Étape 3 · ISO/IEC 27005:2022, article 7
Niveau de risque ISO 27005 : estimer les conséquences et la vraisemblance
L'analyse donne à chaque risque identifié un niveau, à partir de deux estimations : ce que l'organisation perdrait si le scénario se réalisait, et les chances qu'il se réalise. Elle n'invente pas ses échelles : elle applique celles qui ont été fixées avec le contexte. Tout l'enjeu est de noter de façon justifiée et reproductible.
- Article
- 7, Appréciation des risques : analyse
- Participants
- Propriétaires des risques, métiers, RSSI, DSI
- Livrable
- Conséquences, vraisemblance et niveau de chaque risque, justifiés
Chapitres du guide
En bref
-
L'analyse comprend trois opérations : apprécier les conséquences potentielles, apprécier la vraisemblance, puis déterminer le niveau de risque. Ce sont aussi les trois points de la clause 6.1.2 d) d'ISO/IEC 27001.
-
Elle peut être qualitative, semi-quantitative ou quantitative. Le choix dépend des données disponibles, pas d'une hiérarchie entre les approches.
-
Les conséquences s'estiment avec les métiers, sur ce qui a de la valeur ; la vraisemblance s'estime avec ceux qui connaissent les systèmes, les menaces et les mesures en place.
-
Chaque note s'accompagne d'une justification écrite : c'est ce qui rend l'appréciation « valide » et permet de la refaire l'année suivante.
-
Le niveau obtenu tient compte des mesures déjà en place. Il servira de point de comparaison pour le risque résiduel après traitement.
Qualitative, semi-quantitative ou quantitative
La norme admet trois types d'analyse. Aucun n'est supérieur aux autres en soi : une analyse quantitative fondée sur des chiffres fragiles est moins fiable qu'une analyse qualitative dont les niveaux sont bien définis.
| Type | Principe | Convient quand | Limite |
|---|---|---|---|
| Qualitative | Niveaux décrits par des mots (limitées, graves, critiques) | Peu de données, besoin de parler avec les métiers | Dépend de la qualité des définitions |
| Semi-quantitative | Niveaux associés à des valeurs ou à des plages | On veut classer et agréger sans disposer de mesures précises | Les nombres donnent une impression de précision qu'ils n'ont pas |
| Quantitative | Valeurs mesurées : montant des pertes, fréquence annuelle | Historique de données fiable, arbitrage financier à justifier | Demande des données que peu d’organisations ont |
Apprécier les conséquences
On se place dans l'hypothèse où le scénario s'est réalisé, et on demande au métier concerné ce qu'il y perd. L'échelle fixée avec le contexte sert de grille de lecture : durée d'interruption, coût, manquement à une obligation, atteinte aux personnes ou à l'image.
- Regarder les trois critères. Un même événement peut toucher la disponibilité (l'atelier s'arrête), la confidentialité (des plans sortent) et l'intégrité (des programmes d'usinage sont altérés). On retient la conséquence la plus lourde, en notant les autres.
- Compter les conséquences indirectes. Pénalités, notification à une autorité, perte d'un client : elles pèsent souvent plus que le coût de remise en état.
- Tenir compte du moment. Un arrêt de trois jours n'a pas le même poids en période creuse et la veille d'une livraison.
- Faire noter par le métier. Le propriétaire du risque est le mieux placé pour dire ce qu'une interruption lui coûte.
Apprécier la vraisemblance
La vraisemblance est la possibilité que le scénario se produise. Pour un événement accidentel, l'historique aide : pannes passées, fréquence des erreurs. Pour un acte délibéré, on raisonne plutôt sur la motivation et les moyens de la source, sur l'exposition du bien visé et sur les obstacles à franchir.
- L'exposition : le bien est-il joignable depuis Internet, par un prestataire, par tous les salariés ?
- Les vulnérabilités connues : défauts de configuration, correctifs manquants, comptes partagés, absence de séparation.
