ISO/CEI 27005

La norme ISO/CEI 27005 est une norme internationale concernant la Sécurité de l'information publiée conjointement par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI). Il s'agit d'un recueil de lignes directrices traitant spécifiquement de la gestion des risques dans le contexte de la Sécurité des systèmes d'information. Elle fait l'objet d'une certification et vient en complément du SMSI ISO/CEI 27001.

Si ce bandeau n'est plus pertinent, retirez-le. Cliquez ici pour en savoir plus.

Cet article ne s'appuie pas, ou pas assez, sur des sources secondaires ou tertiaires (décembre 2018).

Pour améliorer la vérifiabilité de l'article ainsi que son intérêt encyclopédique, il est nécessaire, quand des sources primaires sont citées, de les associer à des analyses faites par des sources secondaires.

Si ce bandeau n'est plus pertinent, retirez-le. Cliquez ici pour en savoir plus.

Cet article peut contenir un travail inédit ou des déclarations non vérifiées (décembre 2018).

Vous pouvez aider en ajoutant des références ou en supprimant le contenu inédit. Voir la page de discussion pour plus de détails.

Faisant suite à la norme ISO 13335, elle est apparue le 4 juin 2008 sous le sigle "ISO/CEI 27005:2008", a été révisée le 19 mai 2011, le 13 juillet 2018 sous le sigle "ISO/CEI 27005:2018", la dernière version date d'octobre 2022 "ISO/CEI 27005:2022".

Objectifs modifier

La norme ISO/CEI 27005 décrit les grandes lignes d'une gestion des risques dans une perspective de mise en place d'un SMSI : définition du contexte d'analyse, identification et évaluation des risques encourus, possibilités de traitement ou d'acceptation de ces derniers. Inhabituellement longue avec ses 77 pages, dont 26 pour la partie centrale^[1], elle introduit un processus d'appréciation des risques^[2] conforme à ISO 31000, sans pour autant proposer de méthode au sens strict.

Construite en cohérence avec le couple de standards ISO/CEI 27001 et ISO/CEI 27002 et reprenant le vocabulaire définit dans ISO/CEI 27000, la norme ISO/CEI 27005 peut néanmoins être utilisée de manière autonome dans différentes situations. La norme ISO/CEI 27005 utilise comme nombre de Systèmes de Management la logique d'amélioration continue PDCA (Plan, Do, Check, Act), sous la forme suivante :

Plan : Identification des risques, évaluation des risques et définition des actions de réduction des risques,
Do : Exécution de ces actions,
Check : Contrôle du résultat,
Act : Révision de la politique de traitement des risques selon ces résultats.

Contenu de la norme modifier

La norme ISO/CEI 27005 détaille le processus de gestion de risque dans les chapitres 6 à 12. Elle est complétée de 6 annexes de référence A à F, nécessaires à la mise en œuvre de la méthode.

Chapitre 6 : le processus de gestion de risque est expliqué dans son ensemble
Chapitre 7 : établir le contexte de l’analyse des risques
Chapitre 8 : définition de l’appréciation des risques
Chapitre 9 : quatre choix du traitement du risque sont proposés
Chapitre 10 : acceptation du risque
Chapitre 11 : communication du risque
Chapitre 12 : surveillance et réexamen des risques

Démarche proposée par l’ISO/CEI 27005 modifier

Établissement du contexte modifier

Il faut tout d’abord définir des critères :

d’évaluation : seuil de traitement des risques, localement par actif menacé et globalement, pour toute l'organisation ;
d’impact : seuil de prise en compte des risques ;
d’acceptation : seuil d’acceptation des risques ;

Il n’existe pas d’échelles normalisées pour ces critères. L’entreprise doit déterminer une échelle pertinente en fonction de sa situation. Il faut également définir les champs, les limites et l’environnement du processus de gestion du risque.

Appréciation des risques modifier

La première étape consiste à définir le contexte de la certification et les éléments qui le composent tels que l’organisme, le système d’information, les éléments essentiels à protéger les entités qui en dépendent et les différentes contraintes qui peuvent se présenter.

Ensuite, il est nécessaire d’exprimer les besoins de sécurité des éléments essentiels et, identifier, caractériser en termes d’opportunités les menaces pesant sur le système d’information.

Enfin, les risques sont déterminés en confrontant les menaces aux besoins de sécurité. Ces risques seront analysés et évalués afin de donner des priorités et les ordonnancer par rapport à leurs critères d'évaluation.

