Catégorie : ISO 27001

QUIZ Le quiz "Exigences de l'ISO 27001 version 2022" vous aidera à assimiler les principales exigences de la norme. Les questions (exigences) de ce quiz sont 79, pas de panique. Les exigences de la norme sont 235 mais ces 79 exigences sont parmi les plus importantes, alors n'hésitez pas à apprendre de façon ludique ! Ne pensez pas que vous pouvez terminer ce quiz en moins d'une heure, voire deux heures, sauf bien sûr si vous êtes un petit génie ! Nouveautés sur la norme sécurité de l'information ISO 27001 version 2022 Les 235 exigences (doit, doivent, en anglais shall) des articles 4 à 10 et de l'annexe A de l'ISO 27001 sont réparties comme suit: Exigences ISO 27001 version 2022 N°Articlecycle PDCAExigences N°Nombre4ContextePlanifier (Plan)1 ÷ 10105LeadershipPlanifier, Dérouler, Comparer, Agir (Plan, Do, Check, Act)11 ÷ 28186PlanificationPlanifier (Plan)29 ÷ 67397SupportPlanifier, Dérouler (Plan, Do)68 ÷ 91248RéalisationDérouler (Do)92 ÷ 10099PerformanceComparer (Check)101 ÷ 1303010AméliorationAgir (Act)131 ÷ 14212 Annexe A :A.5 Mesures organisationnellesA.6 Mesures liées aux personnesA.7 Mesures physiquesA.8 Mesures technologiquesComparer (Check)143 ÷ 23593Total235 Les exigences dans les articles, paragraphes et annexes de la norme ISO 27001 Le cycle PDCA de Deming Remarque. Toute exigence normalement commence par "L'organisation doit ...". Pour simplifier nous présentons les exigences directement en commençant avec le verbe. ISO 27001 - Exigences et commentairesN°ParagrapheExigenceCycle PDCA, liens, commentaires4ContextePlanifier (Plan)4.1L'entreprise et son contexte14.1Déterminer les enjeux externes et internesComprendre tout ce qui peut influer sur la finalité (la mission) de l'entreprise (culture d'entreprise, innovation, orientation stratégique, compétition, marché, obligations, temps de travail, conditions de travail) et sa capacité à obtenir les résultats attendus du SMSI. Cf. paragraphe 6.1 et paragraphe 7.5.1 4.2Parties prenantes24.2 aDéterminer les parties prenantesConcernés par le SMSI, comme clients, lois, contrats et autres. Cf. paragraphe 7.5.134.2 bDéterminer les exigences des parties prenantesBesoins et attentes relatives aux exigences et obligations sécurité de l'information44.2 cDéterminer les exigences concernées par le SMSILes exigences traitées par le SMSI 4.3Domaine d'application54.3Déterminer le domaine d'application du SMSILimites (administratives) et applicabilité6 4.3 aPrendre en considération les enjeux externes et internes"Identifier les dangers c'est diminuer les risques". Cf. paragraphe 4.17 4.3 bPrendre en compte les exigences des parties prenantesLors de modifications des processus, des exigences, des infrastructures. Cf. paragraphe 4.284.3 cPrendre en compte les interfaces professionnelles"Le risque zéro n'existe pas". L'interactivité des activités internes et celles d'autres organisations94.3Rendre disponible le domaine d'application comme information documentéeConserver un enregistrement, cf. paragraphe 7.5.14.4Système de management de la sécurité de l'information10 4.4Établir, appliquer, tenir à jour et améliorer en continu le SMSIY compris les processus nécessaires. "Si vous ne pouvez pas décrire ce que vous faites en tant que processus, vous ne savez pas ce que vous faites". Edwards Deming. Conformément aux exigences de l'ISO 27001. Manuel de sécurité de l'information, cf. paragraphe 7.5.1 5LeadershipPlanifier, Dérouler, Comparer, Agir (Plan, Do, Check, Act) 5.1Leadership et engagement115.1 aS'assurer que la politique et les objectifs de sécurité de l'information sont établis"Un escalier se balaie en commençant par le haut. Proverbe roumain." S'assurer de la compatibilité avec l'orientation stratégique. La direction fait preuve de leadership. Affirmer l'engagement de la direction en faveur du SMSI125.1 bS'assurer que les exigences du SMSI sont intégrés aux processus métierFaire preuve de leadership135.1 cS'assurer que les ressources nécessaires au SMSI sont disponiblesRessources pour établir, appliquer, tenir à jour et améliorer le SMSI. Cf. paragraphe 4.4145.1 dCommuniquer sur l'importance d'un SMSI efficaceEt se conformer aux exigences de la norme ISO 27001155.1 eS'assurer que le SMSI atteint les résultats attendusEngagement, réactivité et soutien actif de la direction165.1 fOrienter et soutenir le personnelAfin qu'il contribue à la performance du SMSI175.1 gPromouvoir l'amélioration continue"Les employés d'abord, les clients ensuite. Vineet Nayar." Faire preuve de leadership. Cf. article 10185.1 hAider les personnes concernées à faire preuve de leadershipQuand cela est nécessaire à leur domaine de responsabilité5.2Politique 195.2 aÉtablir la politique de sécurité de l'informationEn tenant compte de la mission de l'organisation. Tenir la politique à jour. Cf. paragraphe 7.5.1205.2 bFournir un cadre pour l'établissement des objectifs de sécurité de l'informationCf. paragraphe 6.2215.2 cS'engager à respecter les exigences applicablesConcernant la sécurité de l'information225.2 dS'engager à améliorer en continu le SMSICf. article 10235.2 eRendre disponible la politique de sécurité de l'information comme information documentéeCf. paragraphe 7.5.1245.2 fCommuniquer la politique de sécurité de l'informationA