L’appréciation des risques est le moment où la plupart des projets ISO 27001 s’enlisent, et c’est aussi là que l’on voit si le système de management a été construit pour de vrai ou seulement sur le papier. Beaucoup d’organisations passent des semaines à remplir un tableur gigantesque, rempli de dizaines de menaces théoriques et de scores attribués au jugé, puis se présentent à l’audit avec un document que personne n’utilise et qui n’explique pas pourquoi certains contrôles ont été retenus et d’autres écartés.
Dans cet article, nous revenons sur ce qu’est l’appréciation des risques selon l’ISO 27001, sur les raisons pour lesquelles elle conditionne le reste du système, sur la méthode à privilégier et sur la façon de la mener étape par étape.
Qu’est-ce que l’appréciation des risques dans l’ISO 27001 ?
L’appréciation des risques est le processus par lequel une organisation identifie les risques qui pèsent sur la sécurité de son information et détermine leur probabilité et leur impact. Autrement dit : reconnaître ce qui peut mal tourner, avec quelle probabilité cela se produirait et quelles conséquences cela aurait sur la confidentialité, l’intégrité et la disponibilité de l’information.
L’article 6.1.2 de l’ISO 27001 impose de définir un processus d’appréciation des risques, de l’appliquer de façon cohérente et de conserver l’information documentée à titre de preuve. La norme ne la présente pas comme une tâche ponctuelle : elle exige de la répéter à intervalles planifiés et à chaque fois que surviennent des changements notables dans l’organisation ou dans son environnement.
Il convient de clarifier trois termes que l’on emploie souvent comme synonymes alors qu’ils ne le sont pas. L’analyse des risques est la phase où l’on estime la probabilité et l’impact de chaque risque. L’appréciation des risques est le processus complet, qui inclut cette analyse ainsi que la comparaison des résultats avec les critères d’acceptation afin de déterminer quels risques sont prioritaires. Et le traitement des risques est l’étape suivante, celle où l’on décide quoi faire de chacun d’eux.
Pourquoi l’appréciation des risques est-elle le point de départ du SMSI ?
L’ISO 27001 est une norme fondée sur le risque. Cela signifie que les contrôles mis en place par une entreprise ne proviennent pas d’une liste standard ni de l’imitation de la concurrence, mais de sa propre exposition. Deux organisations d’un même secteur peuvent aboutir à des dispositifs de contrôle très différents, tout simplement parce que leurs risques diffèrent.
Cette logique place l’appréciation à la base du système de management de la sécurité de l’information (SMSI). Ce sont ses résultats qui déterminent quels contrôles de l’Annexe A vous allez appliquer et lesquels vous justifierez par écrit d’écarter. Sans une appréciation solide, cette décision reste sans fondement, et l’auditeur le repère immédiatement.
Il existe par ailleurs une dépendance préalable à garder à l’esprit : on ne peut pas apprécier des risques portant sur des actifs que l’on ne connaît pas.
Approche qualitative ou quantitative : laquelle choisir ?
L’ISO 27001 n’impose aucune méthode particulière. Elle exige que celle-ci soit cohérente, reproductible et qu’elle produise des résultats comparables, mais laisse chaque organisation décider de son application. Dans la pratique, il existe deux grandes approches, et la plupart combinent des éléments des deux.
- Approche qualitative : elle évalue la probabilité et l’impact sur des échelles descriptives (par exemple de 1 à 5, ou faible/moyen/élevé) et les croise dans une matrice des risques. Elle est rapide à mettre en œuvre, facile à présenter à la direction et suffisante pour la plupart des PME.
- Approche quantitative : elle attribue des valeurs numériques et monétaires à la probabilité et à l’impact, en s’appuyant sur des données et des formules. Elle apporte davantage de précision et aide à justifier les investissements, mais elle exige un historique fiable et plus de temps de travail.
Comment réaliser une appréciation des risques ISO 27001 étape par étape ?
Même si la norme laisse une liberté méthodologique, les appréciations qui fonctionnent suivent presque toujours la même séquence. Ces six étapes structurent le travail et évitent de le laisser à moitié fait.
