Module « Sécurité de l'information » de la norme ISA 2027 : analyse contrôle par contrôle

Politiques, rôles et actifs

1.1.1 – Dans quelle mesure les politiques de sécurité de l’information sont-elles disponibles ? Les politiques doivent désormais être disponibles et communiquées. Mettre davantage l’accent sur la communication des changements de politique à toutes les parties concernées permet de répondre à un défi commun à de nombreuses organisations : des politiques qui existent mais qui n’ont jamais été réellement communiquées en aval de la chaîne hiérarchique.

1.2.2 – Dans quelle mesure les responsabilités en matière de sécurité de l’information sont-elles organisées ? Les rôles doivent être définis, attribués et dotés des pouvoirs nécessaires. Cela comble une lacune fréquente : les rôles sont formellement attribués sur le papier, mais ne disposent pas de l’autorité effective nécessaire pour les remplir et les faire respecter.

1.3.1 – Dans quelle mesure les actifs informationnels sont-ils identifiés et répertoriés ? Les actifs doivent être identifiés, classifiés et attribués à une personne responsable, en mettant davantage l’accent sur la classification et la clarification de la propriété qu’auparavant.

Gestion des incidents et des crises

1.6.2 – Dans quelle mesure les événements de sécurité signalés sont-ils gérés ? Des critères d’escalade et des délais doivent désormais être définis – en précisant ce qui déclenche l’escalade et dans quel délai celle-ci doit avoir lieu.

1.6.3 – Dans quelle mesure l’organisation est-elle préparée à gérer des situations de crise ? Un plan de gestion de crise doit être défini et testé, l’accent étant davantage mis sur la planification et la mise en pratique de la gestion de crise que sur sa simple documentation.

Ressources humaines et gestion des accès

2.1.4 – Dans quelle mesure le travail mobile est-il réglementé ? Le terme « télétravail » a été remplacé par « travail mobile », ce qui reflète mieux la manière dont les organisations décrivent aujourd’hui cette pratique.

4.2.1 – Dans quelle mesure les droits d’accès sont-ils attribués et gérés ? Les droits d’accès doivent être attribués, réévalués et révoqués – une mise à jour qui reflète mieux la nature continue et le cycle de vie de la gestion des droits d’accès, plutôt que de la traiter comme une tâche de configuration ponctuelle.

Informatique et cybersécurité

5.2.4 – Dans quelle mesure les journaux d’événements sont-ils enregistrés et analysés ? La journalisation doit désormais inclure les sessions à distance et les violations de politique. La journalisation de l’activité des sessions à distance est une mesure judicieuse en termes de traçabilité et de responsabilité – même s’il reste à déterminer quelles violations de politique peuvent réellement être identifiées et consignées de manière techniquement fiable.

5.2.6 – Dans quelle mesure les systèmes et services informatiques font-ils l’objet de contrôles techniques (audit des systèmes et des services) ? Les vulnérabilités doivent être identifiées et corrigées dans un délai défini. Se contenter d’identifier les vulnérabilités sans s’engager à y remédier n’est plus suffisant – un durcissement bienvenu, car les vulnérabilités connues non résolues constituent l’une des lacunes les plus courantes que nous observons dans la pratique.

5.2.8 – Dans quelle mesure une planification de la continuité des services informatiques est-elle en place ? Des scénarios spécifiques – attaques DDoS, rançongiciels et autres menaces similaires – doivent désormais être définis explicitement, afin que les stratégies de remédiation puissent être adaptées à chaque scénario plutôt que de s’appuyer sur un plan de continuité générique.

5.2.9 – Dans quelle mesure la sauvegarde et la restauration des données et des services informatiques sont-elles assurées ? La sauvegarde, la restauration, l’ordre d’intervention et l’isolation doivent tous être définis, en mettant davantage l’accent sur la restaurabilité, les interdépendances entre les sauvegardes et les aspects liés à la sécurité de l’information des sauvegardes elles-mêmes (par exemple, la protection des sauvegardes au repos).

Relations avec les fournisseurs

6.1.1 – Dans quelle mesure la sécurité de l’information est-elle assurée parmi les sous-traitants et les partenaires de coopération ? Les exigences doivent désormais être définies, surveillées et auditées. Le profil de risque d’un fournisseur peut évoluer au fil du temps – un fournisseur jugé acceptable par le passé peut ne plus répondre aux critères d’évaluation actuels – c’est pourquoi des audits internes et externes récurrents jouent un rôle important pour confirmer en permanence le statut de confidentialité et de disponibilité.

