Étape 2 · ISO/IEC 27005:2022, article 7
Identification des risques ISO 27005 : événements, actifs et propriétaires
Identifier un risque, c'est le décrire assez précisément pour pouvoir l'analyser et lui trouver un responsable. La norme propose deux points de départ, les événements ou les actifs, et demande de désigner pour chaque risque un propriétaire. Ce chapitre montre comment mener l'étape et à quoi ressemble un risque bien décrit.
- Article
- 7, Appréciation des risques : identification
- Participants
- Métiers, direction, RSSI, DSI, exploitation
- Livrable
- Liste de risques décrits, avec leur propriétaire
Chapitres du guide
En bref
-
L'identification doit trouver, reconnaître et décrire les risques : ce qui peut se produire, pourquoi, et ce que l'organisation y perdrait.
-
La norme propose deux approches : par événements, à partir de ce que l'organisation redoute, et par actifs, à partir de l'inventaire des biens et de leurs vulnérabilités. Elles se combinent.
-
Un risque se décrit comme un scénario de risque : une suite d'événements qui mène d'une cause initiale à une conséquence non voulue.
-
Les sources de risque ne sont pas seulement des attaquants : la norme couvre aussi l'erreur humaine, la panne et l'événement naturel.
-
Chaque risque reçoit un propriétaire (paragraphe 7.2.2), la personne qui a la responsabilité et l'autorité de le gérer. ISO/IEC 27001 l'exige.
Ce qu’il faut décrire pour chaque risque
ISO 31000, dont ISO/IEC 27005 reprend le vocabulaire, définit le risque comme l'effet de l'incertitude sur les objectifs. Pour la sécurité de l'information, la clause 6.1.2 d'ISO/IEC 27001 précise l'angle : il s'agit des risques liés à la perte de confidentialité, d'intégrité et de disponibilité des informations dans le périmètre.
Un risque utilisable répond à quatre questions. Si l'une manque, l'analyse qui suit devient une affaire d'opinion.
| Élément | Question | Exemple |
|---|---|---|
| Source de risque | Qui ou quoi en est à l'origine ? | Un groupe cybercriminel, un salarié qui se trompe, une panne d'alimentation |
| Événement | Que se passe-t-il ? | Chiffrement des serveurs de l'atelier |
| Ce qui est touché | Quelle information, quel processus, par quel actif ? | Les programmes d'usinage, via le serveur de fichiers de l'atelier |
| Conséquence | Qu'y perd l'organisation ? | Arrêt de la production, retards de livraison, pénalités |
L'édition 2022 raisonne en scénarios de risque : l'enchaînement qui relie la cause initiale à la conséquence. Formuler chaque risque comme une phrase complète (« telle source provoque tel événement sur tel bien, ce qui entraîne telle conséquence ») suffit le plus souvent.
Approche par événements ou approche par actifs
La norme décrit deux façons d'identifier les risques. Elles ne s'opposent pas : elles ne regardent pas au même niveau.
| Par événements | Par actifs | |
|---|---|---|
| Point de départ | Ce que l'organisation redoute et qui pourrait le provoquer | L'inventaire des biens, leurs menaces et leurs vulnérabilités |
| Niveau | Stratégique, vue d’ensemble | Opérationnel, détaillé |
| Avec qui | Direction, responsables métiers | DSI, exploitation, responsables d’applications |
| Nombre de scénarios | Réduit | Élevé, à regrouper |
| Sert surtout à | Estimer les conséquences, fixer les priorités | Estimer la vraisemblance, choisir les mesures |
| Risque de la méthode | Rester trop général pour agir | Se perdre dans l'inventaire |
Dans l'approche par actifs, on distingue ce qui a de la valeur pour l'organisation (les informations et les processus, souvent appelés biens primaires ou valeurs métier) de ce qui les porte (matériels, logiciels, réseaux, locaux, personnes, prestataires : les biens supports). Une vulnérabilité se trouve sur un bien support ; une conséquence se mesure sur un bien primaire. Une cartographie du système d'information à jour facilite beaucoup ce travail.
Ne pas oublier les sources non intentionnelles
Une source de risque est un élément qui, seul ou combiné à d'autres, peut faire naître un risque. Elle peut être humaine, et agir délibérément ou par erreur, ou tenir à l'environnement ou à la technique. Une analyse qui ne regarde que les attaquants oublie une part des incidents réels : la suppression accidentelle, la mise à jour ratée, la panne d'un équipement unique, l'inondation de la salle serveurs.
