ISO27k RASCI tab

Original German audit table generously contributed to the ISO27k Toolkit by Matthias W
Eventually translated to English, modified and this page added by Gary Hinson (ve
Updated following the release of ISO/IEC 27002:2013 by Manuel Garcia Zamora of Quin
Minor corrections for full aligment with ISO/IEC 27002:2013 headings by Doug Melv
French translation added by Laurent LEGASTELOIS (version 5, Februa

The RASCI table associates rôles in the organization with the sections of ISO/IEC 27002.

The roles are identified as R, A, S, C or I meaning:

Responsible i.e. this rôle has primary responsibility for performing the activities in this section.
Accountable i.e. this rôle will be called to account if the risks materialize (usually because preventive controls fail): i
Supportive i.e. this rôle actively assists with the design, implementation or management of the activities in this secti
Consulted i.e. this is a hands-off rôle, offering guidance and direction to those more actively involved.
Informed i.e. this rôle has an interest in the status of the risks in this section and should be kept in touch with the si

Some organizations are prefer the simpler RACI, and that's fine: this is simply a tool to help figure out and describ
Management System. Use it as you wish. Add more rôles, change or delete them, whatever you like. Knock yourse

The contents of the RASCI table in the ISO27k Toolkit merely demonstrate how we envisage the table being used.
Customize the table as much as you like. Do not feel in any way constrained by the examples provided - in fact it's
you to figure out what each section means to you, and how that fits with your particular organization structure!
Notice that as you enter R/A/S/C/I, the cells are automatically colour coded for you using Excel's conditional formatti

Copyright

This work is copyright © 2018, ISO27k Forum, some rights reserved.  It is licensed under the Creative Commons A
are welcome to reproduce, circulate, use and create derivative works from this provided that (a) it is not sold or in
attributed to the ISO27k Forum at www.ISO27001security.com, and (c) if they are published or shared, derivative w
 rs
ne

ag E O
w

an /C
tO

m tor
se

ve ec
As

uti Dir
on

g
ati
Section of ISO/IEC 27002:2013

Ex in
ag
rm

aff

an

ec
fo
R = Responsible A = Accountable S = Supportive C = Consulted I = Informed

M
St
In
5 Information security policies
5.1.1 Policies for information security C I C
5.1.2 Review of the policies for information security C S

6 Organizing information security

6.1.1 Information security roles and responsibilities A I
6.1.2 Segregation of duties A I
6.1.3 Contact with authorities A
6.1.4 Contact with special interest groups A
6.1.5 Information security in project management A
6.2.1 Mobile device policy A I
6.2.2 Teleworking A I

7 Human resource security

7.1.1 Screening A
7.1.2 Terms and conditions of employment A I
7.2.1 Management responsibilities A I
7.2.2 Information security awareness, education, and training A I
7.2.3 Disciplinary process A I
7.3.1 Termination or change of employment responsibilities A I

8 Asset management
8.1.1 Inventory of assets A
8.1.2 Ownership of assets A
8.1.3 Acceptable use of assets A I
8.1.4 Return of assets A I
8.2.1 Classification of information A I
8.2.2 Labelling of information A I
8.2.3 Handling of assets A I
8.3.1 Management of removable media A I
8.3.2 Disposal of media A I
8.3.3 Physical media transfer A I
9 Access control
9.1.1 Access control policy A
9.1.2 Policy on the use of network services A I
9.2.1 User registration and de-registration A
9.2.2 User access provisioning A
9.2.3 Privilege management A
9.2.4 Management of secret authentication information of users A
9.2.5 Review of user access rights A
9.2.6 Removal or adjustment of access rights A
9.3.1 Use of secret authentication information A I
9.4.1 Information access restriction A I
9.4.2 Secure log-on procedures A
9.4.3 Password management system A
9.4.4 Use of privileged utility programs A I
9.4.5 Access control to program source code A I

