Ces mesures sont organisées conformément à l'annexe A de l'ISO 27001:2022.
Elles sont détaillées dans l'ISO 27002:2022.
Pour la plupart, elles sont issues de cette annexe, mais des mesures spécifiques peuvent également y avoir été ajoutées.
Code
| Label
| Statut
| Capacités
| Scénarios
| VcMax
|
a5.01 | Politiques de sécurité de l'information | I | Gouvernance | | |
a5.02 | Fonctions et responsabilités liées à la sécurité de l'information | I | Gouvernance | | |
a5.03 | Séparation des tâches | I | Gouvernance, Gestion des identités et des accès | schds04a | Très probable |
a5.04 | Responsabilités de la direction | I | Gouvernance | | |
a5.05 | Relations avec les autorités | I | Gouvernance | schds08 | Très peu probable |
a5.06 | Relations avec les groupes de travail spécialisés | I | Gouvernance | | |
a5.07 | Surveillance des menaces | I | Gestion des menaces et vulnérabilités | schds06 | Très probable |
a5.09 | Inventaire de l'information et des actifs associés | E | Gestion des actifs | schds02a, schds02c, schds04a, schds04c | Très probable |
a5.10 | Utilisation correcte de l'information et des actifs associés | P | Gestion des actifs, Protection des informations | schds01, schds02a, schds02c, schds03_i, schds06 | Très probable |
a5.11 | Restitution des actifs | I | Gestion des actifs | schds02c, schds04a | Très probable |
a5.12 | Classification des informations | P | Protection des informations | schds01, schds02b | Très probable |
a5.13 | Marquage des informations | P | Protection des informations | schds02a, schds02b | Très probable |
a5.14 | Transferts d'information | P | Gestion des actifs, Protection des informations | schds02a, schds02b, schds03_c | Très probable |
a5.15 | Contrôle d'accès | I | Gestion des identités et des accès | schds04a, schds04c, schds06 | Très probable |
a5.16 | Attendus | P | Gestion des identités et des accès | schds04b, schds04c, schds06 | Très probable |
a5.16 | Gestion des identités | P | Gestion des identités et des accès | schds04b, schds04c, schds06 | Très probable |
a5.17 | Informations secrètes d'authentification | P | Gestion des identités et des accès | schds04b, schds04c, schds06 | Très probable |
a5.18 | Droits d'accès | I | Gestion des identités et des accès | schds04a, schds06 | Très probable |
a5.19 | Sécurité de l'information dans les relations avec les fournisseurs | P | Sécurité des relations fournisseurs | schds03_d, schds07, schds08 | Très probable |
a5.20 | Sécurité de l'information dans les accords conclus avec les fournisseurs | P | Sécurité des relations fournisseurs | schds01, schds03_d, schds04d, schds05, schds07, schds08 | Très probable |
a5.21 | Chaîne d'approvisionnement des produits et des services informatiques | I | Sécurité des relations fournisseurs | schds08 | Très peu probable |
a5.22 | Surveillance, revue et gestion des changements des services des fournisseurs | P | Assurance de sécurité de l'information, Continuité, Sécurité des relations fournisseurs | schds03_d, schds03_i, schds05, schds08 | Très probable |
a5.23 | Sécurité de l'information pour les services en nuage | I | Sécurité des relations fournisseurs | schds08 | Très peu probable |
a5.24 | Préparation et planification du management des incidents | I | Gestion des événements de sécurité de l'information, Gouvernance | | |
a5.25 | Appréciation des événements liés à la sécurité de l'information et prise de décision | I | Gestion des événements de sécurité de l'information | | |
a5.26 | Réponse aux incidents liés à la sécurité de l'information | I | Gestion des événements de sécurité de l'information | | |
a5.27 | Tirer des enseignements des incidents liés la sécurité de l'information | I | Gestion des événements de sécurité de l'information | | |
a5.28 | Collecte de preuves | I | Gestion des événements de sécurité de l'information | | |
a5.29 | Sécurité de l'information durant une perturbation | P | Continuité | schds03_c, schds03_i | Très probable |
a5.30 | Préparation des TIC pour la continuité d'activité | I | Continuité | schds08 | Très peu probable |
a5.31 | Exigences légales, statutaires, réglementaires et contractuelles | I | Réglementation et conformité | schds04d, schds08 | Très probable |
a5.32 | Droits de propriété intellectuelle | I | Réglementation et conformité | | |
a5.33 | Protection des enregistrements | E | Gestion des actifs, Protection des informations, Réglementation et conformité | schds01, schds04a, schds04c | Très probable |
