ISO 27005 — Gestion des risques de sécurité de l'information

Définition

La norme ISO/IEC 27005:2022 fournit des lignes directrices pour la gestion des risques de sécurité de l'information, en support à l'implémentation d'un SMSI selon ISO 27001. La version 2022 est alignée avec ISO 31000 (management des risques) et introduit des concepts améliorés pour le traitement des risques. Le processus couvre l'établissement du contexte, l'identification des risques (assets, menaces, vulnérabilités, impacts), l'analyse des risques (évaluation de la vraisemblance et de l'impact), l'évaluation par rapport à des critères d'acceptabilité définis, et le traitement : réduction (implémentation de contrôles), maintien (acceptation du risque résiduel), transfert (assurance, externalisation), ou évitement. ISO 27005 est agnostique quant à la méthode d'analyse de risques : elle est compatible avec EBIOS RM, MEHARI, OCTAVE, ou des approches propriétaires. La documentation des risques identifiés, de leur traitement et du risque résiduel accepté constitue des inputs essentiels pour la Déclaration d'Applicabilité (SoA) ISO 27001.