Appréciation des risques de sécurité de l'information

Définition

L'appréciation des risques de sécurité de l'information, exigée par la clause 8.2 de la norme ISO 27001 et détaillée méthodologiquement par la norme ISO 27005, désigne le processus par lequel une organisation identifie, analyse et évalue les risques susceptibles d'affecter la confidentialité, l'intégrité ou la disponibilité de ses actifs informationnels, à intervalles planifiés ou lorsque des changements significatifs surviennent, conformément au processus défini lors de la planification du système de management. Ce processus se décompose classiquement en trois étapes : l'identification des risques, consistant à recenser les scénarios de risque pertinents pour l'organisation en croisant les actifs, les menaces et les vulnérabilités concernées, l'analyse des risques, consistant à estimer leur vraisemblance d'occurrence et leur gravité potentielle selon une échelle définie au préalable, et l'évaluation des risques, consistant à comparer les niveaux de risque obtenus aux critères d'acceptation du risque définis par l'organisation pour déterminer lesquels doivent faire l'objet d'un traitement prioritaire. Le résultat de cette appréciation alimente directement le plan de traitement des risques et la sélection des contrôles retenus dans la déclaration d'applicabilité. La qualité et le réalisme de cette appréciation conditionnent l'ensemble de la pertinence du système de management, une appréciation trop générique ou déconnectée du contexte réel de l'organisation conduisant fréquemment à des contrôles mal ciblés.