Contrôles ISO 27002 2022

Structure révisée d'ISO 27002:2022

ISO 27002:2022 restructure les contrôles de sécurité en quatre thèmes : organisationnel (37 contrôles : politiques, gestion des risques, conformité, relations fournisseurs, continuité), personnes (8 contrôles : screening, sensibilisation, formation, fin de contrat, télétravail), physique (14 contrôles : sécurité périmétrique, accès physique, équipements), technologique (34 contrôles : accès, authentification, chiffrement, journaux, gestion des vulnérabilités). Ce regroupement thématique remplace les 14 domaines de la version 2013.

Les 11 nouveaux contrôles de 2022 reflètent l'évolution du paysage des menaces et des technologies : threat intelligence, sécurité cloud, continuité ICT, suppression sécurisée des données, DLP, surveillance des activités, filtrage web, et codage sécurisé. Leur mise en œuvre est désormais nécessaire pour une conformité complète à ISO 27001:2022.

Attributs des contrôles et flexibilité

Chaque contrôle ISO 27002:2022 est accompagné d'attributs permettant son classification selon plusieurs dimensions : type (préventif/détectif/correctif), propriétés de sécurité (CIA), concept de cybersécurité (NIST CSF : Identifier/Protéger/Détecter/Répondre/Récupérer), capacités opérationnelles (ex. : gestion des actifs, contrôle d'accès, sécurité physique), et domaines de sécurité (gouvernance et écosystème, protection, défense, résilience).

Ces attributs facilitent l'utilisation d'ISO 27002 dans des contextes variés : un RSSI peut filtrer les contrôles par domaine NIST CSF pour aligner le référentiel ISO avec son framework de risque existant, ou par type pour identifier tous les contrôles détectifs dans un programme de sécurité SOC.

Migration ISO 27001:2013 vers 2022

Les organisations certifiées 2013 devaient migrer avant le 31 octobre 2025. La migration implique : révision de la SOA pour intégrer les nouveaux contrôles et la nouvelle structure, mise à jour du plan de traitement des risques, implémentation des 11 nouveaux contrôles (ou justification d'exclusion dans la SOA), et audit de transition par l'organisme de certification.

La migration est l'occasion de revoir la maturité de mise en œuvre de tous les contrôles existants, d'éliminer les contrôles devenus obsolètes, et d'aligner le SMSI sur les meilleures pratiques actuelles. Les organisations ayant anticipé ces évolutions en intégrant la gestion du cloud, la DLP et la threat intelligence dans leur SMSI ont généralement une migration plus fluide.