ISO 27005 et ISO 27001 : qui exige quoi, et la place d’ISO 31000

Pour une présentation de chacune, voyez nos articles ISO 27005 et ISO 31000, et notre guide ISO 27001.

Le domaine d'application d'ISO/IEC 27005 annonce son premier objectif : aider à satisfaire aux exigences d'ISO/IEC 27001 relatives aux actions face aux risques. Le tableau suivant relie chaque exigence à la partie de la norme qui l'éclaire et au chapitre de ce guide.

• Le processus est défini : une procédure décrit la méthode, les critères, les rôles et la fréquence.
• Les critères précèdent les résultats : ils ont été validés avant l'appréciation, pas ajustés après.
• Les résultats sont reproductibles : les notes sont justifiées, deux analyses du même périmètre aboutissent à des conclusions voisines.
• Chaque risque a un propriétaire qui a approuvé le plan et accepté le risque résiduel, avec une trace datée.
• La déclaration d'applicabilité découle des risques : chaque mesure retenue se rattache à un risque ou à une obligation, chaque exclusion est justifiée.
• L'appréciation est à jour : elle a été refaite au rythme prévu et après les changements importants.

Le chapitre Audit ISO 27001 du guide ISO 27001 décrit le déroulement de l'audit et les constats les plus courants.

ISO 31000:2018 donne des lignes directrices pour le management du risque dans toute organisation et pour tout type de risque : financier, juridique, industriel, numérique. Elle s'organise en trois parties : des principes, un cadre organisationnel qui ancre le management du risque dans la gouvernance, et un processus. Elle définit le risque comme l'effet de l'incertitude sur les objectifs.

Ce qu'ISO/IEC 27005 ajoute tient au domaine : les risques s'expriment en perte de confidentialité, d'intégrité et de disponibilité, l'identification se fait par événements ou par actifs, et le traitement débouche sur les documents qu'exige ISO/IEC 27001. L'intérêt pratique de cette filiation est de parler le même langage que la gestion des risques de l'entreprise : mêmes mots, mêmes étapes, et des échelles que l'on peut rapprocher. Notre article sur le métier de risk manager montre comment les deux fonctions travaillent ensemble.

Le processus d'ISO/IEC 27005 n'est pas isolé. L'ENISA, dans son analyse des normes de gestion des risques, retient ISO 31000 et ISO/IEC 27005 comme les plus pertinentes, et son cadre d'interopérabilité européen rapproche les méthodes nationales des étapes d'identification, d'analyse, d'évaluation et de traitement d'ISO/IEC 27005. Aux États-Unis, le guide SP 800-30 du NIST organise l'appréciation des risques en quatre temps : préparer, conduire, communiquer les résultats, maintenir. Les mots diffèrent, la logique est la même.

Les textes européens ne citent pas ISO/IEC 27005, mais ils demandent ce qu'elle aide à produire. La directive NIS 2 impose des mesures fondées sur une approche « tous risques », dont des politiques d'analyse des risques. Le règlement DORA exige des entités financières un cadre de gestion du risque lié aux technologies de l'information et de la communication qui soit documenté et réexaminé au moins une fois par an. Un processus écrit, des critères validés et une réappréciation planifiée répondent à ces attentes, sans valoir à eux seuls conformité. Voir nos guides NIS 2 et DORA.

En France, la méthode de référence est EBIOS Risk Manager. Le chapitre suivant montre comment elle s'inscrit dans ISO/IEC 27005.