Étape 5 · ISO/IEC 27005:2022, article 8
Plan de traitement des risques ISO 27005 : des options à l’acceptation
Le traitement transforme une liste de risques classés en décisions et en actions. L'article 8 de la norme suit pas à pas la clause 6.1.3 d'ISO/IEC 27001 : choisir une option, déterminer les mesures, les comparer à l'annexe A, produire la déclaration d'applicabilité, établir le plan, puis le faire approuver par les propriétaires des risques, qui acceptent ce qui reste.
- Article
- 8, Processus de traitement des risques
- Participants
- Propriétaires des risques, RSSI, DSI, direction
- Livrables
- Déclaration d'applicabilité, plan de traitement, risques résiduels acceptés
Chapitres du guide
En bref
-
L'article 8 enchaîne cinq activités : choisir les options de traitement (8.2), déterminer toutes les mesures nécessaires (8.3), les comparer à l'annexe A d'ISO/IEC 27001 (8.4), produire la déclaration d'applicabilité (8.5) et établir le plan de traitement (8.6).
-
Quatre options existent : réduire le risque par des mesures, l'éviter, le partager avec un tiers ou le conserver en connaissance de cause. Elles se combinent.
-
La comparaison à l'annexe A sert de filet : elle vérifie qu'aucune mesure nécessaire n'a été oubliée. Elle n'oblige pas à retenir les 93 mesures.
-
Le plan est approuvé par les propriétaires des risques (8.6.2), qui acceptent les risques résiduels (8.6.3). Depuis l'édition 2022, l'acceptation est la conclusion du traitement.
-
Un risque résiduel au-dessus des critères n'est pas interdit : il demande une décision explicite, motivée et signée au bon niveau.
Choisir une option de traitement
Pour chaque risque à traiter, le propriétaire choisit une ou plusieurs options (paragraphe 8.2). La norme en décrit quatre ; les libellés varient selon les éditions et les traductions, l'idée reste la même.
| Option | Ce que cela veut dire | Exemple | À surveiller |
|---|---|---|---|
| Réduire (modifier le risque) | Mettre en place ou renforcer des mesures qui diminuent la vraisemblance ou les conséquences | Double authentification, segmentation, sauvegardes hors ligne | L'efficacité réelle de la mesure, à vérifier |
| Éviter | Renoncer à l'activité ou à la pratique qui crée le risque, ou en supprimer la source | Supprimer un accès distant permanent | Le risque nouveau que crée parfois l'alternative |
| Partager | Faire porter une partie du risque par un tiers : assurance, contrat, sous-traitance | Assurance cyber, clause de responsabilité | La responsabilité reste à l'organisation ; le tiers devient lui-même une source de risque |
| Conserver | Garder le risque en l’état, par une décision éclairée | Risque faible, coût de traitement disproportionné | La décision doit être tracée et revue |
Déterminer les mesures, puis les comparer à l’annexe A
Le paragraphe 8.3 demande de déterminer toutes les mesures nécessaires pour mettre en œuvre les options choisies. Elles peuvent venir de n'importe quelle source : l'annexe A d'ISO/IEC 27001, détaillée par ISO/IEC 27002, un référentiel sectoriel, les guides de l'ANSSI, ou des mesures conçues pour votre cas. On part du risque pour arriver à la mesure, pas l'inverse.
Le paragraphe 8.4 demande ensuite de comparer ces mesures à celles de l'annexe A d'ISO/IEC 27001:2022. C'est l'exigence de la clause 6.1.3 c) : s'assurer qu'aucune mesure nécessaire n'a été omise. L'annexe A joue le rôle d'une liste de contrôle. Si une de ses 93 mesures répond à un risque que vous aviez sous-estimé, vous l'ajoutez ; si elle ne répond à aucun de vos risques ni à aucune de vos obligations, vous l'excluez en le justifiant.
La déclaration d’applicabilité
Le paragraphe 8.5 porte sur la déclaration d'applicabilité (DdA), document exigé par ISO/IEC 27001. Elle liste les mesures nécessaires, justifie leur inclusion, indique si elles sont mises en œuvre et justifie l'exclusion des mesures de l'annexe A qui ne sont pas retenues. Elle se déduit du traitement des risques : une DdA rédigée avant l'appréciation, en cochant l'annexe A, inverse la logique que l'auditeur vérifie. Notre chapitre Déclaration d'applicabilité la décrit en détail.
Établir le plan de traitement des risques
Le paragraphe 8.6 traite du plan : sa formulation (8.6.1), son approbation par les propriétaires des risques (8.6.2) et l'acceptation des risques résiduels (8.6.3). Le plan dit, pour chaque risque à traiter, ce qui sera fait, par qui et pour quand.
| Rubrique | Contenu |
|---|---|
| Risque visé | Référence et rappel du scénario, niveau actuel |
| Option | Réduire, éviter, partager, conserver, ou une combinaison |
| Mesures | Actions à mener, avec leur lien éventuel vers l’annexe A |
| Responsable et échéance | Une personne nommée, une date, les moyens alloués |
| Risque résiduel attendu | Conséquences, vraisemblance et niveau estimés une fois les mesures en place |
| Suivi | État d'avancement, preuve de réalisation, façon de vérifier l'efficacité |
Un plan réaliste classe les actions : celles qui réduisent beaucoup le risque pour un effort modéré passent d'abord. Tant qu'une mesure n'est pas en place, le risque reste à son niveau initial ; le plan doit donc dire ce qui est fait dans l'intervalle, par exemple une mesure provisoire ou une surveillance renforcée.
