d’enregistrer correctement la configuration et participez à toute enquête future.
5. Modifiez immédiatement tous les mots de passe par défaut ou paramètres de sécurité par défaut fournis avec tout appareil, service ou application.
6. Implémentez une période de déconnexion par défaut pour tous les appareils, systèmes ou applications qui sont restés inactifs pendant une période de temps spécifiée.
7. Assurez-vous que toutes les exigences en matière de licence ont été respectées (voir Contrôle 5.32).

Conseils – Gestion et surveillance des configurations

Une organisation a la responsabilité de maintenir et de stocker les configurations, y compris de conserver une piste d'audit de toute modification ou nouvelle installation, conformément à un processus de gestion des modifications publié (voir Contrôle 8.32).

Les journaux doivent contenir des informations décrivant :

1. À qui appartient l’actif.
2. Un horodatage pour la dernière modification de configuration.
3. La version actuelle du modèle de configuration.
4. Toute information pertinente expliquant la relation des actifs avec les configurations conservées sur d'autres appareils ou systèmes.

Les organisations doivent déployer un large éventail de techniques pour surveiller le fonctionnement des fichiers de configuration sur leur réseau, notamment :

1. Automatisation.
2. Programmes spécialisés de maintenance de configuration.
3. Outils d'assistance à distance qui remplissent automatiquement les informations de configuration appareil par appareil.
4. Utilitaires de gestion d'appareils et de logiciels d'entreprise conçus pour surveiller simultanément de grandes quantités de données de configuration.
5. Logiciel BUDR qui sauvegarde automatiquement les configurations dans un emplacement sécurisé et restaure les modèles à distance ou sur site sur des appareils compromis et/ou défectueux.

Les organisations doivent configurer un logiciel spécialisé pour suivre toute modification dans la configuration d'un appareil et prendre les mesures appropriées pour traiter la modification dès que possible, soit en validant la modification, soit en ramenant la configuration à son état d'origine.

Lignes directrices à l’appui

• 5.32
• 8.32

Modifications et différences par rapport à la norme ISO 27002:2013

Aucun. Le contrôle 8.9 n'a pas de précédent dans la norme ISO 27002:2013 car il est nouveau.

Comment ISMS.online vous aide

ISMS.Online est une solution complète pour la mise en œuvre de la norme ISO 27002.

Il s'agit d'un système basé sur le Web qui vous permet de montrer que votre système de gestion de la sécurité de l'information (ISMS) est conforme aux normes approuvées à l'aide de processus, de procédures et de listes de contrôle bien pensés.

Contactez-nous dès aujourd'hui pour réserver une démo.