Qu'est-ce qu'une évaluation des risques dans l'ISO 27001 ?

Présentation générale

Une évaluation des risques dans l'ISO 27001 est le processus systématique consistant à identifier les risques liés à la sécurité de l'information, à analyser leur impact potentiel et leur probabilité, et à les évaluer pour déterminer ceux qui nécessitent un traitement. Elle constitue le fondement du SMSI en garantissant que les mesures de sécurité répondent aux menaces réelles pesant sur votre organisation, et non à des préoccupations imaginaires ou génériques.

Ce que cela signifie en pratique

L'évaluation des risques répond à trois questions critiques :

• Qu'est-ce qui peut mal tourner ? (Identification des menaces et des vulnérabilités)

• Quelle en serait la gravité ? (Évaluation de l'impact)

• Quelle est la probabilité que cela arrive ? (Évaluation de la probabilité)

Sur la base de ces réponses, vous priorisez les risques nécessitant des contrôles et justifiez votre sélection de mesures auprès des auditeurs.

Pourquoi l'évaluation des risques est-elle importante pour l'ISO 27001 ?

Exigence fondamentale de la norme

La clause 6.1.2 de l'ISO 27001 exige explicitement que les organisations « définissent et appliquent un processus d'évaluation des risques de sécurité de l'information ». Vous ne pouvez pas obtenir la certification sans des évaluations des risques documentées et exécutées.

Justifie la sélection des contrôles

Votre Déclaration d'Applicabilité (SoA) doit expliquer pourquoi vous avez inclus ou exclu chaque mesure de l'Annexe A. L'évaluation des risques fournit cette justification : les mesures sont sélectionnées pour répondre aux risques identifiés.

Assure une allocation appropriée des ressources

En quantifiant les risques, vous investissez vos ressources de sécurité là où elles comptent le plus, plutôt que de les répartir de manière égale dans tous les domaines.

Démontre la diligence raisonnable

Pour les régulateurs, les clients et les tribunaux, une évaluation des risques documentée montre que vous avez systématiquement identifié et traité vos obligations de sécurité.

Composantes de l'évaluation des risques ISO 27001

Méthodologie d'évaluation des risques

L'ISO 27001 vous demande de définir et de documenter la manière dont vous effectuerez les évaluations de risques, notamment :

• Critères de risque : Comment vous évaluerez la gravité du risque (ex: matrice des risques, système de notation)

• Critères d'acceptation des risques : Seuils déterminant quels risques nécessitent un traitement par rapport à ceux qui sont acceptés

• Reproductibilité : Approche cohérente produisant des résultats comparables dans le temps

Identification des actifs

Répertoriez les actifs informationnels dans le périmètre de votre SMSI. Les actifs incluent :

• Informations : Données clients, dossiers financiers, propriété intellectuelle, dossiers des employés

• Systèmes : Applications, bases de données, services cloud, infrastructure réseau

• Physique : Serveurs, ordinateurs portables, supports de stockage, installations

• Services : Prestataires tiers, plateformes cloud, services managés

• Personnes : Personnel disposant de connaissances ou d'accès spécialisés

Identification des menaces

Identifiez les sources potentielles de dommages pour les actifs :

• Malveillantes : Hackers, rançongiciels, menaces internes, concurrents

• Accidentelles : Erreur humaine, mauvaise configuration, divulgation involontaire

• Environnementales : Incendie, inondation, panne de courant, catastrophes naturelles

• Techniques : Défaillance matérielle, bugs logiciels, limites de capacité

Identification des vulnérabilités

Trouvez les faiblesses que les menaces peuvent exploiter :

• Techniques : Logiciels non corrigés, mots de passe faibles, absence de chiffrement

• Physique : Portes non verrouillées, câbles exposés, manque de surveillance

• Organisationnelles : Absence de revue des accès, politiques manquantes, formation inadéquate

• Processus : Erreurs manuelles de saisie de données, absence de contrôle des changements, sauvegardes manquantes

Analyse d'impact

Évaluez les conséquences si un risque se concrétise, en tenant compte de :

• Impact sur la confidentialité : Divulgation non autorisée d'informations sensibles

• Impact sur l'intégrité : Modification ou destruction non autorisée d'informations

• Impact sur la disponibilité : Les informations ou les systèmes deviennent indisponibles en cas de besoin

Quantifiez l'impact à l'aide d'échelles telles que :

• Financier : Coûts directs, perte de revenus, amendes

• Opérationnel : Durée de l'interruption de service, perte de productivité

• Réputationnel : Perte de clients, dommages à la marque, attention médiatique

• Juridique/Réglementaire : Pénalités, poursuites, sanctions réglementaires

Évaluation de la probabilité

Estimez la probabilité de survenance du risque, en tenant compte de :

• Capacité de la menace : Quel est le niveau de compétence ou de motivation de la menace ?

