Annexe A ISO 27001:2022 (Contrôles de sécurité normalisés)

Définition

L'Annexe A de la norme ISO/IEC 27001:2022 constitue le catalogue de référence des contrôles de sécurité de l'information que toute organisation certifiée doit évaluer systématiquement au regard de son analyse de risques propre, restructuré en profondeur dans cette version 2022 pour mieux refléter les enjeux contemporains de la cybersécurité, notamment ceux liés au cloud, à la menace persistante et à la sécurité applicative moderne. Cette révision réorganise l'ensemble des contrôles en seulement quatre thèmes cohérents, organisationnels, humains, physiques et technologiques, contre les quatorze catégories antérieures nettement plus fragmentées de la version 2013, simplifiant sensiblement la navigation et la compréhension globale du catalogue pour les praticiens. Le nombre total de contrôles est désormais porté à quatre-vingt-treize, incluant onze contrôles entièrement nouveaux introduits pour couvrir des risques émergents insuffisamment adressés par la version antérieure : la threat intelligence structurée, la sécurité de l'usage des services cloud, la préparation à la continuité d'activité en matière de technologies de l'information, la surveillance de la sécurité physique, la gestion de la configuration des systèmes, l'effacement sécurisé des données, le masquage des données sensibles, la prévention de la fuite de données, le suivi des activités de surveillance, le filtrage web, et le codage sécurisé. Chaque contrôle applicable ou exclu doit être justifié dans la Déclaration d'Applicabilité.