Évaluation des risques ISO 27005 : comparer aux critères et prioriser

Dans le langage courant, « évaluer un risque » veut dire lui donner une note. Dans le vocabulaire d'ISO 31000, repris par ISO/IEC 27005 et ISO/IEC 27001, donner un niveau est l'analyse ; l'évaluation vient après et consiste à comparer ce niveau aux critères pour décider. La distinction a une conséquence pratique : on n'ajuste pas un niveau pendant l'évaluation. Si le résultat paraît faux, on retourne à l'analyse.

On reprend les critères d'acceptation validés avec le contexte et on y confronte chaque risque. Trois situations se présentent.

• Le risque est sous le seuil d'acceptation. Il peut être conservé en l'état. On l'inscrit quand même au registre, avec son propriétaire : il sera revu à la prochaine itération.
• Le risque dépasse le seuil. Il part en traitement. L'évaluation ne dit pas comment, seulement qu'il le faut.
• Le risque est dans une zone intermédiaire, si vos critères en prévoient une. La décision revient alors à l'instance désignée dans les critères, qui tranche entre traiter et accepter en le motivant.

Le niveau de risque donne un premier classement. Il ne suffit pas toujours : deux risques de même niveau ne demandent pas la même urgence. Quelques critères de départage, à fixer à l'avance, évitent les discussions sans fin.

• Les conséquences d'abord. À niveau égal, le risque aux conséquences les plus lourdes passe devant : une conséquence critique peu vraisemblable mérite plus d'attention qu'une gêne fréquente.
• Les obligations. Un risque lié à une exigence légale ou contractuelle ne peut pas attendre.
• Les causes communes. Plusieurs risques qui reposent sur la même faiblesse (un réseau non segmenté, un compte partagé) se traitent ensemble, et remontent dans le classement.
• La tendance. Une menace qui s'intensifie dans votre secteur justifie de remonter un risque.

Pour la direction, le résultat se présente sous deux formes complémentaires : une grille où l'on place les risques, et une liste classée qui dit lesquels seront traités. Nos articles sur la matrice des risques et la cartographie des risques détaillent ces représentations.

Avant de passer au traitement, on vérifie que l'appréciation permet réellement de décider. Si un scénario important manque, si une note repose sur une hypothèse non vérifiée, si deux métiers ne lisent pas l'échelle de la même façon, mieux vaut reprendre l'étape concernée. Le processus est itératif précisément pour cela.

• Les risques retenus couvrent-ils tout le périmètre fixé avec le contexte ?
• Chaque risque a-t-il un propriétaire qui a participé à sa notation ?
• Chaque note est-elle justifiée par écrit ?
• Les exigences des parties intéressées sont-elles toutes reflétées dans les conséquences ?