• Contrôles existants : Quelles mesures d'atténuation sont déjà en place ?

• Gravité de la vulnérabilité : Est-il facile d'exploiter la faiblesse ?

• Données historiques : Cela s'est-il déjà produit auparavant, pour vous ou des organisations similaires ?

Évaluation du risque

Combinez l'impact et la probabilité pour calculer le niveau de risque et comparez-le aux critères d'acceptation. Approches communes :

• Matrice des risques : Placer les risques sur une grille probabilité × impact (ex: matrice 5×5)

• Note numérique : Multiplier les scores d'impact et de probabilité (ex: échelle de 1 à 5)

• Catégories qualitatives : Niveaux de risque Faible, Moyen, Élevé, Critique

Méthodologies courantes d'évaluation des risques

Évaluation qualitative

Utilise des catégories descriptives (Faible, Moyen, Élevé) plutôt que des chiffres. Plus rapide et plus intuitive mais moins précise.

Idéal pour : Petites et moyennes organisations, évaluations initiales, parties prenantes non techniques

Évaluation quantitative

Attribue des valeurs numériques à la probabilité et à l'impact, estimant souvent l'exposition financière. Plus précise mais nécessite plus de données et d'efforts.

Idéal pour : Grandes organisations, actifs de grande valeur, analyse coûts-avantages des mesures.

Évaluation semi-quantitative

Approche hybride utilisant des échelles numériques (1-5) mais avec une interprétation qualitative. Équilibre précision et aspect pratique.

Idéal pour : La plupart des organisations, bon équilibre entre rigueur et facilité d'utilisation

Évaluation basée sur des scénarios

Analyse des scénarios d'attaque ou des types d'incidents spécifiques plutôt que des paires individuelles actif-menace. Plus réaliste mais peut oublier des cas marginaux.

Idéal pour : Organisations ayant des programmes de sécurité matures, exercices de modélisation des menaces

Fréquence des évaluations de risques

Évaluation initiale des risques

Évaluation complète lors de la mise en œuvre du SMSI, couvrant tous les actifs et processus du périmètre.

Révisions planifiées

L'ISO 27001 exige des intervalles planifiés pour la réévaluation. Fréquences courantes :

• Annuelle : Mise à jour complète de l'évaluation des risques

• Trimestrielle : Examen des zones à haut risque ou des environnements changeant rapidement

• Semestrielle : Approche équilibrée pour les organisations stables

Réévaluations déclenchées

Effectuez des évaluations de risques ad hoc lors de :

• Changements organisationnels majeurs (fusions, nouveaux produits, expansion géographique)

• Survenue d'incidents de sécurité significatifs

• Apparition de nouvelles menaces (vulnérabilités zero-day, campagnes de rançongiciels)

• Changements des exigences réglementaires

• Déploiements de nouvelles technologies (migration cloud, nouvelles applications)

• Constats d'audit identifiant des lacunes

Documenter l'évaluation des risques

Document de méthodologie d'évaluation des risques

Décrit votre approche, y compris les critères de risque, les échelles, les rôles et les procédures. Il s'agit d'une exigence d'information documentée obligatoire.

Résultats de l'évaluation des risques

Documente les risques identifiés, leur évaluation et les décisions prises. Comprend généralement :

• Inventaire des actifs

• Menaces et vulnérabilités identifiées

• Évaluations de l'impact et de la probabilité

• Scores ou niveaux de risque

• Attribution des propriétaires de risques

Registre des risques

Journal centralisé de tous les risques identifiés avec leur état actuel, les décisions de traitement et les responsables. Mis à jour au fur et à mesure que les risques changent ou que de nouveaux risques apparaissent.

Plan de traitement des risques

Lie chaque risque nécessitant un traitement à des mesures ou atténuations spécifiques, avec des calendriers de mise en œuvre et des responsabilités.

Lier l'évaluation des risques aux contrôles

Déclaration d'Applicabilité (SoA)

Votre Déclaration d'Applicabilité (SoA) liste les 93 mesures de l'Annexe A et explique leur inclusion ou exclusion. L'évaluation des risques fournit la justification : vous incluez les mesures qui traitent les risques identifiés et excluez celles pour les risques non applicables à votre organisation.

