Un ensemble de politiques de sécurité de l’information doit être défini, approuvé par la direction, diffusé et communiqué aux salariés et aux tiers concernés....

Les politiques doivent être revues à intervalles programmés ou en cas de changements majeurs pour garantir leur pertinence, leur adéquation et leur effectivité dans le temps....

La sécurité de l’information doit être considérée dans la gestion de projet, quel que soit le type de projet concerné....

Toutes les responsabilités en matière de sécurité de l’information doivent être définies et attribuées....

Les tâches et les domaines de responsabilité incompatibles doivent être cloisonnés pour limiter les possibilités de modification ou de mauvais usage, non autorisé(e) ou involontaire, des actifs de l’organisation....

Des relations appropriées avec les autorités compétentes doivent être entretenues....

Des relations appropriées avec des groupes d’intérêt, des forums spécialisés dans la sécurité et des associations professionnelles doivent être entretenues....

Une politique et des mesures de sécurité complémentaires doivent être adoptées pour gérer les risques découlant de l’utilisation des appareils mobiles....

Une politique et des mesures de sécurité complémentaires doivent être mises en oeuvre pour protéger les informations consultées, traitées ou stockées sur des sites de télétravail....

Des vérifications doivent être effectuées sur tous les candidats à l’embauche conformément aux lois, aux règlements et à l’éthique et être proportionnées aux exigences métier, à la classification des informations accessibles et aux risques identifiés....

Les accords contractuels entre les salariés et les sous-traitants doivent préciser leurs responsabilités et celles de l’organisation en matière de sécurité de l’information....

La direction doit demander à tous les salariés et sous-traitants d’appliquer les règles de sécurité conformément aux politiques et procédures en vigueur dans l’organisation....

L’ensemble des salariés de l’organisation et, quand cela est pertinent, des sous-traitants doit bénéficier d’une sensibilisation et de formations adaptées et recevoir régulièrement les mises à jour des politiques et procédures de l’organisation s’appliquant à leurs fonctions....

Un processus disciplinaire formel et connu de tous doit exister pour prendre des mesures à l’encontre des salariés ayant enfreint les règles liées à la sécurité de l’information....

Les responsabilités et les missions liées à la sécurité de l’information qui restent valables à l’issue de la rupture, du terme ou de la modification du contrat de travail, doivent être définies, communiquées au salarié ou au sous-traitant, et appliquées....

Les actifs associés à l’information et aux moyens de traitement de l’information doivent être identifiés et un inventaire de ces actifs doit être dressé et tenu à jour....

Les actifs figurant à l’inventaire doivent être attribués à un propriétaire....

Les règles d’utilisation correcte de l’information, les actifs associés à l’information et les moyens de traitement de l’information doivent être identifiés, documentés et mis en œuvre....

Tous les salariés, contractants et les utilisateurs tiers doivent restituer la totalité des actifs de l’organisation qu’ils ont en leur possession au terme de la période d’emploi, du contrat ou de l’accord....

Les informations doivent être classifiées en termes d’exigences légales, de valeur, de caractère critique et de sensibilité au regard d’une divulgation ou modification non autorisée....

Un ensemble approprié de procédures pour le marquage de l’information doit être élaboré et mis en œuvre conformément au plan de classification adopté par l’organisation....

Des procédures de traitement de l’information doivent être élaborées et mises en œuvre conformément au plan de classification de l’information adopté par l’organisation....

Des procédures de gestion des supports amovibles doivent être mises en œuvre conformément au plan de classification adopté par l’organisation....

Tout les composants des matériels contenant des supports de stockage doivent être vérifiés pour s’assurer que toute donnée sensible a bien été supprimée et que tout logiciel sous licence a bien été désinstallé ou écrasé de façon sécurisée, avant sa mise au rebut ou leur réutilisa...

Les supports contenant de l’information doivent être protégés contre les accès non autorisés, les erreurs d’utilisation et l’altération lors du transport....

Une politique de contrôle d’accès doit être établie, documentée et revue sur la base des exigences métier et de sécurité de l’information....

Les utilisateurs doivent avoir uniquement accès au réseau et aux services pour lesquels ils ont spécifiquement reçu une autorisation....

Un processus formel d’inscription et désinscription des utilisateurs doit être mis en œuvre pour permettre l’attribution des droits d’accès....