tous les niveaux de l'organisation255.2 gTenir la politique de sécurité de l'information disponible aux parties prenantesLe cas échéant5.3Rôles, responsabilités et autorités265.3S'assurer que les responsabilité et autorités du SMSI sont attribuées Et communiquées à tous les niveaux de l'entreprise. "La responsabilité ne peut pas être partagée. Robert Heinlein". Cf. paragraphe 7.5.1275.3 aS'assurer que le SMSI respecte les exigences de la norme ISO 27001Et qui en a la responsabilité et l'autorité à tous les niveaux de l'organisation. Ne pas oublier qu'en fin de compte la direction est entièrement responsable (cf. paragraphe 5.1)285.3 bPrésenter des rapports sur la performance du SMSI à la direction, de manière régulièreEn attribuant la responsabilité et l'autorité nominativement, cf. paragraphe 7.5.16PlanificationPlanifier, Dérouler (Plan, Do) 6.1Actions face aux risques6.1.1Généralités296.1.1 aDéterminer les risques et opportunitésLa gestion des risques est basée sur la norme ISO 31000 et la formation F 51. Afin de s'assurer que le SMSI peut atteindre les résultats prévus. Cf. le paragraphe 4.1 pour les enjeux et le paragraphe 4.2 pour les exigences. Un état des lieux est toujours utile avant la planification. "Toute décision comporte un risque. Peter Barge"306.1.1 bDéterminer les risques et opportunitésAfin d'anticiper ou de réduire les effets indésirables31 6.1.1 cDéterminer les risques et opportunitésAfin de s'inscrire dans la démarche d'amélioration continue, cf. article 10326.1.1 dPlanifier les actions pour traiter ces risques et opportunitésCf. paragraphe 6.1.3336.1.1 e 1Planifier la manière d'intégrer et de mettre en place les actions nécessairesPour tous les processus du SMSI346.1.1 e 2Planifier la manière d'évaluer l'efficacité des actions entreprisesCf. paragraphe 6.1.26.1.2Appréciation des risques356.1.2 a 1Appliquer le processus d'appréciation des risques de sécurité de l'informationEn établissant et tenant à jour les critères d'acceptation366.1.2 a 2Appliquer le processus d'appréciation des risques de sécurité de l'informationEn établissant et tenant à jour les critères de réalisation des appréciations376.1.2 bAppliquer le processus d'appréciation des risques de sécurité de l'informationEn s'assurant que la répétition des appréciations des risques conduit à des résultats cohérents, valides et comparables386.1.2 c 1Appliquer le processus d'appréciation des risques de sécurité de l'informationEn identifiant les risques liés à la perte de confidentialité, d'intégrité et de disponibilité des informations396.1.2 c 2Appliquer le processus d'appréciation des risques de sécurité de l'informationEn identifiant les pilotes des risques406.1.2 d 1Appliquer le processus d'appréciation des risques de sécurité de l'informationEn analysant les risques et les conséquences potentielles des risques en 6.1.2 c 1 si ceux-ci se concrétisent416.1.2 d 2 Appliquer le processus d'appréciation des risques de sécurité de l'informationEn analysant les risques et évaluant la vraisemblance d'apparition des risques identifiés en 6.1.2 c 1426.1.2 d 3Appliquer le processus d'appréciation des risques de sécurité de l'informationEn analysant les risques et déterminant les niveaux des risques436.1.2 e 1Appliquer le processus d'appréciation des risques de sécurité de l'informationEn évaluant les risques et comparant les résultats d'analyse des risques avec les critères en 6.1.2 a446.1.2 e 2Appliquer le processus d'appréciation des risques de sécurité de l'informationEn évaluant les risques et priorisant les risques analysés456.1.2Conserver des informations documentées sur le processus d'appréciation des risques de sécurité de l'informationCf. paragraphe 7.5.16.1.3Traitement des risques466.1.3 aAppliquer le processus de traitement des risques de sécurité de l'informationAfin de choisir les options de traitement des risques en tenant compte des résultats en 6.1.2476.1.3 bAppliquer le processus de traitement des risques de sécurité de l'informationAfin de déterminer les mesures nécessaires à entreprendre pour l'option choisie486.1.3 cAppliquer le processus de traitement des risques de sécurité de l'informationAfin de comparer les mesures déterminées en 6.1.3 b et celles de l'Annexe A de l'ISO 27001 et de confirmer qu'aucune mesure nécessaire n'est oubliée496.1.3 dAppliquer le processus de traitement des risques de sécurité de l'informationAfin de produire une déclaration d'applicabilité incluant les mesures nécessaires (cf. 6.1.3 b et c), la justification de leur insertion, leur mises en place (ou non), la justification de l'exclusion de mesures de l'Annexe A de l'ISO 2700150 6.1.3 eAppliquer le processus de traitement des risques de sécurité de l'information Afin d'élaborer un plan de traitement des risques, cf. § 6.251 6.1.3 fAppliquer le processus de traitement des risques de sécurité de l'information Afin d'obtenir des pilotes des risques la validation du plan de traitement des risques et l'acceptation des risques résiduels526.1.3Conserver des informations documentées sur le processus de traitement des risques de sécurité de l'information Cf. paragraphe 7.5.16.2Objectifs536.2Établir les objectifs de sécurité de l'informationPour toutes les fonctions et niveaux dans l'organisation546.2 