C'est une différence avec EBIOS Risk Manager, qui concentre ses scénarios sur les sources intentionnelles et renvoie l'accidentel au socle de sécurité, comme le note le Club EBIOS. Si vous utilisez cette méthode dans un cadre ISO 27005, vérifiez que les risques accidentels sont bien couverts, par le socle ou par des scénarios ajoutés.
Désigner les propriétaires des risques
Le paragraphe 7.2.2 de la norme porte sur l'identification des propriétaires des risques, que la clause 6.1.2 d'ISO/IEC 27001 exige aussi. Le propriétaire est la personne, ou l'entité, qui a la responsabilité du risque et l'autorité pour le gérer. C'est lui qui approuvera le plan de traitement et acceptera le risque résiduel.
- Le propriétaire est en général le responsable de l'activité qui subirait la conséquence, pas celui qui administre le système.
- Il doit avoir le pouvoir de décider : arbitrer un budget, accepter une contrainte, renoncer à une pratique.
- Le RSSI anime le processus et éclaire les décisions. S'il est propriétaire de tous les risques, personne ne l'est vraiment.
Fil rouge : les risques identifiés chez Mécanique Vauclair
Un atelier de trois heures avec le comité de direction fait ressortir ce que l'entreprise redoute : l'arrêt de l'atelier, la fuite des plans d'un client, la perte de données de gestion. Le RSSI et le DSI descendent ensuite au niveau des actifs pour les deux premiers. Quatre risques sont retenus pour la suite du guide.
| Réf. | Scénario de risque | Approche | Propriétaire |
|---|---|---|---|
| R1 | Un groupe cybercriminel entre par l'accès de télémaintenance d'un fabricant de machines, se propage et chiffre les serveurs de l'atelier : production arrêtée | Événements, puis actifs | Directeur de production |
| R2 | Un attaquant obtient par hameçonnage le compte d'un dessinateur et copie les plans d'un client : rupture de confidentialité, contrat menacé | Événements, puis actifs | Responsable du bureau d'études |
| R3 | Un administrateur supprime par erreur des données du progiciel de gestion lors d'une maintenance : commandes à ressaisir, retards | Actifs | DSI |
| R4 | Un ordinateur portable est volé lors d'un déplacement : le disque est chiffré, la perte se limite au matériel | Actifs | DSI |
Questions fréquentes
Quelle est la différence entre l'approche par événements et l'approche par actifs ?
L'approche par événements part de ce que l'organisation redoute et des sources de risque qui pourraient le provoquer : elle donne une vue d'ensemble, de niveau stratégique. L'approche par actifs part de l'inventaire des biens, de leurs menaces et de leurs vulnérabilités : elle est plus détaillée. ISO/IEC 27005:2022 présente les deux et permet de les combiner.
Qu'est-ce qu'un scénario de risque ?
C'est la suite, ou la combinaison, d'événements qui mène d'une cause initiale à une conséquence non voulue. Décrire un risque sous forme de scénario oblige à préciser la source, l'événement, ce qui est touché et la conséquence, ce qui rend ensuite l'analyse plus fiable.
Qui est le propriétaire d'un risque ?
La personne ou l'entité qui a la responsabilité du risque et l'autorité pour le gérer. En pratique, c'est le responsable de l'activité qui subirait la conséquence. ISO/IEC 27001 demande d'identifier les propriétaires des risques, et ce sont eux qui approuvent le plan de traitement et acceptent les risques résiduels.
Combien de risques faut-il identifier ?
La norme ne fixe aucun nombre. Un registre utile contient les risques que quelqu'un est capable de suivre et de revoir : mieux vaut regrouper les scénarios voisins que multiplier les lignes. Un registre que personne ne relit ne protège de rien.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- ISO/IEC 27005:2022, Sécurité de l'information, cybersécurité et protection de la vie privée : préconisations pour la gestion des risques liés à la sécurité de l'information (4e édition), ISO, octobre 2022.
- ISO/IEC 27005:2022, aperçu public : domaine d'application, termes et définitions, sommaire, ISO, plateforme de consultation en ligne.
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information : exigences, ISO, octobre 2022.
- ISO 31000:2018, Management du risque : lignes directrices, ISO, février 2018.
- Quel est le lien entre EBIOS RM et l'ISO 27005 ?, Club EBIOS, octobre 2022.
- EBIOS Risk Manager, le guide (version 1.5), ANSSI.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.