ISO 27005 : la norme de gestion des risques cyber expliquée

ISO 27005 est la norme internationale qui donne les lignes directrices pour gérer les risques liés à la sécurité de l'information. Elle décrit comment établir le contexte, apprécier, traiter et accepter ces risques, puis les surveiller dans le temps, sans imposer de méthode ni d'outil. La version en vigueur, ISO/IEC 27005:2022, sert de guide à l'appréciation des risques exigée par ISO 27001.

La norme ISO 27005, de son nom complet ISO/IEC 27005:2022, appartient à la famille ISO/IEC 27000, consacrée à la sécurité de l'information. Publiée conjointement par l'ISO et la CEI (IEC), elle s'intitule en anglais « Information security, cybersecurity and privacy protection — Guidance on managing information security risks ». Le mot important est guidance : ISO 27005 est un recueil de lignes directrices, pas un référentiel d'exigences.

Concrètement, la norme explique ce qu'une organisation doit faire pour connaître ses risques de sécurité de l'information, décider lesquels traiter, choisir des mesures et suivre le résultat. Elle ne fixe ni échelle de gravité, ni catalogue obligatoire de menaces, ni logiciel. Cette souplesse est voulue : une PME de 50 personnes et un groupe bancaire n'ont pas besoin du même niveau de détail. Si vous découvrez le sujet, notre article Qu'est-ce qu'une analyse de risques ? pose les bases avant d'entrer dans la norme.

À qui s'adresse ISO 27005 ?

• Aux RSSI et responsables des risques qui construisent ou font vivre un système de management de la sécurité de l'information (SMSI).
• Aux organisations qui préparent une certification ISO 27001 et doivent justifier leur processus d'appréciation des risques.
• Aux entités soumises à NIS 2 ou DORA, qui doivent fonder leurs mesures de sécurité sur une gestion des risques documentée.
• Aux auditeurs et consultants, qui s'en servent comme grille de lecture commune.

La quatrième édition d'ISO 27005 a été publiée en octobre 2022, le même mois qu'ISO 27001:2022. Elle remplace l'édition 2018, désormais retirée. La fiche officielle de l'ISO ne signale aucune révision en cours en 2026 : ISO/IEC 27005:2022 est donc la version de référence. Les principaux changements, détaillés notamment par l'organisme de certification PECB, sont les suivants.

ISO 27005 reprend le processus d'ISO 31000 et l'applique à la sécurité de l'information. Il tient en six étapes, encadrées par deux activités continues : la communication avec les parties prenantes et la surveillance. Le schéma ci-dessous montre leur enchaînement ; nous les détaillons ensuite avec un fil rouge, un cabinet d'expertise comptable de 60 personnes.

1. Établir le contexte

Tout commence par le cadrage : quel périmètre (toute l'organisation, un métier, une application), quels enjeux, quelles obligations légales, quelles parties prenantes. C'est aussi là que l'on fixe les critères de risque : échelles de vraisemblance et de gravité, et seuil au-delà duquel un risque n'est plus acceptable. Pour le cabinet, le périmètre retenu est la production des liasses fiscales ; les échelles vont de 1 à 4 et tout risque d'un niveau supérieur à 6 (gravité × vraisemblance) doit être traité.

2. Identifier les risques

On recense les scénarios qui pourraient empêcher l'organisation d'atteindre ses objectifs : qui ou quoi en est à l'origine, quel événement se produit, quels actifs sont touchés et avec quelles conséquences. Exemple : « un groupe cybercriminel chiffre le serveur de fichiers en avril, en pleine période fiscale ». Exprimer d'abord les besoins de sécurité des informations, par exemple avec les critères DICP, aide à repérer ce qui compte vraiment. La norme propose pour cette étape deux approches complémentaires, présentées dans la partie suivante.

3. Analyser les risques

Pour chaque scénario, on estime la gravité des conséquences et leur vraisemblance, de façon qualitative, semi-quantitative ou quantitative. Le cabinet estime la gravité à 4 (déclarations en retard, pénalités pour ses clients, atteinte à la réputation) et la vraisemblance à 3 (accès VPN sans double authentification, sauvegardes connectées au réseau). Niveau de risque : 12 sur 16.

4. Évaluer les risques

L'évaluation compare chaque niveau aux critères définis au départ et classe les risques par priorité. C'est souvent le moment de produire une matrice des risques ou une cartographie des risques pour la direction. À 12, le scénario du rançongiciel dépasse largement le seuil de 6 : il passe en tête de liste.

5. Traiter les risques

Pour chaque risque à traiter, on choisit une ou plusieurs options : réduire le risque par des mesures, l'éviter en renonçant à l'activité qui l'expose, le partager (assurance, sous-traitance) ou le conserver en connaissance de cause. Les mesures retenues sont comparées à l'annexe A d'ISO 27001, ce qui alimente la déclaration d'applicabilité, puis regroupées dans un plan de traitement. Le cabinet décide d'activer la double authentification sur le VPN, de mettre en place une sauvegarde hors ligne testée chaque trimestre et de souscrire une cyberassurance. Risque résiduel estimé : gravité 3, vraisemblance 2, soit 6.