Approuver le plan et accepter les risques résiduels
Le risque résiduel est celui qui subsiste après traitement. On l'estime avec les mêmes échelles que le risque initial, puis on le compare aux critères d'acceptation. ISO/IEC 27001 (clause 6.1.3 f) demande d'obtenir des propriétaires des risques l'approbation du plan et l'acceptation des risques résiduels.
- L'approbation du plan engage le propriétaire sur les moyens : budget, disponibilité des équipes, contraintes acceptées par son activité.
- L'acceptation du risque résiduel est une décision distincte : le propriétaire reconnaît ce qui restera une fois le plan réalisé, et l'assume.
- Si le risque résiduel dépasse les critères, deux voies : compléter le traitement, ou l'accepter par dérogation, au niveau hiérarchique prévu par les critères, avec un motif et une date de revue.
- Tout est écrit : qui a accepté quoi, quand, sur la base de quelles informations. C'est l'information documentée que l'auditeur demandera.
Fil rouge : le plan de traitement de Mécanique Vauclair
| Réf. | Option | Mesures | Risque résiduel | Décision |
|---|---|---|---|---|
| R1 Rançongiciel par la télémaintenance | Réduire, partager | Accès de télémaintenance ouverts à la demande, comptes nominatifs avec double authentification ; séparation des réseaux atelier et bureautique ; sauvegardes hors ligne testées chaque trimestre ; assurance cyber | Conséquences 3, vraisemblance 2 : 6, moyen | Accepté par le comité de direction, revue annuelle |
| R2 Vol des plans d’un client | Réduire | Accès aux plans limité aux dessinateurs du projet ; double authentification sur la messagerie ; sensibilisation à l'hameçonnage | Conséquences 4, vraisemblance 1 : 4, moyen | Accepté par le comité de direction |
| R3 Erreur d’administration sur le progiciel | Réduire | Procédure de changement avec sauvegarde et test préalables ; environnement de recette | Conséquences 2, vraisemblance 1 : 2, faible | Accepté par le DSI |
Questions fréquentes
Qu'est-ce qu'un plan de traitement des risques ?
C'est le document qui dit, pour chaque risque à traiter, quelle option est retenue, quelles mesures seront mises en place, par qui, pour quand et avec quel risque résiduel attendu. ISO/IEC 27001 l'exige (clause 6.1.3 e), et ISO/IEC 27005 décrit sa formulation, son approbation par les propriétaires des risques et l'acceptation des risques résiduels.
Quelles sont les options de traitement des risques ?
Il y en a quatre : réduire le risque en mettant en place des mesures, l'éviter en renonçant à l'activité ou en supprimant sa source, le partager avec un tiers par un contrat ou une assurance, ou le conserver par une décision éclairée. Plusieurs options peuvent se combiner pour un même risque.
Faut-il appliquer toutes les mesures de l'annexe A ?
Non. Les mesures se déterminent à partir du traitement des risques. L'annexe A d'ISO/IEC 27001 sert ensuite à vérifier qu'aucune mesure nécessaire n'a été omise. Une mesure de l'annexe A peut être exclue, à condition de le justifier dans la déclaration d'applicabilité.
Qui accepte les risques résiduels ?
Les propriétaires des risques. ISO/IEC 27001 demande d'obtenir leur approbation du plan de traitement et leur acceptation des risques résiduels. Lorsque le risque résiduel dépasse les critères d'acceptation, la décision remonte au niveau prévu par ces critères, souvent la direction, et elle est motivée par écrit.
Peut-on accepter un risque supérieur aux critères ?
Oui, par une décision explicite. Les critères d'acceptation peuvent prévoir qu'un risque au-dessus du seuil soit accepté par un niveau hiérarchique plus élevé, pour une durée limitée ou avec un engagement de traitement ultérieur. Ce qui n'est pas acceptable, c'est un risque gardé sans que personne ne l'ait décidé.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- ISO/IEC 27005:2022, Sécurité de l'information, cybersécurité et protection de la vie privée : préconisations pour la gestion des risques liés à la sécurité de l'information (4e édition), ISO, octobre 2022.
- ISO/IEC 27005:2022, aperçu public : domaine d'application, termes et définitions, sommaire, ISO, plateforme de consultation en ligne.
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information : exigences, ISO, octobre 2022.
- ISO/IEC 27002:2022, Mesures de sécurité de l'information, ISO, février 2022.
- ISO 31000:2018, Management du risque : lignes directrices, ISO, février 2018.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.