Gestion des risques ISO 27005 : la mettre en œuvre étape par étape

ISO/IEC 27005 est un document de préconisations : elle ne contient pas d'exigences et ne se certifie pas. Son domaine d'application, consultable librement sur la plateforme en ligne de l'ISO, lui donne deux objectifs. Le premier est d'aider les organisations à satisfaire aux exigences d'ISO/IEC 27001 relatives aux actions à mener face aux risques. Le second est de les aider à réaliser les activités de gestion des risques, en particulier l'appréciation et le traitement.

Autrement dit, ISO/IEC 27001 dit ce que votre processus doit garantir, et ISO/IEC 27005 explique comment le construire. Si vous cherchez la définition de la norme, son histoire et ce que l'édition 2022 a changé, lisez d'abord notre article ISO 27005 : la norme de gestion des risques cyber expliquée. Ce guide ne refait pas cette présentation : il s'occupe de la mise en œuvre.

Un détail de construction aide à rédiger sa propre procédure. Des articles 7 à 10, la norme présente chaque activité selon une même grille : ce qu'il faut avoir en entrée, l'action à mener, ce qui la déclenche, ce qu'elle produit, puis des recommandations de mise en œuvre. Si vous savez répondre à ces cinq questions pour chacune de vos étapes, votre processus est décrit.

Le plan de la norme suit le processus. L'article 6 traite de l'établissement du contexte, l'article 7 de l'appréciation des risques (identification, analyse, évaluation), l'article 8 du traitement. L'article 9 porte sur la réalisation de ces activités dans la durée, et l'article 10 sur les processus du système de management qui les soutiennent : communication et concertation, information documentée, surveillance et revue.

Identification, analyse et évaluation forment ensemble l'appréciation des risques, le terme qu'emploient ISO/IEC 27001 et ISO 31000. On parle couramment d'« analyse de risques » pour désigner l'ensemble : notre article Qu'est-ce qu'une analyse de risques ? pose ce vocabulaire.

Une appréciation des risques n'est pas un document que l'on rédige une fois. La norme présente le processus comme itératif : on peut le dérouler une première fois à gros traits, puis y revenir pour approfondir ce qui le mérite. Deux points de décision le rythment. Après l'évaluation, on se demande si l'appréciation donne assez d'éléments pour décider ; sinon, on reprend le contexte ou l'analyse. Après le traitement, on se demande si les risques résiduels sont acceptables ; sinon, on complète le traitement.

La norme distingue aussi deux rythmes. Le cycle stratégique porte sur le long terme : il revoit le contexte, les critères et les grandes priorités quand l'organisation ou son environnement change. Le cycle opérationnel, plus court, met à jour les scénarios, les niveaux de risque et l'avancement des mesures. S'y ajoutent les mises à jour déclenchées par un événement : un incident, un nouveau système, un changement de prestataire.

1. Étape 1 Établir le contexte Périmètre, exigences des parties intéressées, critères d'acceptation et échelles, choix de la méthode.
2. Étape 2 Identifier les risques Scénarios de risque, approche par événements ou par actifs, propriétaires des risques.
3. Étape 3 Analyser les risques Estimer les conséquences et la vraisemblance, déterminer le niveau de risque.
4. Étape 4 Évaluer les risques Comparer aux critères, classer, décider ce qui part en traitement.
5. Étape 5 Traiter les risques Options, mesures, comparaison à l'annexe A, plan de traitement, acceptation des risques résiduels.
6. Étape 6 Surveiller et revoir Déclencheurs de mise à jour, indicateurs, information documentée, revue de direction.
7. Articulation ISO 27001 et ISO 31000 Quelles clauses d'ISO 27001 la norme éclaire, et ce qu'elle reprend d'ISO 31000.
8. Articulation EBIOS RM Comment les cinq ateliers de la méthode de l'ANSSI répondent aux étapes de la norme.
9. Repères Glossaire Les termes de la norme, reformulés, avec leur équivalent anglais.

Chaque chapitre applique l'étape à une même entreprise fictive. Ses échelles, ses seuils et ses scénarios sont des exemples : la norme ne les impose pas, et les vôtres seront différents.

• Parce que la certification ISO 27001 le demande, dans les faits. ISO/IEC 27001 n'impose aucune méthode, mais ses clauses 6.1.2 et 6.1.3 fixent ce que le processus doit garantir. ISO/IEC 27005 est écrite pour y répondre, et son vocabulaire est celui de l'auditeur.
• Parce que la réglementation raisonne en risques. La directive NIS 2 demande aux entités concernées des mesures fondées sur une approche « tous risques », dont des politiques d'analyse des risques (article 21). Un processus conforme à une norme reconnue est plus simple à justifier.
• Parce que c'est un langage commun. L'ENISA, l'agence de l'Union européenne pour la cybersécurité, retient ISO 31000 et ISO/IEC 27005 comme les normes de gestion des risques les plus pertinentes dans son analyse des référentiels existants. Aux États-Unis, le guide SP 800-30 du NIST joue un rôle comparable pour les agences fédérales.
• Parce qu'elle laisse le choix de la méthode. Une analyse EBIOS Risk Manager, que l'ANSSI déclare conforme à ISO/IEC 27005:2022, s'inscrit dans ce cadre sans double travail.