Glossaire ISO 27005 : les termes de la gestion des risques

Établissement du contexte (context establishment)

Première étape : on délimite le périmètre, on recense les exigences des parties intéressées, on fixe les critères de risque et on choisit la méthode. Voir Contexte et critères.

Appréciation des risques (risk assessment)

Ensemble formé par l'identification, l'analyse et l'évaluation des risques. C'est ce que l'on appelle couramment « analyse de risques ».

Identification des risques (risk identification)

Étape qui consiste à trouver, reconnaître et décrire les risques. Voir Identifier les risques.

Analyse des risques (risk analysis)

Étape qui estime les conséquences et la vraisemblance d'un risque et en déduit son niveau. Voir Analyser les risques.

Évaluation des risques (risk evaluation)

Étape qui compare les niveaux de risque aux critères et classe les risques par priorité. Voir Évaluer les risques.

Traitement des risques (risk treatment)

Processus qui choisit et met en œuvre des options pour agir sur un risque : le réduire, l'éviter, le partager ou le conserver. Voir Traiter les risques.

Surveillance et revue (monitoring and review)

Suivi continu des risques, des mesures et du contexte, et réexamen planifié de l'ensemble. Voir Surveiller et revoir.

Communication et concertation (communication and consultation)

Échanges avec les parties intéressées tout au long du processus, pour recueillir ce qu'elles savent et faire comprendre les décisions.

Risque (risk)

Effet de l'incertitude sur les objectifs, selon ISO 31000. En sécurité de l'information, il s'agit de ce qui peut porter atteinte à la confidentialité, à l'intégrité ou à la disponibilité des informations.

Source de risque (risk source)

Élément qui, seul ou combiné à d'autres, peut faire naître un risque : un attaquant, une erreur, une panne, un phénomène naturel.

Événement (event)

Ce qui se produit ou change dans une situation donnée. Un événement peut avoir plusieurs causes et plusieurs conséquences.

Conséquence (consequence)

Effet d'un événement sur les objectifs de l'organisation. L'usage courant parle d'impact ; EBIOS Risk Manager, de gravité.

Scénario de risque (risk scenario)

Suite ou combinaison d'événements qui mène d'une cause initiale à une conséquence non voulue. Notion introduite par l'édition 2022.

Menace (threat)

Cause possible d'un incident qui peut nuire à un système ou à l'organisation.

Vulnérabilité (vulnerability)

Faiblesse d'un bien ou d'une mesure qu'une menace peut exploiter.

Bien primaire et bien support (primary asset, supporting asset)

Le bien primaire est ce qui a de la valeur pour l'organisation : une information, un processus. Le bien support est ce qui le porte : matériel, logiciel, réseau, local, personne, prestataire.

Approche par événements (event-based approach)

Façon d'identifier les risques à partir de ce que l'organisation redoute et des sources de risque, à un niveau stratégique.

Approche par actifs (asset-based approach)

Façon d'identifier les risques à partir de l'inventaire des biens, de leurs menaces et de leurs vulnérabilités, à un niveau détaillé.

Vraisemblance (likelihood)

Possibilité que quelque chose se produise, estimée de façon qualitative ou quantitative.

Niveau de risque (level of risk)

Importance d'un risque, exprimée en combinant ses conséquences et leur vraisemblance.

Critères de risque (risk criteria)

Références fixées à l'avance pour apprécier l'importance d'un risque. Ils comprennent les critères d'acceptation et les critères de réalisation des appréciations. Voir Contexte et critères.

Critères d'acceptation des risques (risk acceptance criteria)

Règles qui disent quels risques l'organisation accepte de garder, à quel niveau de décision et à quelles conditions.

Propriétaire du risque (risk owner)

Personne ou entité qui a la responsabilité du risque et l'autorité pour le gérer. Elle approuve le plan de traitement et accepte le risque résiduel.

Partie intéressée (interested party)

Personne ou organisation qui peut influer sur une décision, être touchée par elle ou s'estimer touchée : clients, autorités, salariés, prestataires.

Mesure de sécurité (control)

Disposition qui maintient ou modifie un risque : règle, procédure, dispositif technique, organisation. L'annexe A d'ISO/IEC 27001:2022 en liste 93.

Déclaration d'applicabilité (statement of applicability)

Document exigé par ISO/IEC 27001 qui liste les mesures nécessaires, justifie leur inclusion, indique leur état de mise en œuvre et justifie les exclusions de l'annexe A.

Plan de traitement des risques (risk treatment plan)

Document qui précise, pour chaque risque à traiter, les mesures, les responsables, les échéances et le risque résiduel attendu.

Risque résiduel (residual risk)

Risque qui subsiste après le traitement. Voir aussi notre article Risque inhérent et risque résiduel.

Acceptation du risque (risk acceptance)

Décision éclairée de prendre un risque donné. Depuis l'édition 2022, l'acceptation des risques résiduels conclut le traitement.

Information documentée (documented information)

Information que l'organisation doit maîtriser et conserver, quel qu'en soit le support : procédure, registre, plan, décision.

Pour le vocabulaire propre à la méthode de l'ANSSI, consultez le glossaire EBIOS RM ; pour celui du système de management, le glossaire ISO 27001.