aDéterminer des objectifs de sécurité de l'informationCohérents avec la politique de sécurité de l'information de l'organisation, cf. § 5.2556.2 bDéterminer des objectifs de sécurité de l'informationMesurables, si possible566.2 cDéterminer des objectifs de sécurité de l'informationEn tenant compte des exigences applicables à la sécurité de l'information, des résultats de l'appréciation et du traitement des risques576.2 dDéterminer des objectifs de sécurité de l'informationEt les surveiller, cf. § 9.1 586.2 eDéterminer des objectifs de sécurité de l'informationEt les communiquer, cf. § 7.4596.2 fDéterminer des objectifs de sécurité de l'informationEt les mettre à jour régulièrement606.2 gDéterminer des objectifs de sécurité de l'informationEt les conserver comme documents, cf. § 7.5616.2Conserver des informations documentées sur les objectifsLiés à la sécurité de l'information, y compris le plan d'atteinte des objectifs, cf. paragraphe 7.5.1626.2 hDéterminer lors de la planification des objectifs de sécurité de l'informationCe qui sera fait636.2 iDéterminer lors de la planification des objectifs de sécurité de l'informationLes ressources nécessaires646.2 jDéterminer lors de la planification des objectifs de sécurité de l'informationLe responsable656.2 kDéterminer lors de la planification des objectifs de sécurité de l'informationLes échéances666.2 lDéterminer lors de la planification des objectifs de sécurité de l'informationComment les résultats seront évalués 6.3Planification des changements676.3Planifier les changements du SMSIAvant de les appliquer7SupportDérouler (Do) 7.1Ressources687.1Identifier et fournir les ressources nécessairesAfin d'établir, appliquer, tenir à jour et améliorer le SMSI7.2Compétence69 7.2 aDéterminer les compétences nécessaires des personnes concernéesLes personnes concernées peuvent influer sur les performances de la sécurité de l'information707.2 bS'assurer que ces personnes sont compétentesSur la base d'une formation initiale et professionnelle et de l'expérience717.2 cMener des actions pour acquérir et tenir à jour les compétences nécessairesEt évaluer l'efficacité de ces actions. Les actions incluent la formation, mais aussi l'encadrement, la réaffectation et le recrutement de personnes compétentes727.2 dConserver des informations documentées sur les compétencesCf. paragraphe 7.5.1 comme le plan de développement des compétences7.3Sensibilisation737.3 aSensibiliser le personnel à la politique et objectifs de sécurité de l'informationCf. paragraphes 5.2, 6.2 et 7.5.1747.3 bSensibiliser le personnel à l'importance de leur contribution à l'efficacité du SMSIEt des effets bénéfiques de la performance améliorée du SMSI757.3 cSensibiliser le personnel aux répercussions et aux conséquences du non-respect des exigences du SMSINe pas oublier les conséquences potentielles sur toutes les activités professionnelles7.4Communication767.4 aDéterminer les besoins de communication interne et externeY compris sur quels sujets, cf. paragraphe 7.5.1777.4 bDéterminer les besoins de communication interne et externeY compris quand communiquer787.4 cDéterminer les besoins de communication interne et externeY compris avec qui communiquer797.4 dDéterminer les besoins de communication interne et externeY compris comment communiquer7.5Informations documentées 7.5.1Généralités 807.5.1 aInclure dans le SMSI les informations documentées exigées par l'ISO 27001Informations documentées à tenir à jour, disponibles (procédures) :traitement de l'information (A.5.10)classification de l'information (A.5.12)marquage (A.5.13)transfert d'information (A.5.14)gestion des identités (A.5.16)authentification (A.5.17, A.8.5)droits d'accès (A.5.18, A.8.33)relations avec les fournisseurs (A.5.19)chaîne TIC (A.5.21)incidents (A.5.26)collecte de preuves (A.5.28)continuité d'activité (A.5.30, A.5.29)propriété intellectuelle (A.5.32)enregistrements (A.5.33)protection de la vie privée (A.5.34)procédures (A.5.37)sélection des candidats (A.6.1)sensibilisation et formation (A.6.3)déclaration des événements (A.6.8)supports de stockage (A.7.10)terminaux utilisateur (A.8.1)restriction d'accès (A.8.3)accès au code source (A.8.4)programmes malveillants (A.8.7)gestion des vulnérabilités (A.8.8)sauvegarde (A.8.13)redondance des moyens (A.8.14)activités de surveillance (A.8.16)programmes utilitaires privilégiés (A.8.18)installation de logiciels (A.8.19)sécurité des réseaux (A.8.20, A.8.21, A.8.22)utilisation de la cryptographie (A.8.24)codage (A.8.28)changements (A.8.32)Politiques :sécurité de l'information (§§ 5.1, 5.2, 6.2, 7.3)utilisation correcte de l'information (A.5.10)classification de l'information (A.5.12)transfert de l'information (A.5.14)contrôle d'accès (A.5.15, A.5.18, A.8.2)droits d'accès (A.5.18) propriété intellectuelle (A.5.32)protection des enregistrements (A.5.33)conformité aux règles et normes ( A.5.36)sensibilisation et formation (A.6.3)télétravail (A.6.7)bureau propre et écran vide (A.7.7)supports de stockage (A.7.10)vulnérabilités techniques (A.8.8)sauvegarde de l'information (A.8.13)jounalisation (A.8.15)Informations documentées à conserver (enregistrements) :domaine d'application (§ 4.3)politique de sécurité de l'information (§ 5.2)appréciation des risques (§§ 6.1.2, 