a5.34 | Protection de la vie privée et des données à caractère personnel | I | Protection des informations, Réglementation et conformité | schds03_c | Peu probable |
a5.35 | Revue indépendante de la sécurité de l'information | I | Assurance de sécurité de l'information | | |
a5.36 | Conformité aux politiques, règles et normes de sécurité de l'information | I | Assurance de sécurité de l'information, Réglementation et conformité | | |
a5.37 | Procédures d'exploitation documentées | P | Gestion des actifs, Sécurité des applications, Configuration sécurisée, Continuité, Gestion des événements de sécurité de l'information, Gestion des identités et des accès, Sécurité physique, Sécurité technique en production, Sécurité système et réseau, Gestion des menaces et vulnérabilités | schds01, schds02a, schds03_d, schds04a, schds04b, schds05, schds06 | Très probable |
a6.01 | Sélection des candidats | I | Sécurité des ressources humaines | schds04c, schds05 | Très probable |
a6.02 | Termes et conditions d'embauche | I | Sécurité des ressources humaines | schds04a, schds04b, schds04c, schds05 | Très probable |
a6.03 | Sensibilisation, apprentissage et formation à la sécurité de l'information | P | Sécurité des ressources humaines | schds02a, schds02b, schds02c, schds03_d, schds03_i, schds04a, schds04b, schds04c, schds05 | Très probable |
a6.04 | Processus disciplinaire | I | Sécurité des ressources humaines | schds02a, schds02b, schds04a, schds04b, schds04c, schds05 | Très probable |
a6.05 | Achèvement ou modification des responsabilités associées à un contrat de travail | I | Gestion des actifs, Sécurité des ressources humaines | schds02a, schds04a, schds04b | Très probable |
a6.06 | Engagements de confidentialité ou de non-divulgation | I | Sécurité des relations fournisseurs, Protection des informations, Sécurité des ressources humaines | | |
a6.07 | Travail à distance | I | Gestion des actifs, Sécurité physique, Sécurité technique en production, Protection des informations, Sécurité système et réseau | schds02a, schds02b | Très probable |
a6.08 | Signalement des événements liés à la sécurité de l'information | I | Gestion des événements de sécurité de l'information | schds03_d | Très probable |
a7.01 | Périmètres de sécurité physique | P | Sécurité physique | schds02b, schds02c, schds03_c | Possible/Probable |
a7.02 | Accès physique | E | Gestion des identités et des accès, Sécurité physique | schds02b, schds02c, schds03_c, schds03_d | Très probable |
a7.03 | Sécurisation des bureaux, des salles et des équipements | E | Gestion des actifs, Sécurité physique | schds02b, schds02c, schds03_c, schds03_d | Très probable |
a7.04 | Surveillance de la sécurité physique | E | Sécurité physique | schds02b, schds02c | Possible/Probable |
a7.05 | Protection contre les menaces physiques et environnementales | I | Sécurité physique | schds01, schds03_d, schds07 | Très probable |
a7.06 | Travail dans les zones sécurisées | I | Sécurité physique | schds03_d | Très probable |
a7.07 | Bureau propre et écran vide | I | Sécurité physique | schds02b | Très peu probable |
a7.08 | Emplacement et protection des matériels | P | Gestion des actifs, Sécurité physique | schds03_c, schds03_d | Très probable |
a7.09 | Sécurité des actifs hors des locaux | P | Gestion des actifs, Sécurité physique | schds02a, schds02c | Très probable |
a7.10 | Supports de stockage | P | Gestion des actifs, Sécurité physique | schds01, schds02a, schds02c | Très probable |
a7.11 | Services généraux | I | Sécurité physique | schds01, schds03_d, schds07 | Très probable |
a7.12 | Sécurité du câblage | E | Sécurité physique | schds03_c, schds03_d, schds03_i, schds07 | Très probable |
a7.13 | Maintenance des matériels | I | Gestion des actifs, Sécurité physique | schds01, schds03_d, schds07 | Très probable |
a7.14 | Mise ou rebut ou réutilisation sécurisée des matériels | I | Gestion des actifs, Sécurité physique | schds02c | Possible/Probable |
a8.01 | Terminaux finaux des utilisateurs | I | Gestion des actifs, Protection des informations | | |
a8.02 | Privilèges d'accès | I | Gestion des identités et des accès | schds04a, schds04c, schds06 | Très probable |
a8.03 | Restriction d'accès aux informations | I | Gestion des identités et des accès | schds04a, schds04c, schds06 | Très probable |
a8.04 | Accès au code source | I | Sécurité des applications, Configuration sécurisée, Sécurité technique en construction, Gestion des identités et des accès | | |