10 Cryptography
10.1.1 Policy on the use of cryptographic controls A I
10.1.2 Key management A

11 Physical and environmental security

11.1.1 Physical security perimeter A I
11.1.2 Physical entry controls A I
11.1.3 Securing offices, rooms and facilities A I
11.1.4 Protecting against external and environmental threats A I
11.1.5 Working in secure areas A I
11.1.6 Delivery and loading areas A I
11.2.1 Equipment siting and protection A I
11.2.2 Supporting utilities A
11.2.3 Cabling security A
11.2.4 Equipment maintenance A
11.2.5 Removal of assets A I
11.2.6 Security of equipment and assets off-premises A I
11.2.7 Secure disposal or re-use of equipment A I
11.2.8 Unattended user equipment A I
11.2.9 Clear desk and clear screen policy A I

12 Operations security
12.1.1 Documented operating procedures A
12.1.2 Change management A I
12.1.3 Capacity management A
12.1.4 Separation of development, test and operational environments A
12.2.1 Controls against malware A
 12.3.1 Information backup A
12.4.1 Event logging A
12.4.2 Protection of log information A
12.4.3 Administrator and operator logs A
12.4.4 Clock synchronization A
12.5.1 Installation of software on operational systems A I
12.6.1 Management of technical vulnerabilities A
12.6.2 Restrictions on software installation A I
12.7.1 Information systems audit controls A

13 Communications security
13.1.1 Network controls A
13.1.2 Security of network services A
13.1.3 Segregation in networks A
13.2.1 Information transfer policies and procedures A I
13.2.2 Agreements on information transfer A
13.2.3 Electronic messaging A I
13.2.4 Confidentiality or non-disclosure agreements A

14 System acquisition, development and maintenance

14.1.1 Security requirements analysis and specification A
14.1.2 Securing application services on public networks A
14.1.3 Protecting application services transactions A
14.2.1 Secure development policy A
14.2.2 Change control procedures A
14.2.3 Technical review of applications after operating platform changes A
14.2.4 Restrictions on changes to software packages A
14.2.5 System development procedures A
14.2.6 Secure development environment A
14.2.7 Outsourced development A
14.2.8 System security testing A
14.2.9 System acceptance testing A C
14.3.1 Protection of test data A

15 Supplier relationships
15.1.1 Information security policy for supplier relationships A
15.1.2 Addressing security within supplier agreements A
15.1.3 Information and communication technology supply chain A
15.2.1 Monitoring and review of supplier services A
15.2.2 Managing changes to supplier services A

16 Information security incident management

16.1.1 Responsibilities and procedures A
16.1.2 Reporting information security events A I
 16.1.3 Reporting information security weaknesses A I
16.1.4 Assessment of and decision on information security events A
16.1.5 Response to information security incidents A
16.1.6 Learning from information security incidents A
16.1.7 Collection of evidence A

17 Information security aspects of business continuity management

17.1.1 Planning information security continuity A
17.1.2 Implementing information security continuity A
17.1.3 Verify, review, and evaluate information security continuity A
17.2.1 Availability of information processing facilities A

18 Compliance
18.1.1 Identification of applicable legislation and contractual requirements A I R
18.1.2 Intellectual property rights (IPR) A I C
18.1.3 Protection of records A I R
18.1.4 Privacy and protection of personal information A I C
18.1.5 Regulation of cryptographic controls A
18.2.1 Independent review of information security A
18.2.2 Compliance with security policies and standards A I
18.2.3 Technical compliance inspection A

Number of responsibilities 0 0 2
Number of accountabilities 112 0 0
Number of controls supported 0 0 1
Number of controls on which consulted 2 1 3
Number of controls of which informed 0 48 0
 S
S
S
C
C
C
C
C

R
R
R
R
R
A
A
Ex
ec
u

S
S
S
S
S
S
S
S
S
S
S
S
S
S

C
C
C

R
R
R
R
R
R
R
IS tive
M
S m

S
S
S
S
S
S
S

C
C
C
C
C

R
R
R
In Ste ana
fo er ge
rm in m

C
C
C
C
C
C
Op ati g C en
er on om t
a

S
S
S
S
S
S
S

C
C
C

R
R
He tio Sec mitt
ad ns ur ee
S i

S
S
S

C
C
He of H ecu ty M
ad R rit an

S
S

R
R
R

C
C
C
C
He of P y T ag
ea er
ad ro
c m

S
S

C
C
C
C
C
He f ureo
ad Leg m
e

S
S
S
S
S
S
C
C
Fa of F al & nt
cil in
i a Co

S
S
S
S
S
S
S

C
C
C
C
C
C

R
R
R
R
He ties nce mp
ad M lia
a

C
C He of I nag
nc
e
ad T/ em
C
He of R IO ent
ad &
D
XX of X
De X
pt
.
S R S S C C S
S C S R
S C R S
S C R S
S R
S C C R
C S R S C S
S S C R
S S R
S C R
S C R
S C S R
S C S R
S C S R

