Détail

La norme ISO 27001 ne fournit qu’un aperçu de chaque aspect du SMSI. Vous trouverez des conseils spécifiques dans des normes supplémentaires. La norme ISO 27002 est l’une des normes supplémentaires. Vous trouverez un exemple ci-dessous.

De l’ISO 27001

A.6.2.1 Politique relative aux dispositifs mobiles dans la norme ISO 27001:2013

Contrôle

Une politique et des mesures de sécurité complémentaires doivent être adoptées pour gérer les risques liés à l’utilisation des appareils mobiles.

De la norme ISO 27002

A.6.2.1 Politique relative aux dispositifs mobiles dans la norme ISO 27001:2013

Contrôle

Une politique et des mesures de sécurité complémentaires doivent être adoptées pour gérer les risques liés à l’utilisation des appareils mobiles.

Conseils de mise en œuvre

Lors de l’utilisation d’appareils mobiles, il convient de veiller tout particulièrement à ce que les informations professionnelles ne soient pas compromises. La politique relative aux appareils mobiles doit tenir compte des risques liés à l’utilisation d’appareils mobiles dans des environnements non protégés.

La politique relative aux appareils mobiles doit prendre en compte les éléments suivants

1. l’enregistrement des appareils mobiles ;
2. les exigences en matière de protection physique ;
3. restriction pour l’installation de logiciels ;
4. les exigences relatives aux versions des logiciels des appareils mobiles et à l’application des correctifs ;
5. restriction de la connexion aux services d’information ;
6. les contrôles d’accès ;
7. les techniques cryptographiques ;
8. h) la protection contre les logiciels malveillants ;
9. la désactivation, l’effacement ou le verrouillage à distance ;
10. les sauvegardes ;
11. l’utilisation de services et d’applications web.

Il convient d’être prudent lors de l’utilisation d’appareils mobiles dans des lieux publics, des salles de réunion et d’autres zones non protégées. Une protection doit être mise en place pour éviter l’accès non autorisé ou la divulgation des informations stockées et traitées par ces dispositifs, par exemple en utilisant des techniques cryptographiques et en imposant l’utilisation d’informations d’authentification secrètes.

Les appareils mobiles doivent également être protégés physiquement contre le vol, en particulier lorsqu’ils sont laissés, par exemple, dans des voitures ou d’autres moyens de transport, dans des chambres d’hôtel, des centres de conférence et des lieux de réunion. Une procédure spécifique tenant compte des exigences légales, des exigences en matière d’assurance et des autres exigences de sécurité de l’organisation doit être établie pour les cas de vol ou de perte de dispositifs mobiles. Les appareils contenant des informations professionnelles importantes, sensibles ou critiques ne doivent pas être laissés sans surveillance et, dans la mesure du possible, doivent être physiquement verrouillés ou des serrures spéciales doivent être utilisées pour sécuriser les appareils.

Une formation doit être organisée pour le personnel utilisant des appareils mobiles afin de le sensibiliser aux risques supplémentaires résultant de ce mode de travail et aux contrôles à mettre en œuvre.

Lorsque la politique relative aux appareils mobiles autorise l’utilisation d’appareils mobiles privés, la politique et les mesures de sécurité correspondantes doivent également être prises en compte :

1.  la séparation de l’utilisation privée et professionnelle des appareils, y compris l’utilisation d’un logiciel permettant cette séparation et la protection des données professionnelles sur un appareil privé ;
2. ne donner accès aux informations professionnelles qu’après que les utilisateurs ont signé un contrat d’utilisateur final reconnaissant leurs obligations (protection physique, mise à jour des logiciels, etc.), renonçant à la propriété des données professionnelles, autorisant l’effacement à distance des données par l’organisation en cas de vol ou de perte de l’appareil ou lorsqu’ils ne sont plus autorisés à utiliser le service. Cette politique doit tenir compte de la législation sur la protection de la vie privée.
3.  

Certification

Vous ne pouvez certifier que l’ISO 27001 et non l’ISO 27002. En effet, ISO 27001 est la norme de gestion qui fournit une liste complète des exigences de conformité. La norme ISO 27002, en tant que norme complémentaire, ne traite que d’un aspect spécifique d’un SMSI.

Applicabilité

Lors de la mise en œuvre d’un SGSI, il est important de comprendre que tous les contrôles de sécurité ne seront pas appliqués à votre organisation.

Cela est clairement mentionné dans la norme ISO 27001, qui précise que les organisations doivent procéder à une évaluation des risques afin d’identifier les menaces pour la sécurité de l’information et de les classer par ordre de priorité.

La norme ISO 27002 ne mentionne pas cette partie, de sorte que si vous deviez utiliser uniquement cette norme, il serait extrêmement difficile de déterminer les contrôles qu’une organisation devrait adopter.