8.2)traitement des risques (§§ 6.1.3, 8.3)déclaration d'applicabilité (§ 6.1.3)plan de traitement des risques (§ 6.1.3)plan d'atteinte des objectifs (§ 6.2)plan de gestion des changements (§ 6.3)objectifs (§ 6.2)compétences (§ 7.2)liste des informations documentées (§ 7.5.3)documents d'origine externe (§ 7.5.3)suivi des processus (§ 8.1)résultats de l'apprécation des risques (§ 8.2)résultats de traitement des risques (§ 8.3)résultats de l'inspection (§ 9.1)programme d'audit (§ 9.2)rapports d'audits (§ 9.2)décisions de la revue de direction (§ 9.3)non-conformités (§ 10.2)des actions correctives (§ 10.2)inventaire des actifs (A.5.9)règles d'utilisation des actifs (A.5.10, A.5.11)données de transfert (A.5.14)mot de passe (A.5.17, A.8.5)plan de gestion des incidents (A.5.24)registre des incidents (A.5.24)plan de continuité d'activité (A.5.29, A.5.30)liste des exigences (A5.31)registre des licences (A.5.32)protection des enregistrements (A.5.33)engagement de confidentialité (A.6.6)sécurité travail à distance (A.6.7)sortie des actifs (A.7.9, A.7.10)sécurité des appareils mobiles (A.8.1)accès privilégiés (A.8.2, A.8.18)plan de gestion de la capacité (A.8.6)protéction contre les logiciels malveillants (A.8.7)registre des vulnérabilités (A.8.8)registre de la configuration (A.8.9)suppression de l'information (A.8.10)plan de sauvegarde (A.8.13)journaux des événements (A.8.15)surveillance (A.8.16)synchronisation (A.8.17)autorisations privilégiées (A.8.18)protection des réseaux (A.8.20)règles de filtrage (A.8.23)clés cryptographiques (A.8.24)applications (A.8.26)principes d'ingénierie (A.8.27)codage sécurisé (A.8.28)plan de test (A.8.29)environnements (A.8.31)demande de changement (A.8.32, A.33)817.5.1 bInclure les informations documentées jugées nécessaires à l'efficacité du SMSICes informations documentées sont spécifiques par rapport à la taille de l'organisation, au domaine d'activité, à la complexité des processus et leurs interactions à la compétence du personnel7.5.2Création et mise à jour827.5.2 aIdentifier et décrire les informations documentées de façon appropriéeLors de leur création et mise à jour. Comme titre, auteur, date, codification837.5.2 bS'assurer que le format et le support des informations documentées sont appropriésExemples de formats : langue, version du logiciel et des graphiques. Exemples de supports : papier, électronique847.5.2 cPasser en revue et valider les informations documentées de façon appropriéeAfin de déterminer leur pertinence et adéquation7.5.3Maîtrise des informations documentées 857.5.3 aMaîtriser les informations documentées pour qu'elles soient disponibles et conviennent à l'utilisationQuand nécessaire et à l'endroit voulu. Selon les exigences du SMSI et de la norme ISO 27001867.5.3 bMaîtriser les informations documentées pour qu'elles soient convenablement protégéesComme perte de confidentialité, utilisation inappropriée ou perte d'intégrité877.5.3 cAppliquer des activités de distribution, d'accès, de récupération et d'utilisationAfin de maîtriser les informations documentées887.5.3 dAppliquer des activités de stockage et de protectionY compris la préservation de lisibilité897.5.3 eAppliquer des activités de maîtrise des modificationsComme la maîtrise des versions907.5.3 fAppliquer des activités de conservation et d'éliminationEn déterminant pour chaque information documentée la durée de conservation et la manière d'élimination917.5.3Identifier et maîtriser les informations documentées d'origine externeListe des informations documentées jugées nécessaires à la planification et au fonctionnement du SMSI, y compris celles d'origine externe. Cf. paragraphe 7.5.18RéalisationDérouler (Do) 8.1 Planification et maîtrise928.1Planifier, appliquer, maîtriser et tenir à jour des processus nécessaires afin de respecter les exigences du SMSI En établissant des critères pour ces processus et en réalisant des actions déterminées dans le paragraphe 6.1938.1Planifier, appliquer, maîtriser et tenir à jour des processus nécessaires afin de respecter les exigences du SMSI En appliquant la mesure de sécurité conformément aux critères948.1Conserver des informations documentées sur les processus nécessairesAfin de s'assurer que les processus sont réalisés comme prévu. Cf. paragraphe 7.5.1958.1Maîtriser les changements prévus et analyser ceux qui sont imprévusEn menant des actions pour limiter tout impact négatif. Cf. paragraphe 7.5.1968.1S'assurer que les processus externalisés sont maîtrisés et pertinentsY compris les produits et services externalisés8.2Appréciation des risques978.2Apprécier les risques de sécurité de l'information régulièrementEn tenant compte des critères établis en 6.1.2 a et le § 6.3988.2Conserver des informations documentées sur les résultats de l'appréciation des risquesRésultats de l'appréciation, cf. paragraphe 7.5.18.3Traitement des risques998.3Appliquer le plan des traitement des risquesConformément au paragraphe 6.21008.3Conserver des informations documentées sur les résultats de traitement des risquesPlan de traitement des risques, cf. paragraphe 7.5.1 9PerformanceComparer (Check) 9.1Inspection1019.1 aDéterminer ce qu'il est nécessaire d'inspecter (surveiller et mesurer)Y compris les processus et les mesures de sécurité de