ISO 27005 — Gestion des risques de sécurité de l'information

Définition

La norme ISO/IEC 27005, dans sa version révisée de 2022, fournit des lignes directrices méthodologiques pour la gestion des risques de sécurité de l'information, conçues spécifiquement en support à la mise en œuvre effective d'un Système de Management de la Sécurité de l'Information conforme à la norme ISO 27001, dont elle détaille et opérationnalise concrètement l'exigence générique d'analyse et de traitement des risques. La version 2022 s'aligne explicitement sur la norme ISO 31000, référentiel générique de management des risques applicable à tout domaine au-delà de la seule sécurité de l'information, et introduit des concepts affinés pour structurer le traitement des risques identifiés, en cohérence terminologique avec la structure révisée de l'Annexe A d'ISO 27001:2022. Le processus décrit couvre méthodiquement plusieurs étapes successives : l'établissement du contexte organisationnel et des critères d'évaluation du risque propres à l'organisation, l'identification des risques par le croisement systématique des actifs informationnels à protéger, des menaces plausibles pesant sur eux et des vulnérabilités effectivement exploitables, l'analyse et l'évaluation permettant de prioriser ces risques selon leur probabilité et leur impact estimés, puis le traitement du risque par acceptation, réduction, transfert ou évitement, chaque option devant être documentée et justifiée. Contrairement à ISO 27001, la norme ISO 27005 n'est pas certifiable en elle-même.