Actions face aux risques et opportunités (ISO 27001)

Définition

Les actions face aux risques et opportunités, prévues par la clause 6.1 de la norme ISO 27001, imposent à l'organisation de déterminer, lors de la planification de son système de management de la sécurité de l'information, les risques et opportunités qui doivent être traités pour garantir que le système peut atteindre les résultats attendus, prévenir ou réduire les effets indésirables, et parvenir à une amélioration continue de la performance. Cette clause structure l'articulation entre l'analyse du contexte de l'organisme, réalisée en amont, et le processus d'appréciation et de traitement des risques de sécurité de l'information proprement dit, qui en constitue la déclinaison spécifique la plus développée dans la norme. Elle exige également que les actions retenues pour traiter ces risques et opportunités soient intégrées et mises en œuvre dans les processus du système de management, et que leur efficacité soit évaluée dans la durée plutôt que traitée comme un exercice ponctuel réalisé une seule fois lors de la mise en place initiale du système. La notion d'opportunité, souvent moins développée en pratique que celle de risque, invite l'organisation à identifier également les situations où un investissement en sécurité de l'information pourrait générer un avantage compétitif, par exemple en facilitant l'accès à des marchés exigeant un haut niveau de garantie de la part de leurs fournisseurs, plutôt que d'aborder la sécurité uniquement sous l'angle défensif de la réduction des menaces.