Un processus formel de distribution des accès aux utilisateurs doit être mis en œuvre pour permettre l’attribution des droits d’accès à tous types d’utilisateurs sur l’ensemble des services et des systèmes....

L’attribution et l’utilisation des privilèges doivent être restreintes et contrôlées....

L’attribution des informations secrètes d’authentification doit être réalisée dans le cadre d’un processus de gestion formel....

Les propriétaires d’actifs doivent vérifier les droits d’accès des utilisateurs à intervalles réguliers....

Les droits d’accès aux informations et aux moyens de traitement des informations de l’ensemble des salariés et utilisateurs tiers doivent être supprimés à la fin de leur période d’emploi, ou adaptés en cas de modification du contrat ou de l’accord....

Les utilisateurs doivent suivre les pratiques de l’organisation pour l’utilisation des informations secrètes d’authentification....

L’accès à l’information et aux fonctions d’application système doit être restreint conformément à la politique de contrôle d’accès....

Lorsque la politique de contrôle d’accès l’exige, l’accès aux systèmes et aux applications doit être contrôlée par une procédure de connexion sécurisée....

.Les systèmes qui gèrent les mots de passe doivent être interactifs et doivent garantir la qualité des mots de passe....

L’utilisation des programmes utilitaires permettant de contourner les mesures d’un système ou d’une application doit être limité et étroitement contrôlé....

L’accès au code source des programmes doit être restreint....

Une politique d’utilisation des mesures cryptographiques en vue de protéger l’information doit être élaborée et mise en œuvre....

Une politique sur l’utilisation, la protection et la durée de vie des clés cryptographiques doit être élaborée et mise en œuvre tout au long de leur cycle de vie....

Des périmètres de sécurité doivent être définis et utilisés pour protéger les zones contenant l’information sensible ou critique et les moyens de traitement de l’information....

Les zones sécurisées doivent être protégées par des contrôles adéquats à l’entrée pour s’assurer que seul le personnel autorisé est admis....

Des mesures de sécurité physique aux bureaux, aux salles et aux équipements doivent être conçues et appliquées....

Des mesures de protection physique contre les désastres naturels, les attaques malveillantes ou les accidents doivent être conçues et appliquées....

Des procédures pour le travail dans les zones sécurisées doivent être conçues et appliquées....

Les points d’accès tels que les zones de livraison et déchargement et les autres points par lesquels des personnes non autorisées peuvent pénétrer dans les locaux doivent être contrôlés et, si possible, isolés des moyens de traitement de l’information, de façon à éviter les accès no...

Les matériels doivent être situés et protégés de manière à réduire les risques liés à des menaces et des dangers environnementaux et les possibilités d’accès non autorisé....

Les matériels doivent être protégés des coupures de courant et autres perturbations dues à une défaillance des services généraux....

Les câbles électriques ou de télécommunications transportant des données ou supportant les services d’information doivent être protégés contre toute interception ou tout dommage....

Les matériels doivent être entretenus correctement pour garantir leur disponibilité permanente et leur intégrité....

Les matériels, les informations ou les logiciels des locaux de l’organisation ne doivent pas sortir sans autorisation préalable....

Des mesures de sécurité doivent être appliquées aux matériels utilisés hors des locaux de l’organisation en tenant compte des différents risques associés au travail hors site....

Les utilisateurs doivent s’assurer que les matériels non surveillés sont dotés d’une protection appropriée....

Une politique du bureau propre pour les documents papier et les supports de stockage amovibles, et une politique de l’écran verrouillé pour les moyens de traitement de l’information doivent être adoptées....

Les procédures d’exploitation doivent être documentées et mises à disposition de tous les utilisateurs concernés....

Les changements apportés à l’organisation, aux processus métier, aux systèmes et moyens de traitement de l’information ayant une incidence sur la sécurité de l’information doivent être contrôlés....

L’utilisation des ressources doit être surveillée et ajustée et des projections sur les dimensionnements futurs doivent être effectuées pour garantir les performances exigées du système....

Les environnements de développement, de test et d’exploitation doivent être séparés pour réduire les risques d’accès ou de changements non autorisés dans l’environnement en exploitation....

Des mesures de détection, de prévention et de récupération conjuguées à une sensibilisation des utilisateurs adaptée, doivent être mises en œuvre pour se protéger contre les logiciels malveillants....