l'information1029.1 bDéterminer les méthodes d'inspectionY compris l'analyse et l'évaluation afin d'assurer la validité des résultats. Tout résultat valable est comparable et reproductible1039.1 cDéterminer le moment d'inspectionY compris les points où la surveillance et la mesure sont réalisées1049.1 dDéterminer qui effectue l'inspectionLa personne responsable de l'inspection1059.1 eDéterminer le moment d'analyse des résultats de l'inspectionY compris le moment d'évaluation de ces résultats1069.1 fDéterminer qui analyse les résultatsY compris la personne responsable de l'évaluation des résultats1079.1Conserver des informations documentées sur les résultats de l'inspectionCf. paragraphe 7.5.11089.1Evaluer la performance de sécurité de l'informationY compris l'efficacité du SMSI9.2Audit interne9.2.1Généralités1099.2.1 a 1Conduire des audits internes à des intervalles planifiés afin de vérifier si le SMSI respecte les exigences de l'organisationY compris à la politique et les objectifs, cf. paragraphes 5.2 et 6.21109.2.1 a 2Conduire des audits internes à des intervalles planifiés afin de vérifier si le SMSI respecte les exigences de la norme ISO 27001Exigences dans les articles 4 à 10 de la norme1119.2.1 b Conduire des audits internes à des intervalles planifiés afin de vérifier si le SMSI est appliqué efficacementCf. la revue de direction, paragraphe 9.39.2.2Programme d'audit1129.2.2Planifier, établir, appliquer et tenir à jour le programme d'auditIncluant la fréquence, les méthodes, les responsabilités, les exigences de planification et de rapport. Suivre les recommandation de l'ISO 190111139.2.2Tenir compte dans le programme d'audit de l'importance des processusEt des résultats des audits précédents1149.2.2 aDéfinir les critères d'auditEt le périmètre de chaque audit. Suivre les recommandation de l'ISO 190111159.2.2 bSélectionner les auditeursAfin de conduire des audits objectifs et impartiaux. Suivre les recommandation de l'ISO 190111169.2.2 cRendre compte des résultats des auditsA la direction concernée1179.2.2Conserver les informations documentées sur l'application du programme d'auditEt les résultats d'audit, cf. paragraphe 7.5.19.3Revue de direction9.3.1Généralités1189.3.1Passer en revue le SMSI à des intervalles planifiésAfin de s'assurer que le SMSI est toujours approprié, adéquat et efficace. "Aucun système n'est parfait"9.3.2Eléments d'entrée1199.3.2 aPrendre en considération l'avancement des actions décidées au cours de la revue de direction précédenteUtiliser le dernier rapport de la revue de direction1209.3.2 bPrendre en considération les changements des enjeux du SMSICf. paragraphe 4.11219.3.2 cPrendre en considération les changements des exigences des parties prenantesCf. paragraphe 4.21229.3.2 d 1Prendre en considération les tendances des retours d'informationY compris les non-conformités et les actions correctives, cf. paragraphe 10.21239.3.2 d 2Prendre en considération les tendances des résultats des inspectionsAutrement dit les résultats de la surveillance et du mesurage, cf. paragraphe 9.1 1249.3.2 d 3Prendre en considération les tendances des résultats des auditsCf. paragraphe 9.21259.3.2 d 4Prendre en considération les tendances de l'atteinte des objectifsCf. paragraphe 6.2 1269.3.2 ePrendre en considération les retours d'information des parties prenantesCf. paragraphe 4.21279.3.2 fPrendre en considération les résultats de l'appréciation des risquesY compris l'avancement du plan de traitement des risques, cf. paragraphe 6.1.31289.3.2 gPrendre en considération les opportunités d'amélioration continueEt les éventuels changement du SMSI Cf. paragraphe 10.29.3.3Eléments de sortie1299.3.3Inclure dans les résultats de la revue de direction les décisions d'amélioration continueEt les éventuels changement du SMSI Cf. paragraphe 10.21309.3.3Conserver les informations documentées sur les résultats de la revue de directionCf. paragraphe 7.5.110AméliorationAgir (Act) 10.1Amélioration continue 13110.1Améliorer en continue la pertinence, l'adéquation et l'efficacité du SMSIEn améliorant la performance globale du SMSI10.2Non-conformité et action corrective13210.2 a 1Réagir à la non-conformitéAfin de la maîtriser et de la corriger13310.2 a 2Réagir à la non-conformitéAfin de faire face aux conséquences de la non-conformité13410.2 b 1Passer en revue la non-conformitéEn évaluant si une action est nécessaire pour éliminer la cause13510.2 b 2Trouver la cause des non-conformitésSi possible la cause première13610.2 b 3Rechercher si des non-conformités similaires se sont produitesOu pourraient se produire13710.2 cAppliquer toutes les actions nécessairesY compris des actions correctives13810.2 dPasser en revue l'efficacité de toute action menéeY compris toute action corrective13910.2 eModifier le SMSISi cela est nécessaire14010.2Mener des actions correctives appropriées aux conséquences réelles ou potentiellesPar rapport aux non-conformités apparues14110.2 fConserver les informations documentées sur la nature des non-conformitésCf. paragraphe 7.5.114210.2 gConserver les informations documentées sur les résultats des actions correctivesCf. paragraphe 7.5.1Annexe A (normative)Comparer (Check)A.5 Mesures organisationnelles143A.5.1Politiques de sécurité de l'informationDéfinir