Passer au contenu principal

Quelles sont les normes ISO en matière de sécurité d'accès ?

Les normes ISO applicables à la sécurité des accès relèvent principalement de la série ISO 27000, les normes ISO 27001 et ISO 27002 étant les plus pertinentes. La norme ISO 27001 définit les exigences relatives à un système de gestion de la sécurité de l'information (SGSI) et contient des contrôles spécifiques pour la gestion des accès, tandis que la norme ISO 27002 fournit des lignes directrices pratiques pour leur mise en œuvre. Si vous avez des questions sur les implications pour votre organisation, n'hésitez pas à nous contacter. contact avec Sellox. Dans cet article, nous répondons aux questions les plus fréquemment posées sur les normes ISO et la sécurité d'accès.

Quelles normes ISO s'appliquent spécifiquement à la sécurité d'accès ?

Les normes ISO les plus pertinentes en matière de sécurité d'accès sont les normes ISO 27001 et ISO 27002. La norme ISO 27001 est la norme certifiable qui définit les exigences relatives à la sécurité de l'information dans son ensemble, y compris le contrôle d'accès. La norme ISO 27002 fournit des lignes directrices complémentaires pour sa mise en œuvre. Par ailleurs, la norme ISO 27001 est pertinente lorsque le contrôle d'accès est lié à la protection de la vie privée et des données personnelles.

Outre la série ISO 27000, il existe également CEI 62443 Un rôle est essentiel dans certains secteurs, notamment dans les environnements industriels et les technologies opérationnelles où convergent la sécurité d'accès physique et numérique. De plus, pour les organisations utilisant des systèmes de contrôle d'accès certifiés, des normes spécifiques aux produits s'appliquent, telles que la norme EN 60839 pour les systèmes de contrôle d'accès électroniques.

Il est important de comprendre que les normes ISO relatives à la sécurité d'accès couvrent à la fois l'accès logique (systèmes numériques, réseaux, applications) et l'accès physique (bâtiments, salles serveurs, zones sécurisées). Ces deux dimensions sont indissociables au sein d'un système de sécurité bien conçu.

Que prescrit la norme ISO 27001 en matière de contrôle d'accès ?

La norme ISO 27001 stipule que les organisations doivent adopter une politique systématique pour contrôle d'accès, Ce système repose sur le principe des droits d'accès minimaux. Cela signifie que les employés et les systèmes n'ont accès qu'aux informations et aux ressources nécessaires à leur fonction. La norme exige que les droits d'accès soient accordés, gérés, contrôlés et révoqués selon des procédures documentées.

Dans la norme ISO 27001, le contrôle d'accès relève de l'annexe A, qui décrit une série de mesures de sécurité. Les contrôles concernés portent sur :

  • Établir et documenter une politique d'accès
  • Inscription et gestion des comptes utilisateurs et des droits d'accès
  • Utilisation de méthodes d'authentification fortes, notamment l'authentification multifactorielle
  • Contrôle et examen périodiques des droits d'accès
  • Limitation des droits d'administrateur et de l'accès privilégié
  • Enregistrement et surveillance des tentatives d'accès

La norme ISO 27001 ne prescrit pas précisément la mise en œuvre technique de cette norme, mais elle stipule que les mesures choisies doivent avoir une efficacité démontrable. Cela laisse aux organisations la liberté de choisir les solutions adaptées à leur situation particulière, à condition qu'elles puissent démontrer une gestion adéquate des risques.

Quelle est la différence entre les normes ISO 27001 et ISO 27002 en matière de sécurité d'accès ?

La principale différence réside dans le fait que la norme ISO 27001 définit les exigences auxquelles une organisation doit se conformer pour obtenir la certification, tandis que la norme ISO 27002 fournit des lignes directrices pratiques pour sa mise en œuvre. En matière de sécurité d'accès, cela signifie que la norme ISO 27001 stipule l'existence d'une politique d'accès, et que la norme ISO 27002 décrit concrètement le contenu de cette politique.

ISO 27001 : la norme définissant les exigences

L'ISO 27001 est une norme auditable et certifiable. Un organisme de certification externe évalue si l'organisation satisfait aux exigences définies, notamment aux contrôles de l'annexe A relatifs à la gestion des accès. Cette norme est contraignante pour les organisations souhaitant obtenir la certification ISO 27001.

