Étape 6 · ISO/IEC 27005:2022, articles 9 et 10
Surveillance et revue des risques ISO 27005 : faire vivre l’analyse
Une appréciation des risques vieillit dès qu'elle est validée : les systèmes changent, les menaces aussi, et les mesures prévues ne sont pas toutes réalisées à temps. Les articles 9 et 10 de la norme traitent de ce qui se passe après : refaire l'appréciation au bon moment, appliquer le plan, garder des traces, communiquer, surveiller.
- Articles
- 9, Fonctionnement ; 10, Tirer parti des processus du SMSI
- Participants
- RSSI, propriétaires des risques, direction, audit interne
- Livrables
- Appréciations à jour, preuves, indicateurs, comptes rendus de revue
Chapitres du guide
En bref
-
L'article 9 porte sur le fonctionnement : réaliser l'appréciation et le traitement des risques dans la durée. Il répond aux clauses 8.2 et 8.3 d'ISO/IEC 27001.
-
ISO/IEC 27001 demande de refaire l'appréciation à intervalles planifiés et lorsque des changements significatifs sont prévus ou se produisent.
-
L'article 10 relie la gestion des risques aux autres processus du système de management : contexte, direction, communication et concertation (10.3), information documentée (10.4), surveillance et revue, revue de direction, actions correctives, amélioration continue.
-
Surveiller, c'est suivre trois choses : l'avancement du plan, l'efficacité des mesures et les signaux qui modifient un risque.
-
Sans trace écrite, une décision n'existe pas pour l'auditeur : critères, résultats des appréciations, plan, acceptations se conservent.
Quand refaire l’appréciation des risques
ISO/IEC 27001 (clause 8.2) demande de réaliser les appréciations des risques à intervalles planifiés, ou quand des changements significatifs sont prévus ou ont lieu, en tenant compte des critères établis. La norme ne fixe pas de fréquence : à vous de la planifier. Une pratique répandue consiste à prévoir une revue complète par an, alignée sur la revue de direction, et des mises à jour ciblées entre-temps.
| Changement | Exemple | Ce qu’il faut revoir |
|---|---|---|
| Nouveau système, nouveau projet | Mise en service d’un outil en ligne, nouvelle machine connectée | Identification et analyse sur le périmètre concerné |
| Changement chez un tiers | Nouveau prestataire, changement d’hébergeur | Scénarios qui passent par ce tiers, exigences contractuelles |
| Incident ou quasi-incident | Tentative d’intrusion détectée, erreur évitée de peu | Vraisemblance des scénarios voisins, efficacité des mesures |
| Évolution de la menace | Vague d’attaques visant le secteur | Vraisemblance, priorités de traitement |
| Nouvelle obligation | Nouvelle réglementation, nouveau contrat | Exigences des parties intéressées, échelle de conséquences |
| Changement d’organisation | Fusion, nouveau site, départ d’un propriétaire de risque | Périmètre, propriétaires, parfois les critères |
C'est ici que se retrouvent les deux cycles présentés en introduction : le cycle stratégique revoit le contexte et les critères, le cycle opérationnel met à jour les scénarios et les niveaux.
Appliquer le plan et vérifier que les mesures fonctionnent
ISO/IEC 27001 (clause 8.3) demande de mettre en œuvre le plan de traitement et d'en conserver les résultats. Un risque ne baisse pas le jour où le plan est approuvé, mais le jour où la mesure est en place et fonctionne.
- Suivre l'avancement. Chaque action a un responsable, une échéance et un état. Les retards remontent au propriétaire du risque, qui décide : relancer, réaffecter des moyens ou accepter temporairement le risque au niveau initial.
- Vérifier l'efficacité. Une sauvegarde se teste par une restauration, une séparation de réseaux par un essai de franchissement, une sensibilisation par un exercice. Un contrôle récurrent transforme cette vérification en routine.
- Mettre à jour le niveau de risque. Une fois la mesure vérifiée, le risque passe de son niveau initial au niveau résiduel prévu, et pas avant.
- Regarder les signaux. Journaux, alertes, rapports d'incidents, bulletins des agences : ce sont eux qui disent qu'un scénario devient plus vraisemblable.
