Les quatre premiers articles de cette série ont suivi les étapes du processus ISO/IEC 27005 dans leur ordre logique : contexte, appréciation, traitement, acceptation. La communication et la concertation fonctionnent différemment : ISO 27005 les présente comme une activité continue, qui traverse l’ensemble du processus plutôt que de survenir à une étape précise. C’est le sujet du cinquième article de notre série.
Ce que couvre la communication et la concertation selon ISO 27005
La norme distingue deux mouvements complémentaires :
- La communication : transmettre de l’information sur les risques, dans un sens descendant (direction vers employés) ou ascendant (employés vers direction), pour que chacun comprenne les décisions prises et leur raison d’être.
- La concertation : recueillir les points de vue des parties prenantes avant et pendant les décisions, plutôt que de les informer seulement après coup.
Cette distinction compte : une organisation qui se contente d’annoncer ses décisions de gestion des risques fait de la communication, mais pas de la concertation. ISO 27005 attend les deux.
Pourquoi cette étape est structurante, pas accessoire
Trois raisons expliquent pourquoi ISO 27005 accorde autant d’importance à cette dimension :
- La qualité de l’appréciation du risque dépend des personnes consultées. Les responsables de processus d’affaires connaissent souvent des vulnérabilités ou des conséquences que l’équipe TI ignore.
- L’adhésion aux mesures de traitement dépend de la compréhension du pourquoi. Un employé qui comprend la raison d’une politique de mots de passe la respecte davantage qu’un employé à qui on l’impose sans explication.
- La gestion des risques est un effort partagé. Dans une PME, la sécurité de l’information ne repose pas uniquement sur la direction ou le RSSI, mais sur les décisions quotidiennes de chaque employé.
Les parties prenantes à considérer
| Partie prenante | Rôle dans la communication |
|---|---|
| Direction générale | Décide et approuve les priorités et l’acceptation du risque |
| Responsables de processus d’affaires | Apportent une connaissance opérationnelle des actifs et des conséquences réelles |
| Employés | Appliquent les mesures au quotidien; source précieuse de signalement des incidents |
| Fournisseurs et partenaires TI | Partagent une partie du risque et doivent être informés des attentes |
| Clients (selon le contexte) | Peuvent nécessiter une communication en cas d’incident touchant leurs données, dans le respect des obligations de la Loi 25 |
Mettre en pratique dans une PME sans équipe TI dédiée
Pour une PME de 10 à 200 employés, la communication et la concertation n’exigent pas de structure lourde. Des pratiques simples suffisent :
- Présenter les grandes lignes du plan de traitement des risques lors d’une rencontre d’équipe annuelle.
- Consulter les responsables de chaque service avant de finaliser l’appréciation du risque, plutôt que de la mener en vase clos.
- Documenter les décisions d’acceptation du risque de façon accessible, pas seulement dans un document technique que personne ne consulte.
- Prévoir un canal simple pour que les employés signalent des situations à risque qu’ils observent (courriel dédié, formulaire interne).
Un RSSI externe peut faciliter cette concertation en jouant un rôle neutre entre les équipes techniques et la direction, un rôle qu’il est parfois difficile pour un employé interne d’occuper.
Erreurs fréquentes observées chez les PME
- Traiter la communication comme une étape finale (« annoncer les résultats ») plutôt que comme un processus continu intégré à chaque étape.
- Consulter uniquement l’équipe TI, en excluant les responsables des processus d’affaires qui portent une connaissance essentielle des conséquences réelles.
- Ne documenter aucune trace des consultations, ce qui empêche de démontrer que les décisions reposent sur une compréhension partagée du risque.
- Communiquer dans un langage trop technique, ce qui limite la compréhension et l’adhésion des employés non spécialisés.
Ce que vérifiera un auditeur
Bien qu’ISO 27005 soit une norme de lignes directrices, un auditeur ISO 27001 s’attend à voir des traces de concertation dans le processus de gestion des risques : comptes rendus de rencontres, échanges documentés avec les responsables de processus, ou minimalement une mention de qui a été consulté à chaque étape. L’absence totale de trace de concertation affaiblit la crédibilité de l’ensemble du processus, même si chaque étape technique a été suivie correctement.
Questions fréquentes
La communication des risques doit-elle être formelle ?
Elle doit être documentée dans une certaine mesure, mais pas nécessairement lourde. Un compte rendu de rencontre ou un courriel résumant une consultation suffit souvent pour une PME.
Faut-il communiquer tous les risques à tous les employés ?
Non. Le niveau de détail doit être adapté au rôle de chaque partie prenante : la direction a besoin de la vue d’ensemble, les employés ont surtout besoin de comprendre les mesures qui les concernent directement.
Quelle est la différence entre communication et formation à la sécurité ?
La communication des risques porte sur des décisions et un contexte spécifiques à l’organisation; la formation à la sécurité vise à développer des compétences générales. Les deux se complètent.
Qui est responsable de la communication des risques dans une PME ?
Généralement la direction, appuyée par le responsable de la sécurité de l’information ou un RSSI externe qui structure les messages et les canaux.
Quelle est la dernière étape du processus ISO 27005 ?
La surveillance et la revue, qui garantissent que le processus de gestion des risques reste à jour dans le temps — sujet du dernier article de cette série.
En résumé
La communication et la concertation ne sont pas une case à cocher après coup : elles conditionnent la qualité de chaque étape du processus ISO 27005, de l’identification des risques jusqu’à l’acceptation des risques résiduels. Pour une PME, quelques pratiques simples et régulières suffisent à intégrer cette dimension sans alourdir la gestion quotidienne.
La série ISO 27005, étape par étape
- Étape 1 — Établissement du contexte
- Étape 2 — Appréciation du risque
- Étape 3 — Traitement du risque
- Étape 4 — Acceptation du risque
- Étape 5 — Communication et concertation (vous êtes ici)
- Étape 6 — Surveillance et revue
Pour la vue d’ensemble du système de management, consultez aussi notre série ISO 27001, clause par clause.
Parlons de vos risques
Besoin d’aide pour structurer la communication de vos risques TI? Contactez CyberBloc au 438-458-3325 pour un premier échange sans engagement, ou écrivez-nous depuis la page Contact.