S R S
S R S

S C R C
S C R C
S C R C
S C R C
S C R
S C R
S C R
S C R C
S C S R
S C R
S C R
S C C R
S C S R
S C S R
S C S R

C S R
S R S S S C
S R S C S C
S R C S S
S C S C R C
R S C S S
S S C S S R
S S R C S S
S R S S
C S R
S C C R
S S S R
S S S R
S S R S S C

S C S R
S C R
S C R S
S R S
S R S S
S S C C R
S S S S R S S

C S R C C C
C R S S S C
S C S R
C S S S R
C S R C S C
S R S
S S S R C
R S S S
S S S R
S S C S R
S R S S S
S S S R
R S S S S

C R S
S R S S
S R S
S C R
S S R

R S S C S S
S R S S S
 S R S S S
R S S C S S
S R S C S S
R S C C C C C C
R S C S S

S R S S
S S R S S
R S S S
S S S R S

S S S S S S
R S S C S
S S S S
S S R S
R C S
R S C
S R C S
S R C S

8 22 23 0 4 1 5 0 11 34 4 0 0
2 0 0 0 0 0 0 0 0 0 0 0 0
21 82 32 29 9 8 4 3 20 52 5 0 0
11 3 41 12 6 7 13 6 5 14 11 0 0
0 0 0 0 0 0 0 0 0 0 0 0 0
 s
tif

a
ac

ér
d'

én
ire

rg
Section de ISO/IEC 27002:2013

ta

eu
ié

Di e
ct
ip
pr

re
u
R = Réalisateur A = Autorité S = Support C = Consulté I = Informé

Eq
Pr
5 Politiques de sécurité
5.1.1 Politiques de sécurité de l'information C I
5.1.2 Revue des politiques de sécurité de l’information C

6 Organisation de la sécurité de l'information

6.1.1 Fonctions et responsabilités liées à la sécurité de l'information A I
6.1.2 Séparation des tâches A I
6.1.3 Relations avec les autorités A
6.1.4 Relations avec des groupes de travail spécialisés A
6.1.5 La sécurité de l'information dans la gestion de projet A
6.2.1 Politique en matière d'appareils mobiles A I
6.2.2 Télétravail A I

7 Sécurité des ressources humaines

7.1.1 Sélection des candidats A
7.1.2 Termes et conditions d’embauche A I
7.2.1 Responsabilités de la direction A I
7.2.2 Sensibilisation, apprentissage et formation à la sécurité de l’information A I
7.2.3 Processus disciplinaire A I

7.3.1 Achèvement ou modification des responsabilités associées au contrat de travail A I

8 Gestion des actifs

8.1.1 Inventaire des actifs A
8.1.2 Propriété des actifs A
8.1.3 Utilisation correcte des actifs A I
8.1.4 Restitution des actifs A I
8.2.1 Classification des informations A I
8.2.2 Marquage des informations A I
8.2.3 Manipulation des actifs A I
8.3.1 Gestion des supports amovibles A I
8.3.2 Mise au rebut des supports A I
8.3.3 Transfert physique des supports A I

9 Contrôle d'accès
9.1.1 Politique de contrôle d’accès A
 9.1.2 Accès aux réseaux et aux services en réseau A I
9.2.1 Enregistrement et désinscription des utilisateurs A
9.2.2 Distribution des accès utilisateurs A
9.2.3 Gestion des droits d'accès à privilèges A
9.2.4 Gestion des informations secrètes d'authentification des utilisateurs A
9.2.5 Revue des droits d’accès utilisateur A
9.2.6 Suppression ou adaptation des droits d'accès A
9.3.1 Utilisation d'informations secrètes d'authentification A I
9.4.1 Restriction d’accès à l’information A I
9.4.2 Sécuriser les procédures de connexion A
9.4.3 Système de gestion des mots de passe A
9.4.4 Utilisation de programmes utilitaires à privilèges A I
9.4.5 Contrôle d’accès au code source des programmes A I

