ISO 22340

Security and resilience — Protective security — Guidelines for an enterprise protective security architecture and framework

The scope of the project is described in the draft document ISO 22340 as: This document gives guidance on the enterprise protective security architecture and the framework of protective security policies, processes and controls necessary to mitigate and manage security risks across the protective security domains, including: a) security governance; b) personnel security; c) information security; d) cyber security; e) physical security. This document is applicable for any organization.

Sécurité et résilience — Sûreté préventive — Lignes directrices pour une architecture et un cadre de sûreté préventive de l’entreprise

General Information

• Status: Not Published
• ICS: 03.100.01 - Company organization and management in general
• ICS: 13.310 - Protection against crime
• Technical Committee: ISO/TC 292 - Security and resilience
• Drafting Committee: ISO/TC 292 - Security and resilience
• Current Stage: 6000 - International Standard under publication
• Completion Date: 10-Sep-2024

Standards Content (Sample)

FINAL DRAFT
International
Standard
ISO/FDIS 22340
ISO/TC 292
Security and resilience — Protective
Secretariat: SIS
security — Guidelines for an
Voting begins on:
enterprise protective security
2024-07-15
architecture and framework
Voting terminates on:
2024-09-09
Sécurité et résilience — Sûreté préventive — Lignes directrices
pour une architecture et un cadre de sûreté préventive de
l’entreprise
RECIPIENTS OF THIS DRAFT ARE INVITED TO SUBMIT,
WITH THEIR COMMENTS, NOTIFICATION OF ANY
RELEVANT PATENT RIGHTS OF WHICH THEY ARE AWARE
AND TO PROVIDE SUPPOR TING DOCUMENTATION.
IN ADDITION TO THEIR EVALUATION AS
BEING ACCEPTABLE FOR INDUSTRIAL, TECHNO­
LOGICAL, COMMERCIAL AND USER PURPOSES, DRAFT
INTERNATIONAL STANDARDS MAY ON OCCASION HAVE
TO BE CONSIDERED IN THE LIGHT OF THEIR POTENTIAL
TO BECOME STAN DARDS TO WHICH REFERENCE MAY BE
MADE IN NATIONAL REGULATIONS.
Reference number
ISO/FDIS 22340:2024(en) © ISO 2024

FINAL DRAFT
ISO/FDIS 22340:2024(en)
International
Standard
ISO/FDIS 22340
ISO/TC 292
Security and resilience — Protective
Secretariat: SIS
security — Guidelines for an
Voting begins on:
enterprise protective security
architecture and framework
Voting terminates on:
Sécurité et résilience — Sûreté préventive — Lignes directrices
pour une architecture et un cadre de sûreté préventive de
l’entreprise
RECIPIENTS OF THIS DRAFT ARE INVITED TO SUBMIT,
WITH THEIR COMMENTS, NOTIFICATION OF ANY
RELEVANT PATENT RIGHTS OF WHICH THEY ARE AWARE
AND TO PROVIDE SUPPOR TING DOCUMENTATION.
© ISO 2024
IN ADDITION TO THEIR EVALUATION AS
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
BEING ACCEPTABLE FOR INDUSTRIAL, TECHNO­
LOGICAL, COMMERCIAL AND USER PURPOSES, DRAFT
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
INTERNATIONAL STANDARDS MAY ON OCCASION HAVE
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
TO BE CONSIDERED IN THE LIGHT OF THEIR POTENTIAL
or ISO’s member body in the country of the requester.
TO BECOME STAN DARDS TO WHICH REFERENCE MAY BE
MADE IN NATIONAL REGULATIONS.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland Reference number
ISO/FDIS 22340:2024(en) © ISO 2024

ii
ISO/FDIS 22340:2024(en)
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Enterprise protective security architecture . 4
4.1 General .4
4.2 Integration.5
4.3 Elements of the architecture .5
5 Protective security principles and domains . 6
5.1 Protective security principles .6
5.2 Protective security domains .7
6 Security governance domain . 7
6.1 Objective.7
6.2 Security controls .8
6.2.1 The responsible security executive .8
6.2.2 Security management structure .9
6.3 Implementation . .18
7 Personnel security domain . 19
7.1 Objective.19
7.2 Security controls . 20
7.2.1 General . 20
7.2.2 Eligibility and suitability of personnel . 20
7.2.3 Ongoing assessment of personnel . 20
7.2.4 Separating personnel . 20
7.2.5 Cooperation between human resources and security in applying controls . 20
7.3 Implementation . .21
8 Information security domain .22
8.1 Objective. 22
8.2 Security controls . 22
8.2.1 Business impact and security classification of information . 22
8.2.2 Control access to the organization’s information . 23
8.3 Implementation . . 23
9 Cybersecurity domain . .23
9.1 Objective. 23
9.2 Security controls .24
9.2.1 Defining the system and selecting security controls .24
9.2.2 Implementing and evaluating security controls .24
9.2.3 Authorizing cyber systems . 25
9.2.4 Monitoring cyber systems . 25
9.3 Implementation . 25
9.4 Rapid development of the digital domain . 25
10 Physical security domain . .26
10.1 Objective. 26
10.2 Security controls . 26
10.2.1 Organizational physical assets . 26
10.2.2 Organizational facilities. 26
10.3 Implementation . .27
11 Developing the organization’s security maturity .27
Bibliography .30

