Sélectionnez votre langue
décrit les grandes lignes d'une gestion des risques dans une perspective de mise en place d'un SMSI : définition du contexte d'analyse, identification et évaluation des risques encourus, possibilités de traitement ou d'acceptation de ces derniers. Inhabituellement longue avec ses 77 pages, dont 26 pour la partie centrale1, elle introduit un processus d'appréciation des risques2 conforme à ISO 31000, sans pour autant proposer de méthode au sens strict.
Construite en cohérence avec le couple de standards ISO/CEI 27001 et ISO/CEI 27002 et reprenant le vocabulaire définit dans ISO/CEI 27000, la norme ISO/CEI 27005 peut néanmoins être utilisée de manière autonome dans différentes situations. La norme ISO/CEI 27005 utilise comme nombre de Systèmes de Management la logique d'amélioration continue PDCA (Plan, Do, Check, Act), sous la forme suivante :
La norme ISO/CEI 27005 détaille le processus de gestion de risque dans les chapitres 6 à 12. Elle est complétée de 6 annexes de référence A à F, nécessaires à la mise en œuvre de la méthode.
Il faut tout d’abord définir des critères :
Il n’existe pas d’échelles normalisées pour ces critères. L’entreprise doit déterminer une échelle pertinente en fonction de sa situation. Il faut également définir les champs, les limites et l’environnement du processus de gestion du risque.
La première étape consiste à définir le contexte de la certification et les éléments qui le composent tels que l’organisme, le système d’information, les éléments essentiels à protéger les entités qui en dépendent et les différentes contraintes qui peuvent se présenter.
Ensuite, il est nécessaire d’exprimer les besoins de sécurité des éléments essentiels et, identifier, caractériser en termes d’opportunités les menaces pesant sur le système d’information.
Enfin, les risques sont déterminés en confrontant les menaces aux besoins de sécurité. Ces risques seront analysés et évalués afin de donner des priorités et les ordonnancer par rapport à leurs critères d'évaluation.
Il s’agit du processus de sélection et de mise en œuvre des mesures. Cela passera tout d’abord par l’identification des objectifs de sécurité : détermination des modes de traitement et prise en compte des éléments du contexte. Les objectifs ainsi identifiés constitueront le cahier des charges du processus de traitement des risques. Ensuite, des exigences de sécurité seront déterminées afin de satisfaire les objectifs de sécurités et décrire comment traiter les risques.
Pour définir les options de traitement, il faut mettre en adéquation le risque et le coût de traitement. Il existe quatre options du traitement du risque :
Il s’agit d’une homologation de sécurité effectuée par une autorité d’homologation désignée pour une durée déterminée. Cette homologation passe par l’examen d’un dossier de sécurité dont le contenu doit être défini : objectifs de sécurité, d'une cible de sécurité, politique de sécurité… La direction générale doit accepter les risques résiduels, donc accepter le plan de traitement du risque dans son ensemble.
Il s’agit d’un échange et un partage régulier d’informations sur les risques entre le gestionnaire des risques, les décisionnaires et les parties prenantes concernant la gestion du risque. Cette communication du risque permet de :
Il faut s'assurer que le processus reste pertinent et adapté aux objectifs de sécurité des métiers de l'organisme. Il faut également identifier les changements nécessitant une réévaluation du risque ainsi que les nouvelles menaces et vulnérabilités.