les politiques de sécurité de l'information, qui sont approuvées par la direction, publiées, communiquées, révisées et changées, cf § 5.2144A.5.2Fonctions et responsabilités liées à la sécurité de l'information Définir et attribuer les fonctions et responsabilités liées à la sécurité de l'information, cf. § 5.3145A.5.3Séparation des tâches Séparer les tâches et domaines de responsabilité incompatibles146A.5.4Responsabilités de la directionAppliquer les mesures de sécurité de l'information selon les politiques et procédures de l'entreprise, demande de la direction, cf. § 5.1147A.5.5Contacts avec les autoritésEtablir et maintenir le contact avec les autorités appropriées148A.5.6Contacts avec des groupes d'intérêt spécifiquesEtablir et maintenir des contacts avec des groupes d'intérêt liés à la sécurité de l'information149A.5.7Renseignement sur les menacesCollecter et analyser les menaces liées à la sécurité de l'information150A.5.8Sécurité de l'information dans la gestion de projetIntégrer la sécurité de l'information à la gestion des projets151A.5.9Inventaire des informations et autres actifs associésElaborer et tenir à jour un inventaire des informations et actifs liés à la sécurité de l'information152A.5.10Utilisation correcte des informations et autres actifs associésIdentifier, documenter et appliquer des règles d'utilisation correcte et des procédures de traitement des informations et actifs153A.5.11Restitution des actifsRestituer tous les actifs au moment de quitter l'entreprise ou de changer de poste154A.5.12Classification des informationsClassifier les informations selon des exigences de confidentialité, d'intégrité et de disponibilité155A.5.13Marquage des informationsElaborer et appliquer des procédures pour le marquage des informations156A.5.14Transfert des informationsMettre en place des règles, des procédures ou des accords sur le transfert des informations en interne et avec les parties prenantes157A.5.15Contrôle d'accèsDéfinir et appliquer les règles d'accès physique et logique aux informations selon les exigences métier et la sécurité de l'information158A.5.16Gestion des identitésGérer le cycle de vie complet des identités159A.5.17Informations d'authentificationContrôler l'attribution et la gestion des informations d'authentification selon un processus spécifique incluant des recommandations d'utilisation appropriée160A.5.18Droits d'accèsPourvoir, réviser, modifier et supprimer les droits d'accès aux informations et actifs conformément à la politique spécifique161A.5.19Sécurité de l'information dans les relations avec les fournisseursDéfinir et appliquer des processus et procédures afin de gérer les risques de sécurité de l'information liés à l'utilisation de produits et services des fournisseurs162A.5.20La sécurité de l'information dans les accords conclus avec les fournisseursMettre en place et convenir avec chaque fournisseur les exigences de sécurité de l'information appropiées163A.5.21Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TICDéfinir et appliquer des processus et procédures afin de gérer les risques de sécurité de l'information liés à la chaîne d'approvisionnement des produits et services TIC164A.5.22Surveillance, révision et gestion des changements des services forunisseursSurveiller, réviser, évaluer et gérer régulièrement les changements des pratiques de sécurité de l'information des fournisseurs165A.5.23Sécurité de l'information dans l'utilisation de services en nuageEtablir les processus d'acquisition, d'utilisation, de gestion et de cessation des services en nuage selon les exigences de sécurité de l'information de l'entreprise166A.5.24Planification et préparation de la gestion des incidentsliés à la sécurité de l'informationPlanifier et préparer la gestion des incidents liés à la sécurité de l'information avec des processus, fonctions et responsabilités concernés167A.5.25Evaluation des événements liés à la sécurité de l'information et prise de décisionEvaluer les événements liés à la sécurité de l'information et décider si ces derniers doivent être catégorisés comme des incidents168A.5.26Réponse aux incidents liés à la sécurité de l'informationRépondre aux incidents liés à la sécurité de l'information conformément aux procédures documentées169A.5.27Enseignements des incidents liés à la sécurité de l'informationUtiliser les connaissances acquises à partir des incidents liés à la sécurité de l'information afin de renforcer et améliorer les mesures de sécurité de l'information170A.5.28Collecte de preuvesEtablir et appliquer des procédures pour l'identification, la collecte, l'acquisition et la préservation de preuves liées aux événements de sécurité de l'information171A.5.29Sécurité de l'information pendant une perturbationPlanifier comment maintenir la sécurité de l'information à un niveau approprié pendant une perturbation172A.5.30Préparation des TIC pour la continuité d'activitéPlanifier, appliquer, maintenir et tester la préparation des TIC selon les objectifs et exigences de continuité d'activité173A.5.31Exigences légales, statutaires, réglementaires et contractuellesIdentifier, documenter, respecter et tenir à jour les exigences légales, statutaires, réglementaires et contractuelles pertinentes de sécurité de