ISO 27002 : la norme assortie de lignes directrices

L'ISO 27002 n'est pas une norme certifiable, mais un manuel détaillé. Pour chaque contrôle de l'ISO 27001, l'ISO 27002 fournit des explications, des exemples et des recommandations de mise en œuvre. Concernant la sécurité des accès, l'ISO 27002 offre des orientations concrètes sur des sujets tels que les politiques de mots de passe, le contrôle d'accès basé sur les rôles et la gestion des utilisateurs externes. Les organisations utilisent l'ISO 27002 comme cadre de référence pour concevoir et améliorer leurs mesures de sécurité.

Quel est le lien entre la sécurité d'accès physique et les normes ISO ?

La sécurité d'accès physique est une composante essentielle de la norme ISO 27001 et est explicitement abordée dans les contrôles relatifs à la sécurité physique et environnementale. Cette norme exige des organismes qu'ils prennent des mesures pour empêcher tout accès physique non autorisé aux zones, équipements et informations sensibles. Par exemple, le contrôle d'accès aux salles serveurs, aux zones sécurisées et aux postes de travail contenant des informations confidentielles est obligatoire.

Les mesures concrètes attendues par la norme ISO 27001 concernant l'accès physique comprennent :

  • Définir des zones sécurisées avec des restrictions d'accès claires
  • Utilisation de systèmes de contrôle d'accès tels que des cartes, des codes PIN ou la biométrie
  • Enregistrement et orientation des visiteurs dans les zones sécurisées
  • Protection du matériel contre l'accès non autorisé ou le vol
  • Procédures de gestion des clés et des moyens d'accès

Les normes ISO considèrent la sécurité des accès physiques et logiques comme complémentaires. Une politique d'accès numérique robuste est inutile si des personnes non autorisées peuvent accéder physiquement aux serveurs ou aux postes de travail. La norme encourage donc les organisations à évaluer et à sécuriser ces deux aspects conjointement.

Comment une organisation obtient-elle la certification ISO pour la sécurité d'accès ?

Une organisation obtient la certification ISO 27001 en établissant, en mettant en œuvre et en faisant auditer un système de gestion de la sécurité de l'information (SGSI) complet par un organisme de certification accrédité. Le contrôle d'accès est un axe prioritaire, mais la certification couvre l'ensemble de la sécurité de l'information de l'organisation.

Le processus de certification se déroule globalement selon les étapes suivantes :

  1. Définir la portée : L'organisation détermine quels systèmes, processus et sites relèvent du SMSI.
  2. Effectuer une analyse des risques : Les risques liés à la sécurité de l'information, y compris les risques d'accès, sont identifiés et évalués.
  3. Mettre en œuvre des mesures : Sur la base de l'analyse des risques, des contrôles appropriés sont mis en œuvre, tels que des politiques d'accès, des systèmes d'authentification et la gestion des journaux.
  4. Audit interne : L'organisation elle-même vérifie si le système de gestion de la sécurité de l'information (SGSI) fonctionne correctement et est documenté.
  5. Audit externe (phase 1) : Un organisme certificateur évalue la documentation et la politique.
  6. Audit externe (phase 2) : La mise en œuvre et le fonctionnement concrets des mesures sont testés en pratique.
  7. Délivrance du certificat : Suite à une évaluation positive, l'organisme reçoit la certification ISO 27001, valable trois ans avec des audits de surveillance annuels.

Une préparation adéquate exige du temps et des efforts de la part de toute l'organisation. Le contrôle d'accès y joue un rôle central, car il est lié à pratiquement tous les autres aspects de la sécurité de l'information. Souhaitez-vous savoir comment Sellox peut aider votre organisation à mettre en place une sécurité d'accès robuste ? Contactez-nous et nous sommes heureux de réfléchir avec vous.

Foire aux questions

Toute organisation doit-elle être certifiée ISO 27001 pour se conformer aux exigences légales en matière de sécurité d'accès ?

Non, la certification ISO 27001 n'est généralement pas obligatoire, mais elle peut être exigée indirectement par les clients, les partenaires ou des réglementations sectorielles telles que NIS2 ou le RGPD. Les organisations peuvent également satisfaire aux obligations légales sans certification en utilisant les lignes directrices des normes ISO 27001 et ISO 27002 comme cadre de référence. Cependant, la certification offre un avantage indéniable : elle garantit aux parties externes que la sécurité de l'information, notamment le contrôle d'accès, est mise en place selon des normes professionnelles.