Logique de sélection des contrôles

Pour chaque risque nécessitant un traitement :

1. Identifier les contrôles de l'Annexe A qui pourraient réduire le risque

2. Sélectionner les contrôles appropriés en fonction de leur efficacité et de leur faisabilité

3. Envisager des contrôles supplémentaires au-delà de l'Annexe A si nécessaire

4. Documenter la justification dans votre SoA

Acceptation du risque résiduel

Après la mise en œuvre des contrôles, réévaluez les risques pour déterminer les niveaux de risques résiduels. La direction doit formellement accepter les risques résiduels qui restent élevés ou que vous choisissez de ne pas traiter.

Erreurs courantes d'évaluation des risques

Utiliser des modèles génériques sans personnalisation

Copier un registre des risques trouvé sur Internet sans l'adapter à vos actifs, menaces et contexte réels. Les auditeurs le repèrent immédiatement.

Méthodologies trop complexes

Développer des formules de notation ou des processus élaborés qu'il est impossible de maintenir de manière cohérente. La complexité n'est pas synonyme de conformité.

Évaluer les risques une seule fois puis oublier

Traiter l'évaluation des risques comme un projet ponctuel lors de la mise en œuvre plutôt que comme un processus continu. Les risques évoluent et les évaluations doivent suivre le rythme.

Ignorer le contexte commercial

Se concentrer uniquement sur les menaces techniques tout en oubliant les risques commerciaux tels que les défaillances de fournisseurs, les changements réglementaires ou les dommages réputationnels.

Aucune attribution de propriétaire de risque

Oublier d'attribuer la responsabilité de chaque risque. L'ISO 27001 exige la propriété des risques pour garantir que quelqu'un est responsable de la surveillance et de la gestion de chaque risque.

Déconnexion avec la sélection des contrôles

L'évaluation des risques et la Déclaration d'Applicabilité ne sont pas alignées — des contrôles sont sélectionnés sans lien clair avec les risques identifiés, ou des risques élevés n'ont pas de mesures correspondantes.

Outils et techniques d'évaluation des risques

Ateliers et entretiens

Recueillez les avis des parties prenantes des différents départements pour identifier les actifs, les menaces et les vulnérabilités. Essentiel pour comprendre le contexte métier.

Outils de découverte d'actifs

Les scanners réseau, les inventaires d'actifs cloud et les bases de données de gestion de configuration aident à identifier systématiquement les actifs techniques.

Flux de veille sur les menaces (Threat Intelligence)

Les sources externes d'informations sur les menaces (ISAC sectoriels, rapports de fournisseurs, avis gouvernementaux) éclairent les évaluations de probabilité.

Analyse de vulnérabilités

Des outils automatisés identifient les vulnérabilités techniques des systèmes et des applications, alimentant l'évaluation des risques.

Résultats des tests d'intrusion

Les conclusions des tests de sécurité fournissent des preuves de vulnérabilités exploitables et aident à calibrer les notes de probabilité.

Historique des incidents

Les événements de sécurité passés de votre organisation et les incidents évités de justesse informent tant l'évaluation de la probabilité que celle de l'impact.

Évaluation assistée par l'IA

Des outils comme ISMS Copilot peuvent suggérer des menaces, vulnérabilités et contrôles pertinents en fonction de votre secteur, de votre taille et de votre pile technologique, accélérant ainsi l'évaluation initiale.

Présenter l'évaluation des risques à la direction

Résumé exécutif

Aperçu d'une page mettant en évidence les risques critiques, la posture globale en matière de risques et les recommandations clés. Concentrez-vous sur l'impact commercial, pas sur le jargon technique.

Carte thermique des risques (Heat map)

Représentation visuelle des risques positionnés sur une grille probabilité × impact. Rend la répartition des risques immédiatement apparente.

Top 10 des risques

Liste prioritaire des risques les plus élevés nécessitant une attention immédiate et des décisions d'investissement.

Analyse des tendances des risques

Montrez comment le profil de risque a évolué depuis la dernière évaluation — amélioration, stabilité ou détérioration.

Besoins en ressources

Traduisez les décisions de traitement des risques en demandes budgétaires, besoins en effectifs et calendriers de projet.

Concepts associés

• Traitement des risques - Le processus de sélection et de mise en œuvre des contrôles pour traiter les risques identifiés

• Déclaration d'Applicabilité (SoA) - Document expliquant quelles mesures répondent à quels risques

• Actif - Éléments de valeur nécessitant une protection

• Menace - Causes potentielles d'incidents de sécurité

• Vulnérabilité - Faiblesses qui peuvent être exploitées

• Comment mener une évaluation des risques ISO 27001 avec l'IA

Obtenir de l'aide

Accélérez votre processus d'évaluation des risques avec ISMS Copilot. Générez des modèles d'évaluation des risques, identifiez les menaces et les vulnérabilités spécifiques à votre secteur et créez une documentation qui satisfera les auditeurs.