Annexe A – Outils d'auto-diagnostic ISO/IEC 27001, édition 2022

Conçu par DJEUTCHA KAMDEM Alexandre, Massico 2022/2023

Annexe

Le questionnaire qui suit permet d’évaluer un système de management de l’information, selon les grandes lignes suivantes, conformément à la norme ISO 27001:

5.Mésures de sécurité organisationnelles: Cette partie comporte 37 questions, allant de 5.1 à 5.37, auxquelles il faut répondre selon une cotation allant de 0 à 5, conformément aux explications données dans le Guide.

6.Mesures de sécurité applicables aux personnes: Cette partie comporte 8 questions, allant de 6.1 à 6.8.

7.Mesures de sécurité physique: Cette partie comporte 14 questions, allant de 7.1 à 7.14.

8.Mesures de sécurité technologiques: Cette partie comporte 34 questions, allant de 8.1 à 8.34.

Questionnaire Annexe A

Veuillez activer JavaScript dans votre navigateur pour remplir ce formulaire.

5.1.Une politique de sécurité de l'information et des politiques spécifiques à une thématique sont définies, approuvées par la direction, publiées, communiquées et demandée en confirmation au personnel et aux parties intéressées concernés,

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.2.Les fonctions et responsabilités liées à la sécurité de l'information doivent être définies et attribuées selon les besoins de l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.3.Les tâches et les domaines de responsabilité incompatibles doivent être séparés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.4.La direction doit demander à tout le personnel d'appliquer les mesures de sécurité de l'information conformément à la politique de sécurité de l'information, aux politiques spécifiques à une thé- matique et aux procédures établies de l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.5.L'organisation doit établir et maintenir le contact avec les autorités appropriées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.6.L'organisation doit établir et maintenir des contacts avec des groupes d'intérêt spécifiques ou autres forums spécialisés sur la sécurité et associations professionnelles.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.7.Les informations relatives aux menaces de sécurité de l'information doivent être collectées et analysées pour produire les renseigne- ments sur les menaces.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.8.La sécurité de l'information doit être intégrée à la gestion de projet.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.9.Un inventaire des informations et des autres actifs associés, y compris leurs propriétaires, doit être élaboré et tenu à jour.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.10.Des règles d'utilisation correcte et des procédures de traitement des informations et autres actifs associés doivent être identifiées, documentées et mises en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.11.Le personnel et les autres parties intéressées, selon le cas, doivent restituer tous les actifs de l'organisation qui sont en leur posses- sion au moment du changement ou de la fin de leur emploi, contrat ou accord.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.12.Les informations doivent être classifiées conformément aux besoins de sécurité de l'information de l'organisation, sur la base des exigences de confidentialité, d'intégrité, de disponibilité, et des exigences importantes des parties intéressées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.13.Un ensemble approprié de procédures pour le marquage des informations doit être élaboré et mis en œuvre conformément au schéma de classification des informations adopté par l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.14.Des règles, procédures ou accords sur le transfert des informa- tions doivent être mis en place pour tous les types de moyens de transfert au sein de l'organisation et entre l'organisation et des tierces parties.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.15.Des règles visant à contrôler l'accès physiques et logique aux informations et autres actifs associés doivent être définies et mises en œuvre, en fonction des exigences métier et de sécurité de l'information.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.16.Le cycle de vie complet des identités doit être géré.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.17.L'attribution et la gestion des informations d'authentification doivent être contrôlées par un processus de gestion, incluant des recommandations au personnel sur l'utilisation appropriée des informations d'authentification.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.18.Les droits d'accès aux informations et autres actifs associés doivent être pourvus, révisés, modifiés et supprimés conformément à la politique spécifique à la thématique du contrôle d'accès et aux règles de contrôle d'accès de l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.19.Des processus et procédures pour gérer les risques de sécurité de l'information qui sont associés à l'utilisation des produits ou services du fournisseur doivent être définis et mis en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.20.Les exigences de sécurité de l'information appropriées doivent être mises en place et convenues avec chaque fournisseur, selon le type de relation avec le fournisseur.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.21.Des processus et procédures pour gérer les risques de sécurité de l'information associés à la chaîne d'approvisionnement des produits et services TIC doivent être définis et mis en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.22.L'organisation doit procéder régulièrement à la surveillance, à la révision, à l'évaluation et à la gestion des changements des pra- tiques de sécurité de l'information du fournisseur et de prestation de services.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.23.Les processus d'acquisition, d'utilisation, de gestion et de cessa- tion des services en nuage doivent être établis conformément aux exigences de sécurité de l'information de l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.24.L'organisation doit planifier et préparer la gestion des incidents de sécurité de l'information en procédant à la définition, à l'établisse- ment et à la communication des processus, fonctions et responsa- bilités liés à la gestion des incidents de sécurité de l'information

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.25.L'organisation doit évaluer les événements de sécurité de l'informa- tion et décider s'ils doivent être catégorisés comme des incidents de sécurité de l'information

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.26.La réponse aux incidents de sécurité de l'information doit être conforme aux procédures documentées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.27.Les connaissances acquises à partir des incidents de sécurité de l'information doivent être utilisées pour renforcer et améliorer les mesures de sécurité de l'information

