ISO 27005 Gestion des Risques

Processus de gestion des risques ISO 27005:2022

L'ISO 27005:2022 structure la gestion des risques en 5 phases interdépendantes : (1) Établissement du contexte — définition des critères de risque (critères d'acceptation, critères d'évaluation), du périmètre, des rôles et du processus ; (2) Évaluation des risques — identification (quels événements peuvent se produire, leurs causes et conséquences), analyse (estimation de la vraisemblance et de l'impact), et évaluation (comparaison avec les critères d'acceptation) ; (3) Traitement des risques — sélection et planification des options de traitement ; (4) Communication et consultation — partage des informations sur les risques avec les parties prenantes ; (5) Surveillance et révision — monitoring de l'efficacité du traitement.

La norme 2022 innove en proposant deux approches complémentaires pour l'identification des risques : l'approche basée sur les actifs (identification des actifs, puis des menaces et vulnérabilités pesant sur eux) et l'approche basée sur les événements (identification directe des scénarios de risque réalistes, sans passer par l'inventaire détaillé des actifs). L'approche scénario est plus adaptée à l'identification des risques cyber émergents.

Options de traitement des risques

ISO 27005 reconnaît 4 options de traitement des risques, compatibles avec ISO 27001 : Modification (réduction par mise en place de contrôles), Rétention (acceptation si le risque est dans les critères d'acceptation), Évitement (suppression de l'activité générant le risque), et Partage (transfert via assurance ou contrat). La combinaison de ces options est souvent la plus efficace.

Le Plan de Traitement des Risques (PTR) documente pour chaque risque retenu : l'option de traitement choisie, les contrôles ISO 27002 ou autres sélectionnés, les ressources nécessaires, les délais, et les responsables. Ce plan est soumis à l'approbation des propriétaires des risques (risk owners) et constitue l'un des livrables principaux du processus d'évaluation des risques ISO 27001.

Articulation avec EBIOS Risk Manager

En France, EBIOS Risk Manager (ANSSI, 2018) est la méthode nationale de référence pour l'évaluation des risques SSI, utilisée pour les systèmes de l'État et fortement recommandée pour les OIV et entités NIS2. EBIOS RM est compatible avec ISO 27005 : les deux normes partagent les mêmes principes de gestion des risques, et EBIOS RM peut être utilisé comme implémentation d'ISO 27005 dans le cadre d'une certification ISO 27001.

Des outils supportent l'ISO 27005 et EBIOS RM : eBios (outil ANSSI gratuit), Piloter.org, AGILE Risk Manager, RSAM, et des modules spécialisés dans les GRC tools (Archer, ServiceNow, OneTrust). La documentation des résultats de l'évaluation des risques dans un outil dédié facilite la traçabilité et les révisions annuelles.