Lors de nos audits qualité, nous constatons souvent que les organisations manquent l’occasion de répercuter les exigences TISAX® sur leur propre réseau de fournisseurs. Si un fournisseur est essentiel à la disponibilité de vos produits ou services, il doit être tenu de démontrer un niveau correspondant de garantie de disponibilité. La même logique s’applique lorsque des informations confidentielles sont partagées avec des fournisseurs, qui doivent également être tenus de démontrer qu’ils respectent les exigences nécessaires en matière de sécurité de l’information.

6.1.3 (anciennement 1.2.4) – Dans quelle mesure les responsabilités entre les prestataires de services informatiques externes et l’organisation sont-elles définies ? Ce contrôle a été déplacé dans le chapitre consacré à la gestion des fournisseurs, et le terme « fournisseurs informatiques » a été élargi à « prestataires de services informatiques ». Par le passé, de nombreuses organisations interprétaient le terme « fournisseurs informatiques » de manière trop restrictive, en l’associant principalement aux services informatiques externalisés – alors même que ce contrôle avait toujours pour objectif de couvrir l’ensemble des services informatiques et opérationnels (IT/OT) fournis en externe, y compris les services cloud et les services en ligne.

La nouvelle formulation précise que les prestataires de services informatiques externes peuvent être contractuellement tenus de protéger les informations confidentielles (par le biais de contrats de niveau de service (SLA) et d’une déclaration d’applicabilité du fournisseur), tandis que l’organisation elle-même reste responsable des règles internes régissant la manière dont ses propres collaborateurs traitent les informations confidentielles partagées avec des prestataires externes.

Conformité

7.1.2 – Dans quelle mesure la protection des données à caractère personnel est-elle prise en compte lors de la mise en œuvre de la sécurité de l’information ? Le terme plus intuitif de « données à caractère personnel » est désormais utilisé parallèlement à celui d’« informations permettant l’identification d’une personne », issu des référentiels ISO établis et des cadres juridiques tels que le RGPD.

Domaines où nous voyons encore une marge d’amélioration : l’écart entre les périmètres IT et OT

Un point sur lequel nous souhaitons attirer particulièrement l’attention : de nombreuses organisations ne se rendent pas compte que le terme « système informatique » est défini de manière plus large dans le catalogue ISA qu’elles ne le pensent. Selon les définitions de l’ISA, un système informatique désigne tout type de système utilisé pour le traitement électronique de l’information – une définition suffisamment large pour englober les technologies opérationnelles (OT) telles que les commutateurs, les caméras et les capteurs.

Par conséquent, les organisations négligent souvent le fait que les contrôles faisant référence aux systèmes informatiques – en particulier ceux liés à la norme CEI 62443-2-1 – s’appliquent à la fois aux environnements informatiques et OT, et pas seulement au parc informatique classique.

C’était déjà le cas dans la norme ISA 6.0, et à notre avis, la norme ISA 2027 aurait pu mettre davantage l’accent sur la dimension OT de manière explicite. Dans la pratique, nous nous attendons à ce que les descriptions d’auto-évaluation traitent séparément les environnements IT et OT dès lors qu’ils sont gérés par des équipes différentes ou qu’ils recourent à des mesures différentes pour atteindre l’objectif visé par les contrôles ISA.

Ce que cela signifie concrètement

Aucun de ces changements n’oblige les organisations à reconstruire leur SMSI à partir de zéro. Mais certains méritent d’être vérifiés par rapport à votre documentation actuelle avant votre prochaine évaluation :

• Communication des politiques et responsabilisation des rôles : il ne s’agit pas seulement de vérifier « si celles-ci existent », mais aussi de s’assurer qu’elles « sont réellement communiquées et applicables ».
• Effet en cascade sur les fournisseurs : vérifiez si vos propres fournisseurs respectent les normes de disponibilité et de confidentialité que votre organisation doit respecter pour ses clients.
• Responsabilités : les employés reçoivent-ils des consignes sur l’utilisation sécurisée et responsable des services web mis à leur disposition ?
• Périmètre des technologies opérationnelles (OT) : votre auto-évaluation prend-elle actuellement en compte les systèmes OT (commutateurs, capteurs, caméras, systèmes de contrôle industriels) au même titre que les systèmes informatiques classiques ?

Si vous souhaitez avoir une vue d’ensemble des changements apportés à l’ensemble du catalogue ISA 2027 – notamment la simplification de la protection des prototypes et le nouveau cycle de publication annuel –, consultez notre article complémentaire, « ISA 2027 : ce qui change dans le nouveau catalogue TISAX® ».

Cet article reflète les informations accessibles au public concernant l’ISA 2027 au moment de sa rédaction. Comme pour toute nouvelle version du catalogue, certains détails relatifs au calendrier et au processus de transition exacts pourraient encore être clarifiés par ENX et la VDA. Nous mettrons à jour ce contenu dès que de nouvelles informations seront disponibles.