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.28.L'organisation doit établir et mettre en œuvre des procédures pour l'identification, la collecte, l'acquisition et la préservation des preuves relatives aux événements de sécurité de l'information

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.29.L'organisation doit planifier comment maintenir la sécurité de l'information au niveau approprié pendant une perturbation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.30.La préparation des TIC doit être planifiée, mise en œuvre, maintenue et testée en se basant sur les objectifs de continuité d'activité et des exigences de continuité des TIC.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.31.Les exigences légales, statutaires, réglementaires et contractuelles pertinentes pour la sécurité de l'information, ainsi que l'approche de l'organisation pour respecter ces exigences, doivent être identifiées, documentées et tenues à jour.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.32.L'organisation doit mettre en œuvre les procédures appropriées pour protéger les droits de propriété intellectuelle.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.33.Les enregistrements doivent être protégés de la perte, de la destruction, de la falsification, des accès non autorisés et des diffusions non autorisées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.34.L'organisation doit identifier et respecter les exigences relatives à la protection de la vie privée et des DCP conformément aux lois, réglementations et exigences contractuelles applicables.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.35.L'approche de l'organisation pour gérer la sécurité de l'information et sa mise en œuvre, y compris les personnes, les processus et les technologies, doit être révisée de manière indépendante à intervalles planifiés, ou lorsque des changements significatifs se produisent.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.36.La conformité à la politique de sécurité de l'information, aux politiques spécifiques à une thématique, aux règles et aux normes de l'organisation doit être régulièrement vérifiée.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

5.37.Les procédures d'exploitation des moyens de traitement de l'information doivent être documentées et mises à disposition du personnel qui en a besoin.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.1.Les vérifications des références de tous les candidats à l'embauche doivent être réalisées avant qu'ils n'intègrent l'organisation puis de façon continue en tenant compte des lois, des réglementations et de l'éthique applicables, et doivent être proportionnelles aux exigences métier, à la classification des informations auxquelles ils auront accès et aux risques identifiés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.2.Les contrats de travail doivent indiquer les responsabilités du personnel et de l'organisation en matière de sécurité de l'information.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.3.Le personnel de l'organisation et les parties intéressées pertinentes doivent recevoir une sensibilisation, un enseignement et des formations en sécurité de l'information appropriés, ainsi que des mises à jour régulières de la politique de sécurité de l'information, des politiques spécifiques à une thématique et des procédures de l'organisation pertinentes à leur fonction.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.4.Un processus disciplinaire permettant de prendre des mesures à l'encontre du personnel et d'autres parties intéressées qui ont commis une violation de la politique de sécurité de l'information doit être formalisé et communiqué.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.5.Les responsabilités et les obligations relatives à la sécurité de l'information qui restent valables après la fin ou le changement d'un emploi doivent être définies, appliquées et communiquées au personnel et autres parties intéressées pertinentes.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.6.Des accords de confidentialité ou de non-divulgation, représentant les besoins de l'organisation relatifs à la protection des informations, doivent être identifiés, documentés, régulièrement révisés et signés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.7.Des mesures de sécurité doivent être mises en œuvre lorsque le personnel travaille à distance, pour protéger les informations accessibles, traitées ou stockées en dehors des locaux de l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

6.8.Des périmètres de sécurité doivent être définis et utilisés pour protéger les zones qui contiennent les informations et autres actifs associés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.1..Des périmètres de sécurité doivent être définis et utilisés pour protéger les zones qui contiennent les informations et autres actifs associés. (copier)

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.2.Les zones sécurisées doivent être protégées par des mesures de sécurité des accès et des points d'accès appropriés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.3.Des mesures de sécurité physique pour les bureaux, les salles et les installations doivent être conçues et mises en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.4.Les locaux doivent être continuellement surveillés pour empêcher l'accès physique non autorisé.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.5.Une protection contre les menaces physiques et environnementales, telles que les catastrophes naturelles et autres menaces physiques, intentionnelles ou non intentionnelles, impactant l'infrastructure, doit être conçue et mise en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.6.Des mesures de sécurité pour le travail dans les zones sécurisées doivent être conçues et mises en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.7.Des règles du bureau vide, dégagé des documents papier et des supports de stockage amovibles, et des règles de l'écran vide pour les moyens de traitement de l'information, doivent être définies et appliquées de manière appropriée

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.8.Un emplacement sécurisé pour le matériel doit être choisi et protégé

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.9.Les actifs hors du site doivent être protégés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.10.Les supports de stockage doivent être gérés tout au long de leur cycle de vie d'acquisition, d'utilisation, de transport et de mise au rebut, conformément au schéma de classification et aux exigences de traitement de l'organisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.11.Les moyens de traitement de l'information doivent être protégés contre les coupures de courant et autres perturbations causées par des défaillances des services supports.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.12.Les câbles électriques, transportant des données ou supportant les services d'information, doivent être protégés contre des interceptions, interférences ou dommages.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.13.Le matériel doit être entretenu correctement pour assurer la disponibilité, l'intégrité et la confidentialité de l'information.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