l'information174A.5.32Droits de propriété intellectuelleMettre en place des procédures appropriées afin de protéger les droits de propriété intellectuelle175A.5.33Protection des enregistrementsProtéger de la perte, de la destruction, de la falsification, des accès non autorisés et des diffusions non autorisées les enregistrements opérationnels176A.5.34Protection de la vie privée et des DCPIdentifier et respecter les exigences de protection de la vie privée et des données à caractère personnel (DCP) selon les lois, réglementations et exigences contractuelles applicables177A.5.35Revue indépendante de la sécurité de l'informationPasser en revue à intervalles planifiés la gestion de la sécurité de l'information, y compris les personnes, processus et technologies178A.5.36Conformité aux politiques, règles et normes de sécurité de l'informationVérifier régulièrement la conformité aux politiques de sécurité de l'information, aux normes et règles de l'entreprise179A.5.37Procédures d'exploitation documentéesDocumenter et mettre à disposition du personnel concerné les procédures d'exploitationdes moyens de traitement de l'informationA.6 Mesures liées aux persones180A.6.1Sélection des candidatsRéaliser les vérifications des références des candidats à l'embauche avant leur intégration dans l'entreprise selon les exigences métier, la classification des informations et les risques identifiés, cf. § 7.2181A.6.2Termes et conditions du contrat de travailIndiquer dans les contrats de travail les responsabilités du personnel et de l'entreprise en matière de sécurité de l'information182A.6.3Sensibilisation, enseignement et formation en sécurité de l'informationSensibiliser, enseigner et former le personnel et les parties prenantes en sécurité de l'information, y compris les mises à jour des politiques et des procédures183A.6.4Processus disciplinaireFormaliser et communiquer le processus disciplinaire pour ceux qui n'ont pas respecté la politique de sécurité de l'information184A.6.5Responsabilités après la fin ou le changement d'un emploiDéfinir, appliquer et communiquer les responsabilités et obligations relatives à la sécurité de l'information qui restent valables après la fin ou le changement d'un emploi185A.6.6Accords de confidentialité ou de non-divulgationIdentifier, documenter, réviser et signer les accords de confidentialité (de non-divulgation) afin de protéger les informations sensibles186A.6.7TélétravailMettre en place des mesures de sécurité pertinentes pour le télétravail afin de protéger les informations en dehors des locaux de l'entreprise187A.6.8Déclaration des événements liés à la sécurité de l'informationFournir un mécanisme pour déclarer rapidement les événements avérés ou suspectés liés à la sécurité de l'information A.7 Mesures physiques188A.7.1Périmètres de sécurité physiqueDéfinir et utiliser des périmètres de sécurité afin de protéger les zones avec des informations et actifs sensibles189A.7.2Les entrées physiquesProtéger les zones d'accès par des mesures de sécurité des accès et des points d'accès appropriés190A.7.3Sécurisation des bureaux, des salles et des installationsConcevoir et appliquer des mesures de sécurité physique pour les bureaux, les salles et les installations191A.7.4Surveillance de la sécurité physiqueSurveiller en continu les locaux afin d'empêcher l'accès physique non autorisé192A.7.5Protection contre les menaces physiques et environnementalesConcevoir et appliquer une protection contre les menaces physiques et environnementales (comme les catastrophes naturelles), intentionnelles ou non intentionnelles193A.7.6Travail dans les zones sécuriséesConcevoir et appliquer des mesures de sécurité pour le travail dans les zones sécurisées194A.7.7Bureau propre et écran videDéfinir et appliquer des règles du bureau propre et d'écran vide pour les moyens de traitement de l'information195A.7.8Emplacement et protection du matérielChoisir et protéger un emplacement sécurisé pour le matériel 196A.7.9Sécurité des actifs hors des bureauxProtéger les actifs hors du site197A.7.10Supports de stockageGérer les supports de stockage tout au long de leur cycle de vie (acquisition, utilisation, transport et mise au rebut) selon la classification et les exigences de l'entreprise198A.7.11Services supportProtéger les moyens de traitement de l'information contre les coupures de courant et autres défaillances des services support199A.7.12Sécurité du câblageProtéger les câbles électriques contre les interceptions, interférences ou dommages200A.7.13Maintenance du matérielEntretenir le matériel correctement afin d'assurer la disponibilité, l'intégrité et la confidentialité de l'information201A.7.14Elimination ou recyclage sécurisé du matérielVérifier les matériels de stockage afin de s'assurer de la suppression sécurisée des données sensibles ou logiciel sous licenceA.8 Mesures technologiques202A.8.1Terminaux utilisateursProtéger les informations stockées, traitées ou accessibles via un terminal utilsateur203A.8.2Droits d'accès privilégiésLimiter et gérer l'attribution et l'utilisation des droits d'accès privilégiés204A.8.3Restriction d'accès aux informationsRestreindre l'accès aux informations et autres actifs selon la politique du contrôle d'accès205A.8.4Accès au code sourceGérer de