Critères de risque ISO 27005 : établir le contexte avant toute analyse

Le premier paragraphe de l'article 6 porte sur les considérations organisationnelles : les objectifs de l'organisation, ses activités, sa structure, ce qui dépend du système d'information. C'est là que l'on décide sur quoi portera l'appréciation. Dans une démarche ISO 27001, le périmètre de l'analyse suit celui du système de management de la sécurité de l'information (SMSI) ; hors certification, il peut s'agir d'un métier, d'un site ou d'une application.

• Ce qui est dans le périmètre : activités, processus, sites, systèmes, et ce qui en est exclu avec la raison de l'exclusion.
• Ce qui a de la valeur : les informations et les processus dont dépend l'activité. Exprimer leurs besoins de sécurité, par exemple avec les critères DICP, prépare l'identification des risques.
• Les interfaces : prestataires, hébergeurs, clients connectés, tout ce qui franchit la limite du périmètre.
• Les rôles : qui pilote l'appréciation, qui y contribue, qui décide.

Le deuxième paragraphe demande d'identifier les exigences fondamentales des parties intéressées. Certaines mesures de sécurité ne se discutent pas : elles découlent d'une loi, d'un contrat ou d'un engagement, quel que soit le résultat de l'analyse. Les connaître dès le départ évite de les redécouvrir au moment du traitement.

Les utilisateurs d'EBIOS Risk Manager reconnaîtront le socle de sécurité de l'atelier 1 : le Club EBIOS le rapproche directement de cette étape de la norme. Le chapitre ISO 27005 et EBIOS RM détaille la correspondance.

C'est le cœur de l'étape, traité par le paragraphe 6.4 de la norme. ISO/IEC 27001 (clause 6.1.2) demande que le processus d'appréciation établisse et tienne à jour des critères de risque, qui comprennent les critères d'acceptation et les critères de réalisation des appréciations. ISO/IEC 27005 reprend cette division.

Les critères pour réaliser l’appréciation

• Une échelle de conséquences. Chaque niveau est décrit en termes que les métiers comprennent : arrêt de production en jours, perte financière, manquement contractuel ou réglementaire, atteinte aux personnes ou à la réputation. La norme parle de « conséquences », le terme d'ISO 31000, là où l'usage dit souvent « impact » ou « gravité ».
• Une échelle de vraisemblance. Chaque niveau s'appuie sur des éléments observables : fréquence d'événements comparables, exposition, facilité de réalisation, mesures déjà en place.
• Une règle pour déterminer le niveau de risque. Le plus souvent une grille qui croise les deux échelles (voir notre article sur la matrice des risques), parfois un calcul.

Les critères d’acceptation

Ils disent à partir de quel niveau un risque doit être traité, qui peut accepter quoi, et à quelles conditions. Un critère d'acceptation peut comporter plusieurs seuils, et prévoir qu'un risque au-dessus du seuil soit accepté par un niveau hiérarchique plus élevé, pour une durée limitée ou sous réserve d'un engagement de traitement. Ces règles expriment l'appétence pour le risque de l'organisation : elles se valident avec la direction, par écrit.

L'article 6 se termine par le choix d'une méthode appropriée. La norme n'en recommande aucune. Ce qui compte est que la méthode soit cohérente avec les critères retenus et qu'elle produise des résultats reproductibles. Trois questions aident à choisir.

• Quelle approche d'identification ? Par événements, par actifs, ou les deux : le chapitre suivant les compare.
• Quel type d'analyse ? Qualitative, semi-quantitative ou quantitative, selon les données dont vous disposez.
• Quelle méthode existante ? En France, EBIOS Risk Manager est la plus répandue et l'ANSSI la déclare conforme à ISO/IEC 27005:2022. Une méthode interne convient aussi, si elle est écrite et appliquée de la même façon partout.