iii
ISO/FDIS 22340:2024(en)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out through
ISO technical committees. Each member body interested in a subject for which a technical committee
has been established has the right to be represented on that committee. International organizations,
governmental and non-governmental, in liaison with ISO, also take part in the work. ISO collaborates closely
with the International Electrotechnical Commission (IEC) on all matters of electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are described
in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the different types
of ISO document should be noted. This document was drafted in accordance with the editorial rules of the
ISO/IEC Directives, Part 2 (see www.iso.org/directives).
ISO draws attention to the possibility that the implementation of this document may involve the use of (a)
patent(s). ISO takes no position concerning the evidence, validity or applicability of any claimed patent
rights in respect thereof. As of the date of publication of this document, ISO had not received notice of (a)
patent(s) which may be required to implement this document. However, implementers are cautioned that
this may not represent the latest information, which may be obtained from the patent database available at
www.iso.org/patents. ISO shall not be held responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and expressions
related to conformity assessment, as well as information about ISO's adherence to the World Trade
Organization (WTO) principles in the Technical Barriers to Trade (TBT), see www.iso.org/iso/foreword.html.
This document was prepared by Tec
...

Formatted: Centered
2023-04-05 Style Definition: Heading 1: Indent: Left: 0 pt, First
line: 0 pt, Tab stops: Not at 21.6 pt
2024-06-27
Style Definition: Comment Text
Style Definition: Figure Graphic: Don't keep with next
ISO/FDIS 22340:2024(Een)
Style Definition: List Continue 2: Indent: Left: 20.15 pt,
Hanging: 40.3 pt
ISO/TC 292
Style Definition: List Bullet 4: Indent: Left: 42.45 pt,
Secretariat: SIS
Hanging: 18 pt, No bullets or numbering, Tab stops:
60.45 pt, List tab
Style Definition: List Bullet 5: Indent: Left: 56.6 pt,
Hanging: 18 pt, No bullets or numbering, Tab stops:
74.6 pt, List tab
Style Definition: List Number 5: Indent: Left: 56.6 pt,
Security and resilience — Protective security — Guidelines for an enterprise protective
Hanging: 18 pt, No bullets or numbering, Tab stops:
security architecture and framework
74.6 pt, List tab
Formatted: French (Switzerland)
Sécurité et résilience — Sûreté — Lignes directrices pour une architecture et un cadre de sûreté
préventive de l'entreprise
Formatted: French (Switzerland)
Formatted: French (Switzerland)
Formatted: French (Switzerland)
Formatted: Centered
ISO/FDIS 22340:2024(E)
Formatted: Adjust space between Latin and Asian text,
Adjust space between Asian text and numbers, Border:
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no
Top: (No border), Bottom: (No border), Left: (No
border), Right: (No border)
part of this publication may be reproduced or utilized otherwise in any form or by any means,
electronic or mechanical, including photocopying, or posting on the internet or an intranet, without
Formatted: Default Paragraph Font
prior written permission. Permission can be requested from either ISO at the address below or
ISO's member body in the country of the requester.
ISO Copyright Office
CP 401 • CH-1214 Vernier, Geneva
Phone: + 41 22 749 01 11
Email: [e-mail]
Email: [e-mail]
Website: www.iso.orgwww.iso.org
Formatted: Adjust space between Latin and Asian text,
Adjust space between Asian text and numbers, Border:
Published in Switzerland. Top: (No border), Bottom: (No border), Left: (No
border), Right: (No border)
ii © ISO 2023 – All rights reserved