1. Inventoriez les actifs informationnels
Commencez par ce qu’il faut protéger. Passez en revue chaque catégorie (données, matériel, logiciels, services cloud et personnes disposant d’un accès) et cataloguez-la dans le périmètre du SMSI. Cette étape s’appuie directement sur l’inventaire des actifs : si vous l’avez déjà constitué, une bonne partie du travail est faite. Si vous partez de zéro, délimitez d’abord clairement le périmètre, car c’est lui qui indique ce qui entre dans l’inventaire et ce qui en reste exclu.
Chaque actif devrait être consigné avec un minimum d’informations utiles pour l’analyse ultérieure : ce qu’il est, qui en est le propriétaire et quel niveau de sensibilité présente l’information qu’il traite. C’est ce contexte qui vous permet ensuite d’estimer l’impact d’un risque avec discernement, et non au jugé.
L’erreur la plus courante ici consiste à se limiter au matériel en laissant de côté les SaaS souscrits par chaque équipe, alors que c’est précisément par là qu’entre le risque que personne ne surveille. Ce shadow IT n’apparaît pas tout seul : mieux vaut donc croiser l’inventaire avec les outils réellement utilisés et avec les dépenses récurrentes avant de le considérer comme clos.
2. Identifiez les menaces et les vulnérabilités
Pour chaque actif, demandez-vous ce qui peut mal tourner et quelle faiblesse le rendrait possible. Une menace est l’événement (vol, chiffrement par ransomware, erreur humaine, défaillance d’un fournisseur) et la vulnérabilité est la porte qui laisse passer cette menace (un ordinateur portable non chiffré, un logiciel non patché, un accès qui n’a pas été révoqué à temps). Il faut presque toujours les deux pour qu’un risque se concrétise : il est donc utile de relier chaque menace à la vulnérabilité précise qui l’active.
Inutile d’inventer des catalogues interminables. Concentrez-vous sur les scénarios réalistes pour votre type d’organisation et votre façon de travailler, et appuyez-vous sur les incidents que vous avez déjà connus ou qui sont fréquents dans votre secteur.
3. Analysez la probabilité et l’impact
C’est ici qu’intervient l’analyse des risques proprement dite. Attribuez à chaque risque un score pour la probabilité qu’il survienne et pour l’impact qu’il aurait s’il se produisait, en utilisant l’échelle que vous avez définie dans votre méthodologie. Gardez à l’esprit que l’impact n’est pas seulement économique : il peut aussi être réputationnel, juridique ou lié à la continuité d’activité.
La combinaison des deux scores donne le niveau de risque. Appliquez le même critère à tous les risques pour que les résultats soient comparables entre eux : c’est précisément ce qu’attend la norme d’une méthode cohérente.
4. Priorisez les risques à l’aide de la matrice
Aucune équipe ne dispose de ressources infinies : il faut donc décider à quels risques vous consacrez du temps et de l’argent, et lesquels peuvent passer au second plan. Croisez probabilité et impact dans une matrice des risques et confrontez le résultat à vos critères d’acceptation. Vous distinguez ainsi les risques qui exigent une action immédiate de ceux qui se situent dans un niveau acceptable.
La matrice est en outre le moyen le plus clair d’expliquer ces priorités à la direction, car elle traduit l’analyse en une carte visuelle où l’on repère d’un coup d’œil les points critiques. C’est ce soutien qui justifie ensuite l’investissement dans les contrôles et qui aide à ce que les décisions ne reposent pas uniquement sur le jugement de l’IT.
5. Définissez le traitement de chaque risque
Pour chaque risque au-dessus du seuil, décidez ce que vous allez en faire (nous le détaillons dans la section suivante) et désignez un propriétaire responsable de cette décision.
Lorsque vous appliquez un contrôle pour le réduire, il subsiste un risque résiduel : c’est le niveau qui demeure une fois la mesure mise en place, et qu’il faut lui aussi évaluer et accepter formellement. Toutes ces décisions sont ensuite consignées dans la Déclaration d’Applicabilité, qui relie chaque risque aux contrôles retenus pour le traiter.