10 Cryptographie
10.1.1 Politique d’utilisation des mesures cryptographiques A I
10.1.2 Gestion des clés A

11 Sécurité physique et environnementale

11.1.1 Périmètre de sécurité physique A I
11.1.2 Contrôle d'accès physique A I
11.1.3 Sécurisation des bureaux, des salles et des équipements A I
11.1.4 Protection contre les menaces extérieures et environnementales A I
11.1.5 Travail dans les zones sécurisées A I
11.1.6 Zones de livraison et de chargement A I
11.2.1 Emplacement et protection du matériel A I
11.2.2 Services généraux A
11.2.3 Sécurité du câblage A
11.2.4 Maintenance du matériel A
11.2.5 Sortie des actifs A I
11.2.6 Sécurité du matériel et des actifs hors des locaux A I
11.2.7 Mise au rebut ou recyclage sécurisé(e) des matériels A I
11.2.8 Matériel utilisateur laissé sans surveillance A I
11.2.9 Politique du bureau propre et de l’écran verrouillé A I

12 Sécurité liée à l'exploitation

12.1.1 Procédures d’exploitation documentées A
12.1.2 Gestion des changements A I
12.1.3 Dimensionnement A
12.1.4 Séparation des environnements de développement, de test et d'exploitation A
12.2.1 Mesures contre les logiciels malveillants A
12.3.1 Sauvegarde des informations A
12.4.1 Journalisation des événements A
12.4.2 Protection de l’information journalisée A
12.4.3 Journaux administrateur et opérateur A
12.4.4 Synchronisation des horloges A
 12.5.1 Installation de logiciels sur des systèmes en exploitation A I
12.6.1 Gestion des vulnérabilités techniques A
12.6.2 Restrictions liées à l'installation de logiciels A I
12.7.1 Mesures relatives à l’audit des systèmes d’information A

13 Sécurité des communications

13.1.1 Contrôle des réseaux A
13.1.2 Sécurité des services de réseau A
13.1.3 Cloisonnement des réseaux A
13.2.1 Politiques et procédures de transfert de l'information A I
13.2.2 Accords en matière de transfert d'information A
13.2.3 Messagerie électronique A I
13.2.4 Engagements de confidentialité ou de non-divulgation A

14 Acquisition, développement et maintenance des systèmes d’information

14.1.1 Analyse et spécification des exigences de sécurité l'information A
14.1.2 Sécurisation des services d'application sur les réseaux publics A
14.1.3 Protection des transactions liées aux services d'application A
14.2.1 Politique de développement sécurisé A
14.2.2 Procédures de contrôle des changements de système A
14.2.3 Revue technique des applications après changement apporté à la plateforme
d’exploitation A
14.2.4 Restrictions relatives aux changements apportés aux progiciels A
14.2.5 Principe d'ingénierie de la sécurité des systèmes A
14.2.6 Environnement de développement sécurisé A
14.2.7 Développement externalisé A
14.2.8 Test de la sécurité du système A
14.2.9 Test de conformité du système A C
14.3.1 Protection des données de test A

15 Relations avec les fournisseurs

15.1.1 Politique de sécurité de l'information dans les relations avec les fournisseurs A
15.1.2 Sécurité dans les accords conclus avec les fournisseurs A
15.1.3 chaîne d'approvisionnement des produits et services informatiques A
15.2.1 Surveillance et revue des services des fournisseurs A
15.2.2 Gestion des changements apportés dans les services des fournisseurs A

16 Gestion des incidents liés à la sécurité de l’information

16.1.1 Responsabilités et procédures A
16.1.2 Signalement des événements liés à la sécurité de l’information A I
16.1.3 Signalement des failles liées à la sécurité de l’information A I

16.1.4 Appréciation des événements liés à la sécurité de l'information et prise de décision A

16.1.5 Réponse aux incidents liés à la sécurité de l’information A
16.1.6 Tirer des enseignements des incidents liés à la sécurité de l’information A
16.1.7 Collecte de preuves A

