Une fois le contexte établi (voir le premier article de cette série), ISO/IEC 27005 amène l’organisation au cœur du processus : l’appréciation du risque (« risk assessment »). C’est l’étape où l’on répond concrètement à trois questions : quels risques existent, quelle est leur ampleur, et lesquels méritent d’être traités en priorité.
Cet article, deuxième de notre série sur la gestion de risque selon ISO 27005, détaille les trois sous-étapes de l’appréciation du risque : identification, analyse et évaluation.
Les trois sous-étapes de l’appréciation du risque
1. L’identification du risque
Cette sous-étape consiste à repérer systématiquement :
- les actifs informationnels ayant de la valeur pour l’organisation (données clients, systèmes de paie, propriété intellectuelle);
- les menaces qui pourraient les affecter (hameçonnage, rançongiciel, erreur humaine, panne matérielle);
- les vulnérabilités qui rendraient ces menaces exploitables (absence d’authentification multifacteur, postes non mis à jour, absence de sauvegarde testée);
- les conséquences potentielles sur la confidentialité, l’intégrité ou la disponibilité de l’information.
Pour une PME sans équipe TI interne, l’identification s’appuie généralement sur des entrevues avec les responsables de chaque processus d’affaires plutôt que sur un inventaire technique exhaustif au départ.
2. L’analyse du risque
L’analyse détermine le niveau de risque en combinant deux dimensions :
| Dimension | Question |
|---|---|
| Vraisemblance | Quelle est la probabilité que la menace exploite la vulnérabilité? |
| Conséquence | Quel serait l’impact si l’événement se produisait? |
ISO 27005 permet une approche qualitative (échelles faible/moyen/élevé), quantitative (valeurs monétaires ou statistiques) ou hybride. Pour la majorité des PME québécoises, une approche qualitative à trois ou quatre niveaux, bien documentée, est suffisante et plus facile à maintenir dans le temps.
3. L’évaluation du risque
L’évaluation compare chaque niveau de risque calculé aux critères d’acceptation du risque établis à l’étape du contexte. Elle produit une liste priorisée des risques à traiter, généralement présentée sous forme de matrice de risque (vraisemblance × conséquence), un outil que la gestion des risques TI utilise couramment pour communiquer les priorités à la direction.
Exemple simplifié pour une PME
Prenons une PME de commerce de détail avec 40 employés :
- Actif : base de données clients (coordonnées, historique d’achats)
- Menace : accès non autorisé via des identifiants compromis
- Vulnérabilité : absence d’authentification multifacteur sur le portail administratif
- Vraisemblance : moyenne (attaques par hameçonnage fréquentes dans le secteur)
- Conséquence : élevée (obligations de la Loi 25 en cas de fuite, atteinte à la réputation)
- Niveau de risque résultant : élevé → traitement prioritaire requis
Erreurs fréquentes observées chez les PME
- Confondre menace et vulnérabilité : le rançongiciel est une menace, l’absence de sauvegarde testée est la vulnérabilité qui le rend dommageable.
- Analyser des actifs sans lien avec un processus d’affaires réel, ce qui dilue l’attention sur des risques secondaires.
- Utiliser une échelle de risque trop fine (dix niveaux, par exemple) qui donne une fausse précision et complique l’analyse sans améliorer la décision.
- Oublier de documenter les hypothèses derrière chaque cote de vraisemblance ou de conséquence, ce qui rend l’exercice impossible à reproduire l’année suivante.
Ce que vérifiera un auditeur
Un auditeur ISO 27001 s’attend à retrouver une méthodologie d’appréciation du risque documentée (clause 6.1.2), appliquée de façon cohérente à l’ensemble du périmètre défini, avec des résultats traçables : quels actifs ont été évalués, selon quels critères, et avec quel résultat. L’absence de méthode explicite, ou des cotes attribuées sans justification, figure parmi les constats les plus fréquents en audit.
Questions fréquentes
Faut-il apprécier tous les actifs de l’entreprise ?
Non, seulement ceux compris dans le périmètre défini à l’étape du contexte. Une PME peut commencer par ses actifs critiques et élargir progressivement.
Quelle est la différence entre appréciation qualitative et quantitative ?
La méthode qualitative utilise des échelles descriptives (faible/moyen/élevé), plus rapide à mettre en œuvre. La méthode quantitative attribue des valeurs numériques ou monétaires, plus précise mais plus exigeante en données.
Combien de temps prend une appréciation du risque pour une PME ?
Pour une première itération avec un périmètre bien délimité, comptez généralement de deux à quatre semaines, incluant les entrevues avec les responsables de processus.
Qui doit participer à l’appréciation du risque ?
La direction, les responsables de chaque processus d’affaires touché, et idéalement un RSSI externe qui apporte la méthodologie et l’expérience sectorielle.
Que fait-on une fois les risques évalués ?
On passe à l’étape suivante du processus : le traitement du risque, sujet du prochain article de cette série.
En résumé
L’appréciation du risque transforme une liste de menaces potentielles en une priorité d’action claire et défendable. Bien menée, elle devient l’outil de discussion entre la direction et les responsables TI pour décider où investir en premier.
La série ISO 27005, étape par étape
- Étape 1 — Établissement du contexte
- Étape 2 — Appréciation du risque (vous êtes ici)
- Étape 3 — Traitement du risque
- Étape 4 — Acceptation du risque
- Étape 5 — Communication et concertation
- Étape 6 — Surveillance et revue
Pour la vue d’ensemble du système de management, consultez aussi notre série ISO 27001, clause par clause.
Parlons de vos risques
Envie d’une appréciation du risque structurée pour votre entreprise? Contactez CyberBloc au 438-458-3325 pour un premier échange sans engagement, ou écrivez-nous depuis la page Contact.