6. Documentez et révisez à intervalles planifiés
Tout ce qui précède doit laisser une trace. L’auditeur voudra voir deux documents : le rapport d’appréciation des risques, avec les risques identifiés et leurs scores, et le plan de traitement des risques, avec l’option retenue et le responsable de chacun. Vous pouvez partir d’un modèle pour ne pas repartir de zéro, mais adaptez-le à votre réalité au lieu d’hériter de risques qui ne sont pas les vôtres.
Et ne la traitez pas comme un livrable à usage unique. Fixez une périodicité de révision et actualisez l’appréciation chaque fois qu’un élément notable change : un nouveau service, un incident, une réorganisation.
Les quatre options de traitement du risque
Une fois les risques priorisés, l’ISO 27001 prévoit quatre façons de répondre à chacun. Elles ne sont pas exclusives : un même risque peut être en partie réduit et accepté pour ce qu’il en reste.
- Réduire : appliquer des contrôles de sécurité qui diminuent la probabilité ou l’impact. C’est l’option la plus fréquente et celle qui se rattache à l’Annexe A.
- Accepter : assumer le risque de façon consciente et documentée lorsque son niveau se situe sous le seuil ou que le coût de son traitement dépasse le dommage potentiel.
- Transférer : reporter le risque sur un tiers, par exemple via une assurance ou en externalisant le service concerné.
- Éviter : supprimer la cause du risque en cessant l’activité qui le génère.
Exemple concret : un registre des risques ISO 27001
Voici à quoi ressemblerait un registre des risques simplifié pour une entreprise dotée d’une équipe IT réduite et d’un travail hybride. Les scores vont sur une échelle de 1 à 3 (1 = faible, 3 = élevé) et le niveau de risque résulte de la combinaison de la probabilité et de l’impact.
| Risque | Probabilité | Impact | Niveau | Traitement |
|---|---|---|---|---|
| Un collaborateur tombe dans un phishing et se fait voler ses identifiants | 3 | 3 | Élevé | Réduire — MFA et sensibilisation |
| Logiciel non patché exploité par un malware | 2 | 3 | Élevé | Réduire — politique de patching centralisé |
| Ordinateur portable perdu ou volé avec des données non chiffrées | 2 | 2 | Moyen | Réduire — chiffrement du disque et MDM avec effacement à distance |
| Départ d’un collaborateur sans révocation de ses accès | 2 | 3 | Élevé | Réduire — offboarding lié au SIRH |
| Panne d’un fournisseur SaaS critique | 1 | 3 | Moyen | Transférer — SLA et sauvegarde interne |
| Compte de réseau social compromis | 1 | 1 | Faible | Accepter — surveiller, sans contrôle supplémentaire |
Dans presque toutes les appréciations, les risques qui finissent en haut du classement concernent les personnes et les appareils, et beaucoup se réduisent grâce à des contrôles techniques précis comme le chiffrement, le patching, la gestion des accès ou l’effacement à distance d’un poste perdu. Les centraliser, c’est ce qui transforme le registre des risques en un outil qui réduit l’exposition au lieu de se contenter de la décrire.
Comment Factorial IT vous aide à gérer le risque de votre SMSI ?
Identifier un risque dans un registre est une chose ; le réduire vraiment en est une autre. Factorial IT agit sur cette seconde partie, celle du traitement, car il réunit sur une seule plateforme les leviers techniques qui permettent d’atténuer les risques qui finissent presque toujours en haut de la matrice.
Si vous reprenez l’exemple du tableau précédent, la majorité de ces risques se traitent depuis cette plateforme :
- Équipements perdus ou volés : le MDM applique le chiffrement de façon centralisée et permet de verrouiller ou d’effacer un appareil à distance, de sorte qu’un ordinateur portable égaré cesse d’être une fuite de données.
- Logiciels obsolètes : le suivi du parc permet de savoir quelles versions tournent sur chaque poste et de maintenir le patching à jour, la vulnérabilité qui se cache derrière une bonne partie des incidents liés aux malwares.
- Accès qui survivent à un départ : la gestion des accès permet de retirer les autorisations lorsqu’une personne change de rôle ou quitte l’entreprise, et ferme la porte aux accès orphelins.
- Risques que vous décidez d’accepter ou de surveiller : en ayant l’état réel de chaque actif à portée de main, réexaminer un risque assumé et justifier cette décision devant l’auditeur ne dépend plus d’un tableur obsolète.