Ces indicateurs alimentent le tableau de bord de la sécurité et la revue de direction.
Documenter : ce qu’il faut conserver
Le paragraphe 10.4 de la norme porte sur l'information documentée. ISO/IEC 27001 demande de conserver des informations documentées sur le processus d'appréciation (6.1.2), sur le processus de traitement (6.1.3), sur les résultats des appréciations (8.2) et sur les résultats du traitement (8.3).
| Document | Contenu | Exigence d’ISO/IEC 27001 |
|---|---|---|
| Procédure de gestion des risques | Méthode, critères, échelles, rôles, fréquence | 6.1.2 et 6.1.3 |
| Registre des risques | Scénarios, propriétaires, niveaux, justification des notes | 8.2 |
| Déclaration d’applicabilité | Mesures retenues, justification, état de mise en œuvre, exclusions | 6.1.3 d) |
| Plan de traitement | Actions, responsables, échéances, risques résiduels attendus | 6.1.3 e), 8.3 |
| Décisions d’acceptation | Qui a accepté quel risque résiduel, quand, pour combien de temps | 6.1.3 f) |
Communiquer et se concerter
Le paragraphe 10.3 traite de la communication et de la concertation. Dans ISO 31000, c'est une activité qui accompagne toutes les étapes du processus, et non une restitution finale. Elle a deux fonctions : recueillir ce que savent ceux qui vivent les risques, et faire comprendre les décisions à ceux qui devront les appliquer.
- Avec les métiers, pendant l'identification et l'analyse : ce sont eux qui connaissent les conséquences réelles.
- Avec la direction, à l'évaluation et à l'acceptation : elle arbitre et assume.
- Avec les équipes techniques, pendant le traitement : elles disent ce qui est faisable et dans quel délai.
- Avec les tiers, quand un risque passe par eux : prestataires, clients, parfois autorités.
L'article 10 rattache aussi la gestion des risques au reste du système de management : revue de direction, traitement des non-conformités, amélioration continue. Si vous construisez un SMSI, notre guide ISO 27001 montre comment ces pièces s'assemblent.
Fil rouge : un an plus tard chez Mécanique Vauclair
Questions fréquentes
À quelle fréquence faut-il refaire l'appréciation des risques ?
Ni ISO/IEC 27005 ni ISO/IEC 27001 ne fixent de fréquence. ISO/IEC 27001 demande de réaliser les appréciations à intervalles planifiés et lorsque des changements significatifs sont prévus ou se produisent. Une revue annuelle complète, complétée par des mises à jour quand un système, un prestataire ou la menace change, est une pratique répandue.
Quels documents un auditeur ISO 27001 demandera-t-il sur les risques ?
La description du processus d'appréciation et de traitement avec ses critères, les résultats des appréciations, la déclaration d'applicabilité, le plan de traitement et la preuve que les propriétaires des risques ont approuvé le plan et accepté les risques résiduels. ISO/IEC 27001 exige des informations documentées sur chacun de ces points.
Que faire quand une mesure du plan prend du retard ?
Le dire au propriétaire du risque. Tant que la mesure n'est pas en place, le risque reste à son niveau initial. Le propriétaire décide alors de réaffecter des moyens, de mettre en place une mesure provisoire ou d'accepter temporairement le risque, et cette décision est tracée.
Quelle différence entre surveillance et revue ?
La surveillance est continue : on suit l'avancement du plan, l'efficacité des mesures et les signaux qui modifient un risque. La revue est un rendez-vous planifié : on réexamine le contexte, les critères, les risques et les décisions d'acceptation, et on décide des ajustements.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- ISO/IEC 27005:2022, Sécurité de l'information, cybersécurité et protection de la vie privée : préconisations pour la gestion des risques liés à la sécurité de l'information (4e édition), ISO, octobre 2022.
- ISO/IEC 27005:2022, aperçu public : domaine d'application, termes et définitions, sommaire, ISO, plateforme de consultation en ligne.
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information : exigences, ISO, octobre 2022.
- ISO 31000:2018, Management du risque : lignes directrices, ISO, février 2018.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.