6. Accepter le risque résiduel

Depuis l'édition 2022, l'acceptation n'est plus une étape isolée mais une décision formelle prise à l'issue du traitement par les propriétaires de risques. Ici, l'associé gérant valide le plan et accepte le risque résiduel de niveau 6, conforme aux critères. Si le risque résiduel restait trop élevé, un nouveau cycle de traitement serait lancé. Notre article Risque inhérent et risque résiduel détaille ce calcul et cette décision.

En continu : communiquer et surveiller

La communication et la concertation associent les métiers à chaque étape : ce sont eux qui connaissent les conséquences réelles d'une indisponibilité. La surveillance et la revue vérifient que les mesures sont appliquées et que le contexte n'a pas changé. Un nouveau prestataire, une fusion ou une vague d'attaques visant votre secteur doivent déclencher une mise à jour, sans attendre la revue annuelle.

C'est l'apport le plus concret de la méthode ISO 27005 version 2022. La norme distingue deux points de départ pour identifier les risques, que l'on peut combiner.

• L'approche par événements part des événements redoutés et de leurs sources, de façon globale, sans inventaire détaillé. Elle donne une vue stratégique, rapide à produire avec la direction, et sert surtout à apprécier les conséquences. Exemple : « paralysie de la production pendant la période fiscale ».
• L'approche par actifs part de l'inventaire des actifs (serveurs, applications, locaux, personnes) et recherche pour chacun les menaces et les vulnérabilités. Elle est plus détaillée, plus opérationnelle, et aide à estimer la vraisemblance et à choisir les mesures. Exemple : « VPN exposé sur Internet sans double authentification ».

En pratique, les deux se complètent : la première fixe les priorités, la seconde précise où agir. Une organisation qui débute gagne à commencer par les événements, pour obtenir rapidement une vision partagée avec les métiers, puis à descendre au niveau des actifs sur les scénarios les plus graves.

ISO/IEC 27001:2022 fixe les exigences d'un SMSI et peut faire l'objet d'une certification. Elle exige une appréciation et un traitement des risques documentés, mais n'impose aucune méthode. ISO 27005 explique comment y répondre. Le tableau suivant relie les deux normes.

Les trois référentiels reviennent dans chaque discussion sur la gestion des risques cyber, et on les présente souvent comme concurrents. Ils se situent en réalité à trois niveaux différents.

• ISO 31000:2018 pose les principes et le processus de management de tous les risques de l'organisation. Elle ne parle pas spécifiquement de cybersécurité.
• ISO 27005 décline ce processus pour les risques de sécurité de l'information et l'articule avec ISO 27001.
• EBIOS Risk Manager, publiée par l'ANSSI, est une méthode opérationnelle qui dit pas à pas comment conduire l'analyse, en partant des sources de risque et de leurs objectifs. Le guide de l'ANSSI indique qu'elle est conforme à ISO 27005:2022 et compatible avec ISO 31000.

Choisissez votre besoin dans le comparatif pour voir le référentiel le plus adapté.

C'est une confusion fréquente : une entreprise ne peut pas être certifiée ISO 27005. La norme ne contient que des recommandations, sans exigences auditables. Une organisation qui veut faire reconnaître la qualité de sa gestion des risques de sécurité vise la certification ISO 27001, délivrée par un organisme accrédité.

Les certifications « ISO 27005 » proposées sur le marché sont des certifications de personnes. Des organismes comme PECB délivrent par exemple les titres ISO/IEC 27005 Risk Manager ou Lead Risk Manager, après une formation et un examen. Elles attestent qu'un professionnel sait conduire le processus ; elles sont utiles pour un consultant ou un responsable des risques, mais ne disent rien du niveau de sécurité de son employeur.

• Commencez petit. Un périmètre clair et un premier cycle complet valent mieux qu'une analyse exhaustive jamais terminée.
• Écrivez vos critères avant d'analyser. Des échelles définies à l'avance rendent les résultats comparables d'une année à l'autre, ce que demande ISO 27001.
• Parlez le langage des métiers. Un scénario « impossible de produire les déclarations en avril » sera compris par la direction ; « CVE non corrigée sur le VPN » ne le sera pas.
• Désignez des propriétaires de risques. Sans propriétaire, pas d'acceptation formelle ni de suivi.
• Prévoyez la mise à jour. Une appréciation des risques est un processus vivant : fixez les événements qui déclenchent une révision.

Menée dans des tableurs, cette démarche devient vite difficile à consolider et à tenir à jour. Le logiciel d'analyse de risques Phinasoft permet de conduire vos analyses selon ISO 27005, selon EBIOS RM avec un module labellisé par l'ANSSI, ou selon votre propre méthode, avec vos échelles et vos bases de risques. Chaque analyse est reliée à votre plan d'action, le niveau de risque évolue à mesure que les mesures avancent et l'historique de chaque périmètre est conservé (voir aussi le module Risques et conformité). Pour voir à quoi cela ressemble sur votre cas, vous pouvez demander une démonstration.