17 Aspects de la sécurité de l’information dans la gestion de la continuité de l’activité

 17.1.1 Organisation de la continuité de la sécurité de l'information A
17.1.2 Mise en oeuvre de la continuité de la sécurité de l'information A
17.1.3 Vérifier, revoir et évaluer la continuité de la sécurité de l'information A
17.2.1 Disponibilité des moyens de traitement de l’information A

18 Conformité
18.1.1 Identification de la législation et des exigences contractuelles applicables A I
18.1.2 Droits de propriété intellectuelle (DPI) A I
18.1.3 Protection des enregistrements A I
18.1.4 Protection de la vie privée et protection des données à caractère personnel A I
18.1.5 Réglementation relative aux mesures cryptographiques A
18.2.1 Revue indépendante de la sécurité de l’information A
18.2.2 Conformité avec les politiques et les normes de sécurité A I
18.2.3 Vérification de la conformité technique A

Nombre de contrôle à réaliser 0 0

Nombre de contrôle sous l'autorité 112 0
Nombre de contrôles en support 0 0
Nombre de contrôles consultés 2 1
Nombre de contrôles informés 0 48
 S
C
Di
re
c

S
S
S
S
C
C
C
C
C

R
R
R
R
R
A
A
Di teu
re r g
c é

S
S
S
S
S
S
S
S
S
S
S
S
S
S

C
C
C

R
R
R
R
R
R
R
R
Co tion nér
m al
i

S
S
S
S
S
S
S
S

R
R
R

C
C
C
C
C
/P
Re té d DG
sp ire

S
S

C
C
C
C
C
C
. d ct
Éq e eu
u i la r
p s S

S
S
S
S
S
S
S

R
R

C
C
C
C
Re e d écu MSI
sp e s rit
o é é

S
S
S

C
C
C
Re nsa cur de
sp bl ité l'i
o e n

S
S

C
C
C
C

R
R
R
Re nsa RH opé for
sp bl ra ma
o e

S
S

C
C
C
C
C
tio ti
Re nsa de nn on
sp bl s a el
o e c

S
S
S
S
S
S
le

C
C
Re nsa jur hat
sp bl id s
o e iq

S
S
S
S
S
S
S
S

C
C
C
C
C
C

R
R
R
R
Re nsa fin ue
sp bl an et
S o e c

C
C
Re nsa de ier con
s p bl s s fo
o e e rm
Re nsa IT rvi ité
s p bl ces
o e gé
XX nsa de né
Dé ble la ra
p a d R& ux
rte e X D
m X
en
t
 S C S R
S C R S
S C R S
S R
S C C R
C S R S C S
S S C R
S S R
S C R
S C R
S C S R
S C S R
S C S R

S R S
S R S

S C R C
S C R C
S C R C
S C R C
S C R
S C R
S C R
S C R C
S C S R
S C R
S C R
S C C R
S C S R
S C S R
S C S R

C S R
S R S S S C
S R S C S C

S R C S S

S C S C R C
R S C S S
S S C S S R
S S R C S S
S R S S
C S R
 S C C R
S S S R
S S S R
S S R S S C

S C S R
S C R
S C R S
S R S
S R S S
S S C C R
S S S S R S S

on
C S R C C C
C R S S S C
S C S R
C S S S R
C S R C S C

S R S

S S S R C
R S S S
S S S R
S S C S R
S R S S S
S S S R
R S S S S

C R S
S R S S
S R S
S C R
S S R

R S S C S S
S R S S S
S R S S S

R S S C S S

S R S C S S
R S C C C C C C
R S C S S

de l’activité
 S R S S
S S R S S
R S S S
S S S R S

R S S S S S S
C R S S C S
R S S S S
C S S R S
R C S
R S C
S R C S
S R C S

2 8 22 23 0 4 1 5 0 11 34 4 0 0
0 2 0 0 0 0 0 0 0 0 0 0 0 0
1 21 82 32 29 9 8 4 3 20 52 5 0 0
3 11 3 41 12 6 7 13 6 5 14 11 0 0
0 0 0 0 0 0 0 0 0 0 0 0 0 0