Des copies de sauvegarde de l’information, des logiciels et des images systèmes doivent être réalisées et testées régulièrement conformément à une politique de sauvegarde convenue....

Des journaux d’événements enregistrant les activités de l’utilisateur, les exceptions, les défaillances et les événements liés à la sécurité doivent être créés, tenus à jour et vérifiés régulièrement....

Les moyens de journalisation et d’information journalisée doivent être protégés contre les risques de falsification ou d’accès non autorisés....

Les activités de l’administrateur système et de l’opérateur système doivent être journalisées, protégées et vérifiées régulièrement....

Les horloges de l’ensemble des systèmes de traitement de l’information concernés d’une organisation ou d’un domaine de sécurité doivent être synchronisées à l’aide d’une source de référence temporelle unique....

Des procédures doivent être mises en place pour contrôler l’installation de logiciel sur des systèmes en exploitation....

Des informations sur les vulnérabilités techniques des systèmes d’information en exploitation doivent être obtenues en temps opportun, l’exposition de l’organisation à ces vulnérabilités doit être évaluée et les actions appropriées doivent être entreprises pour traiter le risque as...

Des règles régissant l’installation de logiciels par les utilisateurs doivent être établies et mises en œuvre....

Les exigences et activités d’audit impliquant des vérifications sur des systèmes en exploitation doivent être prévues avec soin et validées afin de réduire au minimum les perturbations subies par les processus métier....

Les réseaux doivent être gérés et contrôlés pour protéger l’information contenue dans les systèmes et les applications....

Pour tous les services de réseaux, les mécanismes de sécurité, les niveaux de service et les exigences de gestion, doivent être identifiés et intégrés dans les accords de services de réseau, que ces services soient fournis en interne ou externalisés....

Les groupes de services d’information, d’utilisateurs et de systèmes d’information doivent être séparés sur les réseaux....

Des politiques, des procédures et des mesures de transfert formelles doivent être mises en place pour protéger les transferts d’information transitant par tous types d’équipements de télécommunication....

Des accords doivent traiter du transfert sécurisé de l’information liée à l’activité entre l’organisation et les tiers....

Les informations transitant par la messagerie électronique doivent être protégées de manière appropriée....

Les exigences en matière d’engagements de confidentialité ou de non-divulgation doivent être identifiées, vérifiées régulièrement et documentées conformément aux besoins de l’organisation....

Les exigences liées à la sécurité de l’information doivent être intégrées aux exigences des nouveaux systèmes d’information ou des améliorations de systèmes d’information existants....

Les informations liées aux services d’application transmises sur les réseaux publics doivent être protégées contre les activités frauduleuses, les différends contractuels, ainsi que la divulgation et la modification non autorisées....

Les informations impliquées dans les transactions liées aux services d’application doivent être protégées pour empêcher une transmission incomplète, des erreurs d’acheminement, la modification non autorisée, la divulgation non autorisée, la duplication non autorisée du message ou sa rÃ...

Des règles de développement des logiciels et des systèmes doivent être établies et appliquées aux développements de l’organisation....

Les changements des systèmes dans le cadre du cycle de développement doivent être contrôlés par le biais de procédures formelles....

Lorsque des modifications sont apportées aux plateformes d’exploitation, les applications critiques métier doivent être vérifiées et testées afin de vérifier l’absence de tout effet indésirable sur l’activité ou sur la sécurité....

Les modifications des progiciels ne doivent pas être encouragées, être limitées aux changements nécessaires et tout changement doit être strictement contrôlé....

Des principes d’ingénierie de la sécurité des systèmes doivent être établis, documentés, tenus à jour et appliqués à tous les travaux de mise en œuvre des systèmes d’information....

Les organisations doivent établir des environnements de développement sécurisés pour les tâches de développement et d’intégration du système qui englobe l’intégralité du cycle de vie du développement du système, et en assurer la protection de manière appropriée...

L’organisation doit superviser et contrôler l’activité de développement du système externalisée....

Les tests de fonctionnalité de la sécurité doivent être réalisés pendant le développement...

Des programmes de test de conformité et des critères associés doivent être déterminés pour les nouveaux systèmes d’information, les mises à jour et les nouvelles versions....

Les données de test doivent être sélectionnées avec soin, protégées et contrôlées....