a8.05 | Authentification sécurisée | I | Gestion des identités et des accès | schds06 | Très probable |
a8.06 | Dimensionnement | I | Continuité | schds03_i, schds05, schds07 | Très probable |
a8.07 | Mesures contre les logiciels malveillants | I | Sécurité technique en production, Protection des informations, Sécurité système et réseau | schds03_c, schds06 | Très probable |
a8.08 | Gestion des vulnérabilités techniques | I | Gestion des menaces et vulnérabilités | schds06 | Très probable |
a8.09 | Gestion de la configuration | I | Configuration sécurisée | schds03_d, schds05 | Très probable |
a8.10 | Suppression d'informations | I | Protection des informations, Réglementation et conformité | schds02c | Possible/Probable |
a8.11 | Masquage de données | I | Protection des informations | schds02c, schds03_c | Possible/Probable |
a8.12 | Prévention de la fuite de données | I | Protection des informations | schds03_c | Peu probable |
a8.13 | Sauvegarde des informations | I | Continuité | schds01, schds07 | Très probable |
a8.14 | Redondance des moyens de traitement de l'information | E | Gestion des actifs, Continuité | schds01, schds03_d, schds03_i, schds07, schds08 | Très probable |
a8.15 | Journalisation | I | Gestion des événements de sécurité de l'information | schds04c | Très probable |
a8.16 | Activités de surveillance | I | Gestion des événements de sécurité de l'information | schds03_d, schds03_i, schds07 | Très probable |
a8.17 | Synchronisation des horloges | I | Gestion des événements de sécurité de l'information | schds04c | Très probable |
a8.18 | Utilisation de programmes utilitaires à privilèges | I | Sécurité des applications, Configuration sécurisée, Sécurité technique en production, Sécurité système et réseau | schds04a | Très probable |
a8.19 | Installation de logiciels sur des systèmes opérationnels | I | Sécurité des applications, Configuration sécurisée, Sécurité technique en production | schds05 | Très probable |
a8.20 | Sécurité des réseaux | I | Sécurité technique en production, Sécurité système et réseau | schds03_d, schds03_i | Très probable |
a8.21 | Sécurité des services réseau | P | Sécurité technique en production, Sécurité système et réseau | schds03_c, schds03_d, schds03_i | Très probable |
a8.22 | Cloisonnement des réseaux | I | Sécurité technique en production, Sécurité système et réseau | schds03_c, schds03_i | Très probable |
a8.23 | Filtrage Internet | I | Sécurité technique en production, Sécurité système et réseau | schds03_c, schds03_i | Très probable |
a8.24 | Utilisation de la cryptographie | E | Configuration sécurisée | schds02c, schds03_c, schds03_d | Très probable |
a8.25 | Cycle de vie de développement sécurisé | I | Sécurité des applications, Sécurité technique en construction, Sécurité système et réseau | | |
a8.26 | Exigences de sécurité des applications | I | Sécurité des applications, Sécurité technique en construction, Sécurité système et réseau | schds03_c | Peu probable |
a8.27 | Principes d'ingénierie et d'architecture système sécurisée | I | Sécurité des applications, Sécurité technique en construction, Sécurité système et réseau | schds03_c | Peu probable |
a8.28 | Codage sécurisé | I | Sécurité des applications, Sécurité technique en construction, Sécurité système et réseau | schds03_c | Peu probable |
a8.29 | Tests de sécurité dans le développement et acceptation | I | Sécurité des applications, Assurance de sécurité de l'information, Sécurité technique en construction, Sécurité système et réseau | schds05 | Très probable |
a8.30 | Développement externalisé | I | Sécurité des applications, Sécurité technique en construction, Sécurité des relations fournisseurs, Sécurité système et réseau | | |
a8.31 | Séparation des environnements de développement, de test et de production | I | Sécurité des applications, Sécurité technique en construction, Sécurité système et réseau | schds03_i, schds05, schds08 | Très probable |
a8.32 | Gestion des changements | E | Sécurité des applications, Sécurité technique en construction, Sécurité technique en production, Sécurité système et réseau | schds03_d, schds05 | Très probable |
a8.33 | Informations relatives aux tests | I | Protection des informations | | |
a8.34 | Protection des systèmes d'information en cours de tests d'audit | I | Sécurité technique en production, Protection des informations, Sécurité système et réseau | schds03_i, schds04d, schds07 | Très probable |