ISO/FDIS 22340:2024(Een)
Formatted: Normal, Centered, Space After: 36 pt, Line
spacing: Exactly 12 pt, Tab stops: 20.15 pt, Left
Formatted: Font: 12 pt
Contents Formatted: zzContents
Foreword . vi
Introduction . vii
1 Scope . 1
2 Normative references . 1
3 Terms and definitions. 1
4 Enterprise protective security architecture . 5
4.1 General . 5
4.2 Integration . 5
4.3 Elements of the architecture . 6
5 Protective security principles and domains . 8
5.1 Protective security principles . 8
5.2 Protective security domains . 8
6 Security governance domain .10
6.1 Objective . 10
6.2 Security controls . 11
6.2.1 The responsible security executive . 11
6.2.2 Security management structure . 12
6.3 Implementation . 26
7 Personnel security domain .27
7.1 Objective . 27
7.2 Security controls . 28
7.2.1 General . 28
7.2.2 Eligibility and suitability of personnel . 28
7.2.3 Ongoing assessment of personnel . 28
7.2.4 Separating personnel . 28
7.2.5 Cooperation between human resources and security in applying controls . 28
7.3 Implementation . 29
8 Information security domain .30
8.1 Objective . 30
8.2 Security controls . 30
8.2.1 Business impact and security classification of information . 30
8.2.2 Control access to the organization’s information . 31
8.3 Implementation . 31
Formatted: Font: 9 pt
9 Cybersecurity domain .32
9.1 Objective . 32
Formatted: Normal, Centered, Space After: 24 pt, Tab
stops: 487.6 pt, Right
iii
ISO/FDIS 22340:2024(E)
9.2 Security controls . 32
9.2.1 Defining the system and selecting security controls . 32
9.2.2 Implementing and evaluating security controls . 33
9.2.3 Authorizing cyber systems . 33
9.2.4 Monitoring cyber systems . 33
9.3 Implementation . 34
9.4 Rapid development of the digital domain . 34
10 Physical security domain . 34
10.1 Objective . 34
10.2 Security controls . 35
10.2.1 Organizational physical assets . 35
10.2.2 Organizational facilities . 35
10.3 Implementation . 35
11 Developing the organization’s security maturity . 36
Bibliography . 39
Foreword . v
Introduction . vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Enterprise protective security architecture . 5
4.1 General . 5
4.2 Integration . 5
4.3 Elements of the architecture . 6
5 Protective security principles and domains . 8
5.1 Protective security principles . 8
5.2 Protective security domains . 8
6 Security governance domain . 10
6.1 Objective . 10
6.2 Security controls . 11
6.2.1 The responsible security executive . 11
6.2.2 Security management structure . 12
6.3 Implementation . 26
7 Personnel security domain . 27
7.1 Objective . 27
7.2 Security controls . 28
7.2.1 General . 28
7.2.2 Eligibility and suitability of personnel . 28
7.2.3 Ongoing assessment of personnel . 28
7.2.4 Separating personnel . 28
iv © ISO 2023 – All rights reserved

ISO/FDIS 22340:2024(Een)
Formatted: Normal, Centered, Space After: 36 pt, Line
spacing: Exactly 12 pt, Tab stops: 20.15 pt, Left
Formatted: Font: 12 pt
7.2.5 Cooperation between human resources and security in applying controls . 28
7.3 Implementation . 29
8 Information security domain .
...

PROJET FINAL
Norme
internationale
ISO/FDIS 22340
ISO/TC 292
Sécurité et résilience — Sûreté
Secrétariat: SIS
préventive — Lignes directrices
Début de vote:
pour une architecture et un cadre
2024-07-15
de sûreté préventive de l’entreprise
Vote clos le:
2024-09-09
Security and resilience — Protective security — Guidelines for an
enterprise protective security architecture and framework
LES DESTINATAIRES DU PRÉSENT PROJET SONT
INVITÉS À PRÉSENTER, AVEC LEURS OBSERVATIONS,
NOTIFICATION DES DROITS DE PROPRIÉTÉ DONT ILS
AURAIENT ÉVENTUELLEMENT CONNAISSANCE ET À
FOURNIR UNE DOCUMENTATION EXPLICATIVE.
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES FINS
INDUSTRIELLES, TECHNOLOGIQUES ET COM-MERCIALES,
AINSI QUE DU POINT DE VUE DES UTILISATEURS, LES
PROJETS DE NORMES
INTERNATIONALES DOIVENT PARFOIS ÊTRE CONSIDÉRÉS
DU POINT DE VUE DE LEUR POSSI BILITÉ DE DEVENIR DES
NORMES POUVANT
SERVIR DE RÉFÉRENCE DANS LA RÉGLEMENTATION
NATIONALE.
Numéro de référence
ISO/FDIS 22340:2024(fr) © ISO 2024