- Les mesures déjà en place et leur efficacité réelle, vérifiée et non supposée.
- Ce qui se passe ailleurs : incidents déjà subis par l'organisation, par ses pairs, par son secteur. Les rapports publics des agences de cybersécurité sont utiles ici.
Déterminer le niveau de risque
Le niveau de risque se déduit des deux estimations, selon la règle fixée dans les critères : lecture dans une grille, ou calcul. Il n'y a rien à décider à ce stade, seulement à appliquer la règle. Si un résultat surprend tout le monde, c'est le signe qu'une note ou une définition d'échelle est à revoir, pas qu'il faut corriger le niveau à la main.
L'analyse porte sur la situation telle qu'elle est, avec les mesures existantes. Certaines organisations estiment aussi un risque « brut », sans aucune mesure ; ce n'est pas une obligation, et l'exercice est souvent artificiel. Notre article Risque inhérent et risque résiduel fait le point sur ces notions.
Fil rouge : l’analyse des quatre risques de Mécanique Vauclair
| Réf. | Conséquences | Vraisemblance | Niveau |
|---|---|---|---|
| R1 Rançongiciel par la télémaintenance | 4 : atelier arrêté plus de dix jours, pénalités de retard | 3 : accès distant permanent, compte partagé sans double authentification, réseau non séparé | 12, élevé |
| R2 Vol des plans d’un client | 4 : rupture de confidentialité, contrat menacé | 2 : messagerie filtrée, mais plans accessibles à tout le bureau d’études | 8, moyen |
| R3 Erreur d’administration sur le progiciel | 2 : deux jours de ressaisie, retards limités | 3 : interventions fréquentes, pas de procédure ni de test préalable | 6, moyen |
| R4 Vol d’un ordinateur portable | 1 : perte du matériel, disque chiffré | 3 : déplacements fréquents | 3, faible |
Ces niveaux ne disent pas encore quoi faire. C'est l'objet de l'évaluation, qui les compare aux critères d'acceptation.
Questions fréquentes
Comment calculer un niveau de risque selon ISO 27005 ?
La norme ne donne pas de formule. Le niveau de risque se détermine à partir de l'estimation des conséquences et de celle de la vraisemblance, selon la règle que l'organisation a fixée dans ses critères : le plus souvent une grille qui croise deux échelles. L'annexe A de la norme donne des exemples, sans les imposer.
Faut-il une analyse quantitative ?
Non. ISO/IEC 27005 admet l'analyse qualitative, semi-quantitative et quantitative. Une analyse quantitative n'a d'intérêt que si l'on dispose de données fiables sur les pertes et les fréquences. La plupart des organisations commencent par une analyse qualitative avec des niveaux bien définis.
Quelle différence entre conséquence, impact et gravité ?
Ils désignent la même idée : ce que l'organisation perd si le risque se réalise. ISO/IEC 27005:2022 emploie « conséquence », le terme d'ISO 31000. EBIOS Risk Manager parle de « gravité », et l'usage courant d'« impact ». L'important est de n'utiliser qu'un seul terme dans vos documents.
Faut-il tenir compte des mesures existantes dans l’analyse ?
Oui. L'analyse décrit la situation réelle : la vraisemblance et les conséquences s'estiment avec les mesures déjà en place, à condition d'avoir vérifié qu'elles fonctionnent. Le niveau obtenu sert ensuite de référence pour mesurer l'effet du traitement.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- ISO/IEC 27005:2022, Sécurité de l'information, cybersécurité et protection de la vie privée : préconisations pour la gestion des risques liés à la sécurité de l'information (4e édition), ISO, octobre 2022.
- ISO/IEC 27005:2022, aperçu public : domaine d'application, termes et définitions, sommaire, ISO, plateforme de consultation en ligne.
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information : exigences, ISO, octobre 2022.
- ISO 31000:2018, Management du risque : lignes directrices, ISO, février 2018.
- EBIOS Risk Manager, le guide (version 1.5), ANSSI.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.