Des exigences de sécurité de l’information pour limiter les risques résultant de l’accès des fournisseurs aux actifs de l’organisation doivent être acceptées par le fournisseur et documentées....

Les exigences applicables liées à la sécurité de l’information doivent être établies et convenues avec chaque fournisseur pouvant accéder, traiter, stocker, communiquer ou fournir des composants de l’infrastructure informatique destinés à l’information de l’organisation....

Les accords conclus avec des fournisseurs doivent inclure des exigences sur le traitement des risques liés à la sécurité de l’information associé à la chaîne d’approvisionnement des produits et des services informatiques....

Les organisations doivent surveiller, vérifier et auditer à intervalles réguliers la prestation des services assurés par les fournisseurs....

Les changements effectués dans les prestations de service des fournisseurs, comprenant le maintien et l’amélioration des politiques, procédures et mesures existant en matière de sécurité de l’information, doivent être gérés en tenant compte du caractère critique de l’information, des...

es responsabilités et des procédures permettant de garantir une réponse rapide, efficace et pertinente doivent être établies en cas d’incident lié à la sécurité de l’information....

Les événements liés à la sécurité de l’information doivent être signalés, dans les meilleurs délais, par les voies hiérarchiques appropriées....

Les salariés et les sous-traitants utilisant les systèmes et services d’information de l’organisation doivent noter et signaler toute faille de sécurité observée ou soupçonnée dans les systèmes ou services....

Les événements liés à la sécurité de l’information doivent être appréciés et il doit être décidé s’il faut les classer comme incidents liés à la sécurité de l’information....

Les incidents liés à la sécurité de l’information doivent être traités conformément aux procédures documentées....

Les connaissances recueillies suite à l’analyse et la résolution d’incidents doivent être utilisées pour réduire la probabilité ou l’impact d’incidents ultérieurs....

L’organisation doit définir et appliquer des procédures d’identification, de collecte, d’acquisition et de protection de l’information pouvant servir de preuve....

L’organisation doit déterminer ses exigences en matière de sécurité de l’information et de continuité de management de la sécurité de l’information dans des situations défavorables, comme lors d’une crise ou d’un sinistre....

L’organisation doit établir, documenter, mettre en œuvre et tenir à jour des processus, des procédures et des mesures permettant de fournir le niveau requis de continuité de sécurité de l’information au cours d’une situation défavorable....

L’organisation doit vérifier les mesures de continuité de la sécurité de l’information mises en œuvre à intervalles réguliers afin de s’assurer qu’elles sont valables et efficaces dans des situations défavorables....

Des moyens de traitement de l’information doivent être mis en œuvre avec suffisamment de redondances pour répondre aux exigences de disponibilité....

Les systèmes d’information doivent être examinés régulièrement quant à leur conformité avec les politiques et les normes de sécurité de l’information de l’organisation....

Toutes les exigences légales, statutaires, réglementaires et contractuelles en vigueur, ainsi que l’approche adoptée par l’organisation pour satisfaire à ces exigences, doivent être explicitement définies, documentées et mises à jour pour chaque système d’information et pour l’organ...

Des procédures appropriées doivent être mises en œuvre pour garantir la conformité avec les exigences légales, réglementaires et contractuelles relatives à la propriété intellectuelle et à l’usage des licences de logiciels propriétaires....

Les enregistrements doivent être protégés de la perte, de la destruction, de la falsification, des accès non autorisés et des diffusions non autorisées, conformément aux exigences légales, réglementaires, contractuelles et aux exigences métier....

La protection de la vie privée et la protection des données à caractère personnel doivent être garanties telles que l’exigent la législation ou les réglementations applicables, et les clauses contractuelles le cas échéant...

Des mesures cryptographiques doivent être prises conformément aux accords, lois et réglementations applicables....

Des revues régulières et indépendantes de l’approche retenue par l’organisme pour gérer et mettre en œuvre la sécurité de l’information (à savoir, le suivi des objectifs de sécurité, les mesures, les politiques, les procédures et les processus relatifs à la sécurité de l’inform...

Les responsables doivent régulièrement vérifier la conformité du traitement de l’information et des procédures dont ils sont chargés au regard des politiques, des normes de sécurité applicables et autres exigences de sécurité....

Les supports qui ne sont plus nécessaires doivent être mis au rebut de manière sécurisée, en suivant des procédures formelles....