PROJET FINAL
ISO/FDIS 22340:2024(fr)
Norme
internationale
ISO/FDIS 22340
ISO/TC 292
Sécurité et résilience — Sûreté
Secrétariat: SIS
préventive — Lignes directrices
Début de vote:
pour une architecture et un cadre
2024-07-15
de sûreté préventive de l’entreprise
Vote clos le:
2024-09-09
Security and resilience — Protective security — Guidelines for an
enterprise protective security architecture and framework
LES DESTINATAIRES DU PRÉSENT PROJET SONT
INVITÉS À PRÉSENTER, AVEC LEURS OBSERVATIONS,
NOTIFICATION DES DROITS DE PROPRIÉTÉ DONT ILS
AURAIENT ÉVENTUELLEMENT CONNAISSANCE ET À
FOURNIR UNE DOCUMENTATION EXPLICATIVE.
DOCUMENT PROTÉGÉ PAR COPYRIGHT
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES FINS
© ISO 2024 INDUSTRIELLES, TECHNOLOGIQUES ET COM-MERCIALES,
AINSI QUE DU POINT DE VUE DES UTILISATEURS, LES
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
PROJETS DE NORMES
INTERNATIONALES DOIVENT PARFOIS ÊTRE CONSIDÉRÉS
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
DU POINT DE VUE DE LEUR POSSI BILITÉ DE DEVENIR DES
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
NORMES POUVANT
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
SERVIR DE RÉFÉRENCE DANS LA RÉGLEMENTATION
NATIONALE.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse Numéro de référence
ISO/FDIS 22340:2024(fr) © ISO 2024

ii
ISO/FDIS 22340:2024(fr)
Sommaire Page
Avant-propos .v
Introduction .vi
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Architecture de sûreté préventive de l’entreprise . 5
4.1 Généralités .5
4.2 Intégration.5
4.3 Éléments de l’architecture .5
5 Principes et domaines de la sûreté préventive . 6
5.1 Principes de sûreté préventive .6
5.2 Domaines de la sûreté préventive .7
6 Domaine de gouvernance de la sûreté . 8
6.1 Objectif.8
6.2 Contrôles de sûreté .8
6.2.1 Le responsable de la sûreté .8
6.2.2 Structure de management de la sûreté .9
6.3 Mise en œuvre .19
7 Domaine de la sûreté du personnel .20
7.1 Objectif. 20
7.2 Contrôles de sûreté .21
7.2.1 Généralités .21
7.2.2 Éligibilité et adéquation du personnel .21
7.2.3 Évaluation continue du personnel .21
7.2.4 Départ du personnel.21
7.2.5 Coopération entre les ressources humaines et la sûreté dans l’application des
contrôles .21
7.3 Mise en œuvre . 22
8 Domaine de la sécurité de l’information .23
8.1 Objectif. 23
8.2 Contrôles de sûreté . 23
8.2.1 Classification des informations en fonction de l’impact sur l’activité et de la
sûreté . 23
8.2.2 Contrôler l’accès aux informations de l’organisme .24
8.3 Mise en œuvre .24
9 Domaine de la cybersécurité .25
9.1 Objectif. 25
9.2 Contrôles de sûreté . 25
9.2.1 Définition du système et sélection des contrôles de sûreté . 25
9.2.2 Mise en œuvre et évaluation des contrôles de sûreté . 25
9.2.3 Autorisation des cybersystèmes . 26
9.2.4 Surveillance des cybersystèmes. 26
9.3 Mise en œuvre . 26
9.4 Développement rapide du domaine du numérique .27
10 Domaine de la sûreté physique .27
10.1 Objectif.27
10.2 Contrôles de sûreté . 28
10.2.1 Actifs matériels de l’organisme . 28
10.2.2 Installations organisationnelles . 28
10.3 Mise en œuvre . 28

iii
ISO/FDIS 22340:2024(fr)
11 Développer la maturité de l’organisme en matière de sûreté .29
Bibliographie .32

iv
ISO/FDIS 22340:2024(fr)
Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes nationaux
de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est en général
confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude a le droit de faire
partie du comité technique créé à cet effet. Les organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l’ISO participent également aux travaux. L’ISO collabore étroitement avec
la Commission électrotechnique internationale (IEC) en ce qui concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L’ISO attire l’attention sur le fait que la mise en application du présent document peut entraîner l’utilisation
d’un ou de plusieurs brevets. L’ISO ne prend pas position quant à la preuve, à la validité et à l’applicabilité de tout
droit de propriété revendiqué à cet égard. À la date de publication du présent document, l’ISO n’avait pas reçu
notification qu’un ou plusieurs brevets pouvaient être nécessaires à sa mise en application. Toutefois, il y a lieu
d’avertir les responsables de la mise en application du présent document que d
...