ISO/CEI TS 27008

L'ISO/CEI TS 27008 est une norme internationale concernant la sécurité de l'information. Elle a été publiée conjointement en 2011, puis révisée en 2019, par l'organisation internationale de normalisation (ISO) et la Commission Électrotechnique Internationale (CEI). Son titre en français est Technologies de l'information - Techniques de sécurité - Lignes directrices pour les auditeurs des contrôles de sécurité de l'information^[1]. Elle fait partie de la suite ISO/CEI 27000 et ne fait pas l'objet d'une certification.

L'ISO/CEI TS 27008 est toujours en développement. L'acronyme TS dans son nom indique que c'est une spécification technique. Cela signifie qu'elle n'a pas encore l'agrément « standard international » mais qu'elle l'obtiendra probablement dans le futur après des retours et des modifications^[2].

Il n'existe pas de version française à cette norme.

L'ISO/CEI TS 27008 fournit des lignes directrices pour évaluer les mesures de sécurité en place afin de s’assurer qu’elles sont appropriées, efficaces, efficientes et adaptées aux objectifs de l'organisme. Elle peut-être utilisée seule mais elle vise initialement les audits des mesures implémentées dans le cadre de la mise en œuvre d'un système de management de la sécurité de l'information (SMSI) conforme à l'ISO/CEI 27001. La norme se veut utile pour les organismes de n'importe quels types, tailles et secteurs^[3].

En plus des sections introductives et informatives, il y a 5 chapitres principaux dans le document de l'ISO/CEI TS 27008^[4]:

1. Structure of this document
2. Background
3. Overview of information security control assessments
   1. Assessment process
   2. Resourcing and competence
4. Review methods
   1. Overview
   2. Process analysis
   3. Examination techniques
   4. Testing an validation techniques
   5. Sampling techniques
5. Control assessments process
   1. Preparations
   2. Planning the assessment
   3. Conduction reviews
   4. Analysis and reporting results

Il y a également 3 annexes :

• Annex A: Initial information gathering (other than IT)
  1. General
  2. Physical and environmental security
  3. Incident management
• Annex B: Practice guide for technical security assessments
  1. General
  2. Assessment of controls from ISO/IEC 27002
• Annex C: Technical assessment guide for cloud services (Infrastructure as a service)
  1. Positioning and purpose
  2. Relationship with other international standards
  3. Structure of this annex
  4. Cloud services (infrastructure as a service) environment model
  5. Common practice in the Implementation Model
  6. Server virtualization
  7. Network virtualization
  8. Storage virtualization
  9. Service management
  10. Relational table for denotations in ISO/IEC 27017 and this annex

• Portail de la sécurité de l’information
• Portail de la sécurité informatique