ISO Les Normes ISO Version 2013 La nouvelle version 2013 de la norme. Différences et nouveautés Stéphane Perroud - Georges Torti Digicomp Romandie SA 14 janvier 2014, Digicomp Lausanne

ISO ISO Stéphane Perroud  Expériences  Consultant en Gouvernance, Audit et Management de la Sécurité des SI  Formateur en Gouvernance, Sécurité et Audit  Auditeur informatique  12 ans développeur J2EE et Web  Certifications  CISSP  CISA  COBIT Foundation 4.1 & 5  ITIL v3 Foundation  ISO Foundation  ISO Lead Auditor  ISO Risk Manager

ISO ISO Georges Torti  Expériences  Responsable sécurité informatique (au DEFR)  12 ans de direction des systèmes d’information  Responsable du développement informatique  Chef de projet informatique  Support informatique et formation  Président ADI (Gouvernance, Projet, Services, Sécurité)  Certifications  CISA (Certified Information System Auditor)  CISM (Certified Information Security Manager)  Certificat d’Aptitude à la Protection des Données  Cobit Foundation 4.1 & 5  ISO Foundation

ISO Plan de la conférence  Notions de base  Bref rappel historique sur BSI et ISO 27001:2005  Les changements dans ISO 27001:2013  Les changements dans ISO :2013  Impacts pour l’entreprise  Questions / Réponses

La sécurité de l’information Notions de base ISO

La sécurité de l’information ISO L’humain Les processusLa technique

La sécurité de l’information ISO  Les quatre piliers de la sécurité de l’information : Sécurité de l’Information Intégrité Non-Répudiation Confidentialité Disponibilité

Vue d’ensemble Les normes ISO ISO

Les normes ISO  Famille des normes de sécurité de l’information  Recommandation des meilleures pratiques en management de la sécurité de l’information  S’adresse à tous les types d’organismes  S’intègrent avec les autres normes internationales ISO

Les normes  Avantages  description pratique et détaillée de la mise en œuvre des objectifs et mesures de sécurité  audit régulier qui permet le suivi entre les risques initialement identifiés, les mesures prises et les risques nouveaux ou mis à jour, afin de mesurer l’efficacité des mesures prises  Processus d'amélioration continue de la sécurité, donc le niveau de sécurité a plutôt tendance à croître  Meilleure maîtrise des risques  Une certification qui améliore la confiance avec les parties prenantes  Homogénéisation : c’est un référentiel international. Cela facilite les échanges ISO

Vue d’ensemble des normes ISO ISO ISO SMSI ISO Audit de SMSI ISO Vocabulaire ISO Mesures BSI Exigences Guides ISO Analyse risques ISO Implémentation ISO Métriques ISO Sécurité des Applications Secteurs

Vue d’ensemble des normes ISO ISO

Vue d’ensemble des normes ISO ISO

Bref historique BSI ISO ISO ISO

Historique  En 1995, le standard britannique "BS 7799" créé par BSI définit des mesures de sécurité détaillées  En 1998, le BSI introduit le SMSI  En 2000, ISO édite la norme ISO/CEI 17799:2000 (codes des bonnes pratiques issues de la BS 7799)  En 2005, deux normes sont éditées :  ISO/CEI 17799:2005 qui remanie les domaines et objectifs  ISO/CEI 27001:2005 qui introduit la notion de SMSI et offre la possibilité de certification  En 2007, ISO remplace ISO/CEI  En 2013, ISO révise les norme ISO/CEI 27001:2013 et ISO/CEI 27002:2013 ISO

Les changements ISO 27001:2013 ISO

ISO ISO

Contrôles obligatoires ISO

Les changements ISO 27002:2013 ISO

Les changements ISO27002  114 mesures dans 14 domaines (Version 2005 : 133 mesures dans 11 domaines)  A.5: Information security policies  A.6: Organization of information security  A.7: Human resources security  A.8: Asset management  A.9: Access control  A.10: Cryptography  A.11: Physical and environmental security  A.12: Operations security  A.13: Communication security  A.14: System acquisition, development, and maintenance  A.15: Supplier relationships  A.16: Information security Incident management  A.17: Information security aspects of business continuity management  A.18: Compliance ISO

Les changements ISO27002  Réorganisation / déplacement de mesures  Nouvelles mesures  Suppression de mesures ISO

Nouvelles mesures ISO 27002:2013  Information security in project management  Restrictions on software installation  Secure development policy  Secure system engineering principles  Secure development environment  System security testinging  Information security policy for supplier relationships  Information and communication technology supply chain  Assessment and decision on information security events  Response to information security incidents  Availability of information processing facilities ISO

Mesures supprimées (1)  Management commitment to information security  Information security coordination  Authorisation process for information processing facilities  Identification of risks related to external parties  Addressing security when dealing with customers  Security of system documentation  Business Information Systems  User authentication for external connections  Equipment identification in networks  Remote Diagnostic and configuration port protection  Network Connection control ISO

Mesures supprimées (2)  Network routing control  Sensitive system isolation  Input data validation  Control of internal processing  Message integrity  Output data validation  Information leakage  Prevention of misuse of information processing facilities  Protection of information systems audit tools ISO

Impacts pour l’entreprise Certifications Implémentation Formation ISO

Certification  Impact sur l’interprétation de la norme et le déploiement du système de gestion de la sécurité de l’information des organisations  Majorité de la norme reste la même. Important de comprendre les changements et d’assurer la conformité du système d’information à la nouvelle norme pour les futurs audits  Période transitoire de 2 ans accordée aux organisations certifiées pour se conformer à la nouvelle version ISO

Implémentation  Commencer par une analyse d’écart entre le SMSI existant et la nouvelle version  Lancer les initiatives de mise à jour du SMSI  Changements significatifs  Politique  Appréciation des risques  Déclaration d’applicabilité (Annexe A)  Identification des problèmes ISO

Formation  Digicomp vous propose, à partir de janvier 2014, des cours et des certifications internationales en phase avec la nouvelle version du standard :  ISO/IEC Lead Auditor  ISO/IEC Lead Implementer ISO

Questions / Réponses ISO

Informations et contacts  Plus d’informations : ite_informatique  Retrouvez nous sur : Facebook Twitter Google + Slideshare ISO

Stéphane Perroud - Georges Torti Digicomp Academy Suisse Romande SA Tél Merci de votre attention! ISO

ISO Annexe A

ISO ISO 27002