ISO/IEC 27005.

À quoi sert l'ISO/IEC 27005

L'ISO/IEC 27005 est la norme d'orientation pour la gestion du risque lié à la sécurité de l'information. Elle ne certifie rien et ne remplace pas l'ISO/IEC 27001. Elle vous donne plutôt une méthode pour réaliser l'appréciation et le traitement du risque que l'article 6 de l'ISO 27001 exige mais laisse délibérément ouverts. L'ISO 27001 vous indique que vous devez identifier, analyser, évaluer et traiter les risques de sécurité de l'information ; l'ISO 27005 vous montre une manière défendable de le faire. Cette répartition des rôles est la chose la plus importante à comprendre au sujet de la norme.

La méthode suit une trajectoire reconnaissable : établir le contexte, identifier les risques, les analyser, les évaluer au regard de vos critères, puis les traiter. Le traitement se conclut par une décision et un enregistrement, et non par une simple liste de mesures. Deux livrables comptent pour les auditeurs plus que tous les autres. Le premier est votre ensemble de critères d'acceptation du risque, convenus avant de commencer la notation afin que les résultats ne puissent pas être ajustés a posteriori vers une réponse arrangeante. Le second est la validation documentée lorsqu'un risque résiduel est accepté par le bon responsable. Ce sont ces artefacts qui transforment un tableur de scores en un processus maîtrisé.

La révision de 2022 et le lien avec l'ISO 31000

La révision actuelle aligne le vocabulaire et la structure sur l'ISO 31000, la norme de management du risque à l'échelle de l'organisation, afin que le risque de sécurité de l'information parle le même langage que le risque d'entreprise. Elle précise aussi la relation avec l'ISO 27001 en mettant ses activités en correspondance avec les articles de l'ISO 27001 plutôt qu'en décrivant un univers parallèle. Là où l'ancienne approche s'appuyait fortement sur l'énumération des actifs, des menaces et des vulnérabilités, la révision accueille à la fois cette vision fondée sur les événements et une vision fondée sur les scénarios, donnant aux équipes la latitude d'apprécier le risque de la manière qui correspond réellement à leur environnement.

L'ISO 27005 face à EBIOS RM

Les praticiens en France comparent en permanence l'ISO 27005 à EBIOS Risk Manager, la méthode maintenue par l'ANSSI. Ce sont moins des rivaux que des instruments différents. L'ISO 27005 est moins prescriptive, reconnue internationalement et constitue la langue commune avec les auditeurs de certification, ce qui en fait le choix naturel lorsque votre objectif est un certificat ISO 27001 reconnu partout. EBIOS RM est plus structurée et orientée scénarios, construite autour de scénarios d'attaque stratégiques et opérationnels et de sources de risque explicites, ce qui convient aux contextes français à fort enjeu ou réglementés. De nombreuses organisations mènent EBIOS RM pour l'analyse, puis expriment les résultats en termes ISO 27005 pour le SMSI.

Ce que font réellement les praticiens

Bien utiliser l'ISO 27005, plutôt que de produire un document ponctuel, ressemble en pratique à ceci :

1. Établir d'abord le contexte : le périmètre, les critères d'impact et de vraisemblance, et les seuils d'acceptation du risque, tous convenus avant que ne commence la moindre notation.
2. Identifier les risques de la manière qui convient à l'environnement, qu'il s'agisse de chaînes actif-menace-vulnérabilité ou de scénarios de bout en bout, et éviter de mélanger les méthodes de façon incohérente au sein d'une même appréciation.
3. Analyser et évaluer au regard des critères convenus à l'avance afin que la liste des priorités soit reproductible, puis choisir une option de traitement : modifier, maintenir, éviter ou partager.
4. Consigner le risque résiduel et obtenir une acceptation explicite du responsable du risque désigné, car c'est cette validation qui relie l'appréciation à la responsabilité de la direction au sens de l'ISO 27001.
5. Réexaminer l'appréciation selon une cadence définie et après tout changement significatif, afin que la cartographie du risque reste à jour plutôt que de vieillir discrètement entre deux cycles de certification.