Beaucoup de PME québécoises abordent la gestion des risques TI à l’envers : elles dressent une liste de menaces avant même d’avoir défini ce qu’elles cherchent à protéger, pour qui, et selon quels critères. La norme ISO/IEC 27005:2022, qui encadre le processus de gestion des risques liés à la sécurité de l’information dans le cadre d’ISO 27001, règle ce problème dès sa première étape : l’établissement du contexte.
Cet article ouvre notre série sur le processus de gestion de risque selon ISO 27005. Nous verrons pourquoi cette étape préalable détermine la qualité de tout le reste de la démarche, quels éléments elle doit couvrir, et comment l’aborder concrètement dans une PME de 10 à 200 employés, sans équipe TI interne dédiée.
Pourquoi l’établissement du contexte vient en premier
L’établissement du contexte n’est pas une formalité administrative. C’est le moment où l’organisation décide ce qui compte pour elle en matière de sécurité de l’information, avant de chercher ce qui pourrait y nuire. Sans ce cadrage, deux problèmes surviennent systématiquement :
- L’appréciation du risque devient disproportionnée : on traite un serveur de test avec la même rigueur qu’un système de paie, faute de critères pour les distinguer.
- Les résultats ne sont pas comparables d’une revue à l’autre, ce qui rend le suivi dans le temps pratiquement impossible.
ISO 27005 exige que le contexte soit défini avant l’appréciation du risque, et qu’il reste cohérent avec la gouvernance TI et les objectifs d’affaires de l’organisation.
Les éléments à définir
1. Le périmètre et les limites
Il s’agit de délimiter précisément ce qui est couvert par la gestion des risques : quels systèmes, quels processus d’affaires, quels emplacements, quelles données. Pour une PME, cela peut signifier exclure explicitement certains outils personnels ou certains sites secondaires, à condition que cette exclusion soit justifiée et documentée.
2. Les critères de risque
ISO 27005 distingue trois types de critères à établir :
| Critère | Ce qu’il détermine |
|---|---|
| Critères d’appréciation du risque | Comment on évalue la vraisemblance et les conséquences |
| Critères d’impact | Ce qui constitue un dommage mineur, modéré ou majeur pour l’organisation |
| Critères d’acceptation du risque | Le seuil au-delà duquel un risque doit être traité plutôt que toléré |
Ces critères doivent refléter la réalité de l’entreprise : une conséquence financière de 10 000 $ n’a pas le même poids pour une entreprise de 15 employés que pour une entreprise de 180.
3. Les rôles et responsabilités
Qui approuve les critères? Qui est propriétaire de chaque risque identifié? Dans une PME sans équipe TI interne, ces rôles reviennent souvent à la direction générale, appuyée par un RSSI externe qui apporte la méthodologie sans alourdir la structure.
4. L’alignement avec le contexte d’affaires
ISO 27005 demande de tenir compte du contexte externe (marché, obligations réglementaires comme la Loi 25, relations avec les fournisseurs) et du contexte interne (culture, structure de gouvernance, capacités disponibles).
Erreurs fréquentes observées chez les PME
- Sauter directement à la liste des menaces sans avoir défini de critères, ce qui produit une appréciation du risque non reproductible.
- Copier les critères d’une autre organisation sans les adapter à sa propre tolérance au risque et à sa taille.
- Ne jamais revisiter le contexte, alors qu’il doit être révisé lorsque l’organisation change (croissance, nouveau système, nouvelle réglementation).
Ce que vérifiera un auditeur
Un auditeur ISO 27001 cherchera une trace documentée du contexte : un document ou une section du système de management qui précise le périmètre, les critères de risque et les rôles associés. L’absence de ce document, ou des critères trop vagues pour être appliqués de façon cohérente, est une non-conformité fréquente en clause 6.1.2 d’ISO 27001, qui renvoie directement au processus ISO 27005.
Questions fréquentes
ISO 27005 est-elle une norme certifiable ?
Non. ISO 27005 est une norme de lignes directrices, contrairement à ISO 27001 qui est certifiable. Elle fournit la méthode que la clause 6.1.2 d’ISO 27001 exige d’appliquer pour l’appréciation et le traitement des risques.
Faut-il un consultant pour établir le contexte ?
Pas nécessairement, mais l’expérience aide à calibrer des critères réalistes dès le départ plutôt que de devoir les revoir après un premier audit. Un RSSI externe peut cadrer cette étape en quelques heures pour une PME.
À quelle fréquence doit-on revoir le contexte ?
Au minimum lors de la revue de direction annuelle, et chaque fois qu’un changement significatif survient (acquisition, nouveau système critique, changement réglementaire).
Le contexte est-il le même pour toute l’organisation ?
Pas toujours. Une organisation avec plusieurs lignes d’affaires distinctes peut établir des critères différenciés par secteur, tant que la cohérence globale est maintenue.
Quelle est la prochaine étape après l’établissement du contexte ?
L’appréciation du risque : l’identification, l’analyse et l’évaluation des risques eux-mêmes, sujet du prochain article de cette série.
En résumé
L’établissement du contexte est l’étape la plus souvent négligée du processus ISO 27005, et pourtant celle qui conditionne la valeur de tout le reste. Prendre le temps de définir un périmètre clair, des critères de risque adaptés à la taille de l’entreprise et des rôles précis évite de refaire le travail plus tard.
La série ISO 27005, étape par étape
- Étape 1 — Établissement du contexte (vous êtes ici)
- Étape 2 — Appréciation du risque
- Étape 3 — Traitement du risque
- Étape 4 — Acceptation du risque
- Étape 5 — Communication et concertation
- Étape 6 — Surveillance et revue
Pour la vue d’ensemble du système de management, consultez aussi notre série ISO 27001, clause par clause.
Parlons de vos risques
Besoin d’aide pour cadrer votre gestion des risques TI? Contactez CyberBloc au 438-458-3325 pour un premier échange sans engagement, ou écrivez-nous depuis la page Contact.
