Recommandations d’audit interne SMSI n° 15 (A.5.15) et n° 25 (A.6.5)

1 A.5.15 — Contrôle d’accès (recommandation n° 15)

Le contrôle ISO/IEC 27001:2022 A.5.15 exige que les règles de contrôle d’accès fondées sur les exigences métier et de sécurité de l’information soient établies, documentées et revues. Les accès physiques et logiques sont adaptés au besoin de connaître.

Dans ROHI, cela se traduit par des types de compte distincts, des droits paramétrés, des traces et l’interdiction de partager un identifiant. Les icônes et menus du header suivent le type de compte, pas la page visitée, afin que le périmètre visible reste celui du rôle actif.

• Attribuer les accès selon la fonction et les retirer dès qu’ils ne sont plus nécessaires.
• Revue périodique des comptes, des habilitations et des comptes génériques ou inactifs.
• Pas d’accès « par commodité » à un dossier hors périmètre.

2 A.6.5 — Après cessation ou changement d’emploi (recommandation n° 25)

Le contrôle A.6.5 exige que les responsabilités et devoirs de sécurité de l’information qui demeurent valables après cessation ou changement d’emploi soient définis, communiqués, appliqués et mis en œuvre.

La procédure DQ-PSSI-PQM, l’enregistrement RH avant date d’effet, la restitution du badge et la révocation des accès ROHI en sont l’application opérationnelle.