Traitement du risque modifier

Il s’agit du processus de sélection et de mise en œuvre des mesures. Cela passera tout d’abord par l’identification des objectifs de sécurité : détermination des modes de traitement et prise en compte des éléments du contexte. Les objectifs ainsi identifiés constitueront le cahier des charges du processus de traitement des risques. Ensuite, des exigences de sécurité seront déterminées afin de satisfaire les objectifs de sécurités et décrire comment traiter les risques.

Pour définir les options de traitement, il faut mettre en adéquation le risque et le coût de traitement. Il existe quatre options du traitement du risque :

Le refus ou l’évitement : le risque considéré est trop élevé, l’activité amenant le risque doit être supprimée.
Le transfert : le risque sera partagé avec une autre entité (un assureur, un sous-traitant) capable de le gérer.
La réduction : le risque doit être diminué. Il s’agit d'en réduire l’impact et/ou la potentialité de manière que le risque soit acceptable.
Conservation du risque : le risque est maintenu tel quel.

Acceptation du risque modifier

Il s’agit d’une homologation de sécurité effectuée par une autorité d’homologation désignée pour une durée déterminée. Cette homologation passe par l’examen d’un dossier de sécurité dont le contenu doit être défini : objectifs de sécurité, d'une cible de sécurité, politique de sécurité… La direction générale doit accepter les risques résiduels, donc accepter le plan de traitement du risque dans son ensemble.

Communication du risque modifier

Il s’agit d’un échange et un partage régulier d’informations sur les risques entre le gestionnaire des risques, les décisionnaires et les parties prenantes concernant la gestion du risque. Cette communication du risque permet de :

Réduire les incompréhensions avec les décisionnaires
Obtenir de nouvelles connaissances en sécurité
Impliquer la responsabilité des décisionnaires

Surveillance et réexamen du risque modifier

Il faut s'assurer que le processus reste pertinent et adapté aux objectifs de sécurité des métiers de l'organisme. Il faut également identifier les changements nécessitant une réévaluation du risque ainsi que les nouvelles menaces et vulnérabilités.

Avantages modifier

Souplesse et pragmatisme : la norme ISO/CEI 27005 peut être utilisée en toutes circonstances et notamment dans des entreprises, y compris celles soumises à de fréquents changements.
La norme ISO/CEI 27005 est utilisable de manière autonome.

Limites modifier

L'ISO/CEI 27005 ne donne aucune méthodologie spécifique pour la gestion du risque en sécurité de l'information. Il appartient à l'organisation de définir son approche, selon par exemple le domaine d'application du SMSI, en fonction du contexte de gestion du risque ou du secteur industriel. En pratique, des méthodes comme EBIOS ou MEHARI, qui reprennent le vocabulaire et la logique du SMSI ISO/CEI 27001, sont plus directement applicables.
La norme ISO/CEI 27005 est encore en développement et peu d'organisations y font explicitement référence.
La norme ISO/CEI 27005 établit en fait peu de liens avec l'ISO/CEI 27001 et 27002. À qui maîtrise ou souhaite maîtriser ces deux normes voir les méthodes de maîtrise des risques (EBIOS, MEHARI, etc.), la valeur ajoutée de l'ISO 27005 reste faible. Des méthodes plus empiriques sont souvent aussi efficaces^[3].

Références modifier

↑ (en-US) « ISO/IEC 27005 », sur iso27001security (consulté le 31 décembre 2015).
↑ Hervé Schauer, « ISO/CEI 27005, la norme du consensus », Global Security Mag,‎ juillet 2008, p. 52-55 (lire en ligne).
↑ Fernandez-Toro, Alexandre., Sécurité opérationnelle : conseils pratiques pour sécuriser le SI, Eyrolles, dl 2015, cop. 2015 (ISBN 978-2-212-13963-1 et 2-212-13963-2, OCLC 908400510, lire en ligne)

Bibliographie modifier

Anne Lupfer, Gestion des risques en sécurité de l'information : Mise en œuvre de la norme ISO 27005, Eyrolles, 2010.

Articles connexes modifier

EBIOS
MEHARI (méthode harmonisée d'analyse de risque) met à disposition des outils (bases de connaissance) gratuits, adaptés à l'environnement et la taille de l'organisation et permettant de répondre aux objectifs de réduction de risque selon les lignes directrices des normes ISO 27001 à 27005
ISO/CEI 27001
Liste des normes ISO de la suite ISO/IEC 27000
Liste de normes ISO par domaines
Analyse factorielle du risque informationnel (FAIR)