7.14.Les éléments du matériel contenant des supports de stockage doivent être vérifiés pour s'assurer que toute donnée sensible et que tout logiciel sous licence ont été supprimés ou écrasés de façon sécurisée, avant son élimination ou sa réutilisation.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.1.Les informations stockées, traitées ou accessibles via les terminaux finaux des utilisateurs, doivent être protégées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.2.L'attribution et l'utilisation des droits d'accès privilégiés doivent être limitées et gérées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.3.L'accès aux informations et autres actifs associés doit être restreint conformément à la politique spécifique à la thématique du contrôle d'accès qui a été établie.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.4.L'accès en lecture et en écriture au code source, aux outils de développement et aux bibliothèques de logiciels doit être géré de manière appropriée.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.5.Des technologies et procédures d'authentification sécurisées doivent être mises en œuvre sur la base des restrictions d'accès aux informations et de la politique spécifique à la thématique du contrôle d'accès.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.6.L'utilisation des ressources doit être surveillée et ajustée selon les besoins de dimensionnement actuels et prévus.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.7.Une protection contre les programmes malveillants doit être mise en œuvre et renforcée par une sensibilisation appropriée des utilisateurs.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.9.Les configurations, y compris les configurations de sécurité, du matériel, des logiciels, des services et des réseaux, doivent être définies, documentées, mises en œuvre, surveillées et révisées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.10.Les informations stockées dans les systèmes d'information, les terminaux ou tout autre support de stockage doivent être supprimées lorsqu'elles ne sont plus nécessaires.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.11.Le masquage des données doit être utilisé conformément à la politique spécifique à la thématique du contrôle d'accès de l'organisation et d'autres politiques spécifiques à une thématique associées, ainsi qu'aux exigences métier, tout en prenant en compte la législation applicable.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.12.Des mesures de prévention de la fuite de données doivent être appliquées aux systèmes, aux réseaux et à tous les autres terminaux qui traitent, stockent ou transmettent des informations sensibles.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.13.Des copies de sauvegarde de l'information, des logiciels et des systèmes doivent être conservées et testées régulièrement selon la politique spécifique à la thématique de la sauvegarde qui a été convenue.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.14.Des moyens de traitement de l'information doivent être mis en œuvre avec suffisamment de redondances pour répondre aux exigences de disponibilité.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.15.Des journaux qui enregistrent les activités, les exceptions, les pannes et autres événements pertinents doivent être générés, conservés, protégés et analysés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.16.Les réseaux, systèmes et applications doivent être surveillés pour détecter les comportements anormaux et des mesures appropriées doivent être prises pour évaluer les éventuels incidents de sécurité de l'information.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.17.Les horloges des systèmes de traitement de l'information utilisés par l'organisation doivent être synchronisées avec des sources de temps approuvées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.18.L'utilisation des programmes utilitaires ayant la capacité de contourner les mesures de sécurité des systèmes ou des applications doit être limitée et contrôlée étroitement.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.19.Des procédures et des mesures doivent être mises en œuvre pour gérer de manière sécurisée l'installation de logiciels sur les systèmes opérationnels.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.20.Les réseaux et les terminaux réseau doivent être sécurisés, gérés et contrôlés pour protéger les informations des systèmes et des applications.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.21.Les mécanismes de sécurité, les niveaux de service et les exigences de services des services réseau doivent être identifiés, mis en œuvre et surveillés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.22.Les groupes de services d'information, d'utilisateurs et de systèmes d'information doivent être cloisonnés dans les réseaux de l'organisation. (copier)

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.23.L'accès aux sites web externes doit être géré pour réduire l'exposition aux contenus malveillants.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.24.Des règles pour l'utilisation efficace de la cryptographie, notamment la gestion des clés cryptographiques, doivent être définies et mises en œuvre.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.25.Des règles pour le développement sécurisé des logiciels et des systèmes doivent être définies et appliquées.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.26.Les exigences de sécurité de l'information doivent être identifiées, spécifiées et approuvées lors du développement ou de l'acquisition d'applications.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.27.Des principes d'ingénierie des systèmes sécurisés doivent être établis, documentés, tenus à jour et appliqués à toutes les activités de développement de systèmes d'information.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.28.Des principes de codage sécurisé doivent être appliqués au développement de logiciels.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.29.Des processus pour les tests de sécurité doivent être définis et mis en œuvre au cours du cycle de vie de développement.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.30.L'organisation doit diriger, contrôler et vérifier les activités relatives au développement externalisé des systèmes.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.31.Les environnements de développement, de test et opérationnels doivent être séparés et sécurisés.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.32.Les changements apportés aux moyens de traitement de l'information et aux systèmes d'information doivent être soumis à des procédures de gestion des changements.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.33.Les informations de test doivent être sélectionnées, protégées et gérées de manière appropriée.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation

8.34.Les tests d'audit et autres activités d'assurance impliquant l'évaluation des systèmes opérationnels doivent être planifiés et convenus entre le testeur et le niveau approprié de la direction.

Valeur sélectionnée : 0

0-Aucun 1-Initial 2-Reproductible 3-Défini 4-Maitrisé 5-Optimisation