Combien de temps faut-il en moyenne à une entreprise de taille moyenne pour obtenir la certification ISO 27001 ?

Pour une organisation de taille moyenne, le processus de certification prend généralement entre six mois et deux ans, selon le niveau de maturité actuel de la sécurité de l'information, l'étendue du périmètre et les ressources internes disponibles. Les organisations disposant déjà d'une politique d'accès robuste et de procédures associées peuvent considérablement raccourcir ce processus. Une approche progressive, consistant à mettre en place d'abord les contrôles les plus critiques, tels que la gestion des accès, permet de maîtriser le processus.

Quelles sont les erreurs les plus courantes commises par les organisations lors de la mise en place du contrôle d'accès conformément à la norme ISO 27001 ?

Une erreur fréquente consiste à appliquer le principe des droits d'accès minimaux de manière incohérente : les employés se voient accorder plus de droits que nécessaire, souvent par commodité ou parce que ces droits ne sont jamais réexaminés suite à un changement de poste. Parmi les autres erreurs courantes figurent l'absence de contrôles périodiques des accès, l'enregistrement insuffisant des tentatives d'accès et le défaut de révocation des droits d'accès en temps opportun lors de la cessation d'emploi. Un processus structuré et documenté d'octroi, de contrôle et de révocation des droits d'accès est essentiel pour éviter ces écueils.

Comment gérer les droits d'accès des employés externes, des fournisseurs ou des travailleurs indépendants dans le cadre de la norme ISO 27001 ?

La norme ISO 27001 exige que les droits d'accès des tiers soient gérés avec le même soin que ceux des employés internes, en accordant une attention particulière à la durée et à la limitation de cet accès. Concrètement, cela implique la création de comptes distincts pour les utilisateurs externes, la restriction de l'accès aux seuls systèmes et données nécessaires à la mission, et la définition d'une date de fin ou de désactivation claire pour cet accès. Les accords contractuels relatifs à la sécurité de l'information, tels qu'un accord de traitement des données ou une clause de confidentialité, constituent une exigence supplémentaire du système de management de la sécurité de l'information (SMSI).

Le contrôle d'accès biométrique est-il pleinement conforme aux normes ISO et au RGPD ?

Techniquement, le contrôle d'accès biométrique est pleinement applicable dans le cadre de la norme ISO 27001 et est même considéré comme une méthode d'authentification forte. Cependant, les données biométriques étant classées comme données personnelles sensibles au sens du RGPD, leur traitement est soumis à des exigences légales supplémentaires, telles qu'une base juridique explicite et une analyse d'impact relative à la protection des données (AIPD). Les organisations qui déploient la biométrie auraient intérêt à consulter également la norme ISO 27701, qui porte spécifiquement sur la gestion de la confidentialité et complète la norme ISO 27001.

Que se passe-t-il si un audit externe révèle que notre gestion des accès n'est pas conforme aux normes ?

Si un auditeur identifie des lacunes dans le contrôle d'accès, celles-ci sont qualifiées de ‘ non-conformité ’, dont la gravité peut varier d'un écart mineur à une non-conformité majeure. En cas de non-conformité mineure, l'organisme dispose d'un délai convenu pour mettre en œuvre les améliorations nécessaires, sans que sa certification ne soit immédiatement compromise. Une non-conformité majeure, telle que l'absence totale de politique d'accès ou de revues d'accès, peut entraîner le report ou le retrait de la certification jusqu'à ce que le problème soit résolu de manière tangible.

Comment maintenir à jour notre politique d'accès après l'obtention de la certification ISO 27001 ?

Après la certification, des audits de surveillance annuels sont obligatoires, ce qui implique que la politique d'accès doit être constamment mise à jour et démontrer son efficacité. Concrètement, cela suppose de réaliser des revues d'accès périodiques (au moins une fois par an ou à chaque changement de poste), d'adapter la politique en fonction des évolutions organisationnelles ou des nouvelles technologies, et de documenter systématiquement toute modification. L'intégration de la gestion des accès aux processus RH et informatiques courants, tels que l'accueil et le départ des nouveaux employés, garantit que la politique est pleinement appliquée au sein de l'organisation et ne reste pas lettre morte.