- Les contrôles ISO 27001 sont des mesures spécifiques que les entreprises mettent en œuvre pour minimiser les risques liés à la sécurité des informations et garantir la conformité à la norme.
- La version actualisée de la norme ISO 27001:2022 résume les contrôles en quatre catégories : contrôles organisationnels, personnels, physiques et technologiques, avec un total de 93 mesures
- La révision de 2022 introduit 11 nouveaux contrôles, notamment le renseignement sur les menaces, la sécurité du cloud, la surveillance de la sécurité physique, le masquage des données et le codage sécurisé pour répondre aux nouvelles exigences de sécurité
- Ces contrôles couvrent des domaines clés tels que les contrôles d'accès, la sécurité du réseau, la cryptographie et la protection des emplacements physiques et renforcent de manière globale la stratégie de sécurité de l'entreprise
ISO 27001:2022 — Ce que les entreprises doivent savoir sur les changements et leurs impacts Le 25 octobre 2022, l'ISO/IEC a publié une nouvelle version de NORME ISO 27001pour répondre à la nécessité de faire face aux menaces croissantes qui pèsent sur système de gestion de la sécurité de l'information (ISMS) auprès des entreprises. Bien que la plupart des changements soient superficiels (les exigences existantes ont été restructurées et affinées), les mises à jour incluent également des objectifs et des contrôles qui aident les entreprises à se préparer aux nouvelles menaces.
ISO 27001:2022 est une version mise à jour de la norme ISO 27001. La version précédente, ISO 27001:2013, contenait 114 contrôles répartis en 14 domaines. L' « Annexe A » de la norme ISO 27001:2022 inclut les modifications suivantes :
- ajout de 11 nouvelles commandes,
- 1 commande divisée en 2,
- 57 commandes combinées en 24,
- 23 commandes renommées,
- Suppression de 3 commandes et
- Laissez les 35 commandes telles quelles.
Même le titre de cette annexe a été modifié, passant de « Objectifs et contrôles des contrôles de référence » à « Référence des contrôles de sécurité de l'information ». Dans la dernière version de 2022, le nombre de contrôles a été réduit à 93 contrôles de l'annexe A et a été regroupé en quatre sujets principaux.
Les contrôles de l'annexe A sont divisés en quatre catégories principales :
Les contrôles ISO 27001:2022, au nombre de 93 au total, ont été classés dans les quatre domaines thématiques de la norme mise à jour.
1. Contrôles organisationnels
- Nombre de commandes : 37
- Numéros de contrôle : ISO 27001 Annexe A, 5.1 à 5.37
Cette rubrique couvre les lois, réglementations et procédures opérationnelles relatives à l'approche de la sécurité de l'information dans un large éventail de domaines. Les contrôles organisationnels doivent garantir que l'entreprise dispose de directives claires pour assurer la sécurité du SMSI, que les rôles et responsabilités en matière de sécurité sont clairement définis et communiqués efficacement, et que des contrôles d'accès appropriés sont en place. Exemples de contrôles organisationnels :
- politiques de sécurité de l'information,
- les relations avec les fournisseurs,
- contrôles d'accès,
- gestion d'actifs,
- conformité.
D'autres contrôles, notamment la gestion des incidents de sécurité de l'information et les aspects de la sécurité de l'information dans la gestion de la continuité des activités, sont décrits dans les 11 nouveaux contrôles ajoutés.
2. Contrôles des personnes
- Nombre de commandes : 8
- Numéros de contrôle : ISO 27001 Annexe A, 6.1 à 6.8
Cette rubrique se concentre sur la manière dont les employés d'une organisation doivent interagir avec les données et les systèmes d'information afin de minimiser les risques liés aux facteurs humains. Ces contrôles couvrent la gestion sécurisée du personnel, la sécurité du personnel, la sensibilisation et la formation. Les contrôles des personnes exigent que tous les employés soient conscients de leurs responsabilités en matière de sécurité de l'information, notamment en ce qui concerne le signalement des incidents de sécurité et les accords de confidentialité.
3. Contrôles physiques
- Nombre de commandes : 14
- Numéros de contrôle : ISO 27001 Annexe A, 7.1 à 7.13
Les contrôles physiques sont des mesures de protection utilisées pour garantir la sécurité des ressources physiques et protéger ainsi les informations sensibles. En général, une entreprise doit protéger tous les emplacements physiques où sont stockées des données sensibles, y compris les bureaux, les centres de données et les sites des clients. Exemples de contrôles physiques :
- directives pour les bureaux transparents,
- journaux d'accès des invités,
- registres de stockage et d'élimination,
- systèmes d'entrée et d'accès.
4. Contrôles technologiques
- Nombre de commandes : 34
- Numéros de contrôle : ISO 27001 Annexe A, 8.1 à 8.34
Les contrôles technologiques font référence aux mesures que les entreprises devraient prendre pour maintenir une infrastructure informatique protégée et conforme. Cela inclut l'authentification et le cryptage des données, ainsi que des mesures visant à empêcher la perte de données, qui permettent à une entreprise de sécuriser numériquement les données et de contrôler les droits d'accès et la sécurité du réseau.
Principaux domaines des contrôles technologiques :
- Cryptographie : la norme impose aux entreprises de documenter leurs techniques de cryptage et de prouver qu'un cryptage approprié est utilisé conformément aux exigences commerciales.
- Sécurité opérationnelle : protection des équipements et des systèmes de traitement de l'information ISMS.
- Sécurité du réseau : protection contre les attaques via les configurations réseau, les pare-feux et les systèmes de détection.
- Acquisition, développement et maintenance de systèmes : sécurité à chaque étape des systèmes de sécurité de l'information.
11 nouveaux contrôles dans la révision de la norme ISO 27001:2022
- A.5.7: Renseignements sur les menaces — invite les entreprises à collecter des informations sur les menaces à la fois en interne et en externe afin de se préparer à des attaques et à des technologies spécifiques.
- A.5.23: Sécurité des informations pour l'utilisation des services cloud — décrit comment gérer et protéger les informations dans les services cloud.
- A.5.30 : Préparation aux TIC — exige que la préparation des TIC aux objectifs de continuité des activités soit planifiée, mise en œuvre, maintenue et testée.
- A.7.4 : Surveillance de la sécurité physique — exige que les zones sensibles telles que les bureaux et les installations de production soient surveillées.
- A.8.9 : Gestion de la configuration — garantit que les configurations informatiques sont définies, documentées, contrôlées et révisées.
- A.8.10 : Suppression d'informations — demande aux entreprises de supprimer les données une fois que l'objectif a été atteint.
- A.8.11 : Masquage des données — utilise des techniques de masquage des données telles que le cryptage pour protéger les données sensibles.
- A.8.12 : Prévention des fuites de données — Mesures visant à minimiser le risque de transfert de données non autorisé.
- A.8.16 : Activités de surveillance — nécessite une surveillance continue des réseaux, des ressources technologiques et des applications logicielles.
- A.8.23 : Filtrage Web — protège les entreprises contre les sites web dont le code est potentiellement dangereux.
- A.8.28 : Codage sécurisé — nécessite des mesures de sécurité pour minimiser les vulnérabilités du code.