manière appropriée l'accès au code source, aux outils de développement et aux bibliothèques de logiciels206A.8.5Authentification sécuriséeAppliquer des technologies et procédures d'authentification sécurisées selon les restrictions de la politique de contrôle d'accès, cf. A.8.3207A.8.6DimensionnementSurveiller et ajuster l'utilisation des ressources selon les besoins de dimensionnement, cf. Plan de gestion de la capacité, § 7.5.1208A.8.7Protection contre les programmes malveillants (malware)Appliquer la protection contre les programmes malveillants, sensibiliser le personnel, cf. § 7.3209A.8.8Gestion des vulnérabilités techniquesObtenir des informations sur les vulnérabilités techniques des systèmes d'information, évaluer l'exposition de l'entreprise à ces vulnérabilités et prendre les mesures appropriées210A.8.9Gestion de la configurationDéfinir, documenter, appliquer, surveiller et réviser la configuration relative à la sécurité, au matériel, aux logiciels et aux réseaux211A.8.10Suppression d'informationSupprimer les informations, qui ne sont plus nécessaires, sur les systèmes d'information, les terminaux et autres supports de stockage212A.8.11Masquage des donnéesMasquer les données selon la politique de contrôle d'accès, cf. § A.8.3 en repectant les exigences métier et la législation applicable213A.8.12Prévention de la fuite de donnéesAppliquer des mesures de prévention de la fuite de données des informations sensibles aux systèmes, réseaux et autres terminaux 214A.8.13Sauvegarde des informationsConserver et tester régulièrement des copies de sauvegarde de l'information, des logiciels et des systèmes selon la politique de sauvegarde215A.8.14Redondance des moyens de traitement de l'informationAppliquer des moyens de traitement de l'information afin de répondre aux exigences de disponibilité216A.8.15JournalisationGénérer, conserver, protéger et analyser des journaux des activités, exceptions, pannes et autres événements pertinents217A.8.16Activités de surveillanceSurveiller les réseaux, systèmes et applications et prendre des mesures appropriées, cf. § 9.1218A.8.17Synchronisation des horlogesSynchroniser les horloges des systèmes de traitement de l'information avec des sources de temps approuvées219A.8.18Utilisation de programmes utilitaires à privilègesLimiter et contrôler étroitement l'utilisation des programmes utilitaires ayant la capacité de contourner les mesures de sécurité des systèmes et des applications220A.8.19Installation de logiciels sur des systèmes opérationnelsAppliquer des procédures et des mesures afin de gérer de manière sécurisée l'installation de logiciels opérationnels 221A.8.20Sécurité des réseauxSécuriser, gérer et contrôler les réseaux et leurs terminaux afin de protéger les informations des systèmes et des applications222A.8.21Sécurité des services réseauIdentifier, appliquer et surveiller les mécanismes de sécurité, les niveaux de service et les exigences des services réseaux223A.8.22Cloisonnement des réseauxCloisonner les groupes de services d'information, d'utilisateurs et de systèmes d'information224A.8.23Filtrage webMaîtriser l'accès aux sites web externes afin de réduire l'exposition aux contenus malveillants225A.8.24Utilisation de la cryptographieDéfinir et appliquer des règles de cryptographie, y compris les clés cryptographiques226A.8.25Cycle de développement sécuriséDéfinir et appliquer des règles pour le développement sécurisé des logiciels et systèmes227A.8.26Exigences de sécurité des applicationsIdentifier, spécifier et approuver les exigences de sécurité de l'information lors du développement ou de l'aquisition d'applications228A.8.27Principes d'ingénierie et d'architecture des systèmes sécurisésEtablir, documenter, tenir à jour et appliquer des principes d'ingénierie des systèmes sécurisés au cours du développement des systèmes d'information229A.8.28Codage sécuriséAppliquer des principes de codage sécurisé au développement des logiciels230A.8.29Test de sécurité dans le développement et l'acceptationDéfinir et appliquer des processus de tests de sécurité au cours du cycle de vie du développement231A.8.30Développement externaliséDiriger, contrôler et vérifier les activités relatives aux développement des systèmes externalisés232A.8.31Séparation des environnements de développement, de test et opérationnels Séparer et sécuriser les environnements de développement, de test et opérationnels233A.8.32Gestion des changementsSoumettre les changements des moyens de traitement de l'information et des systèmes d'information à des procédures de gestion des changements, cf. § 6.3234A.8.33Informations de testSélectionner, protéger et gérer les informations de test de manière appropriée235A.8.34Protection des systèmes d'informationpendant les tests d'auditPlanifier et convenir entre le testeur et le niveau approprié de la direction les tests d'audit et autres activités d'assurance impliquant l'évaluation des systèmes opérationnels

Catégorie : ISO 27001

EXIGENCES DE LA NORME ISO 27001 SÉCURITÉ DE L’INFORMATION VERSION 2022

NOUVEAUTÉS SUR LA NORME ISO 27001 VERSION 2022 : SYSTÈMES DE MANAGEMENT DE LA SÉCURITÉ DE L’INFORMATION EXIGENCES

QUELLES SONT LES EXIGENCES DE LA NORME ISO 27001 VERSION 2022 ?

Utile

Nos Qualités

A propos

Autre