Nous voici au dernier article de notre série sur le processus de gestion des risques selon ISO/IEC 27005. Après le contexte, l’appréciation, le traitement, l’acceptation du risque et la communication et la concertation, il reste une dernière activité, tout aussi continue : la surveillance et la revue.
Pourquoi cette étape existe
Un risque évalué aujourd’hui ne reste pas figé. De nouvelles menaces apparaissent, de nouvelles vulnérabilités sont découvertes, l’organisation change (croissance, nouveaux systèmes, nouveaux fournisseurs), et les mesures de traitement mises en place peuvent perdre en efficacité avec le temps. ISO 27005 prévoit donc une activité de surveillance continue et de revue périodique pour que le processus de gestion des risques demeure représentatif de la réalité de l’organisation.
Sans cette étape, tout le travail des cinq étapes précédentes devient rapidement obsolète : un plan de traitement des risques daté de deux ans peut ne plus refléter ni les menaces actuelles, ni les systèmes réellement en place.
Ce que couvre la surveillance
La surveillance consiste à suivre en continu :
- l’apparition de nouvelles menaces pertinentes pour le secteur d’activité de l’organisation;
- l’efficacité réelle des mesures de traitement mises en œuvre (une mesure documentée n’est pas nécessairement appliquée correctement);
- les incidents et quasi-incidents, qui révèlent souvent des risques mal évalués ou des vulnérabilités non identifiées;
- les changements internes : nouveaux systèmes, nouveaux employés avec accès privilégiés, nouveaux fournisseurs.
Ce que couvre la revue
La revue est un exercice plus formel, mené à intervalles réguliers, qui réexamine :
- si le contexte établi initialement est toujours valide;
- si les critères de risque reflètent toujours la tolérance actuelle de l’organisation;
- si les risques résiduels acceptés demeurent acceptables;
- si le plan de traitement a été effectivement mis en œuvre et produit les résultats attendus.
Fréquence recommandée pour une PME
| Activité | Fréquence typique |
|---|---|
| Surveillance des menaces et vulnérabilités | Continue, avec un point de suivi mensuel ou trimestriel |
| Revue du plan de traitement | Trimestrielle |
| Revue complète du processus de gestion des risques | Annuelle, alignée avec la revue de direction exigée par ISO 27001 |
| Revue déclenchée par un changement majeur | Ponctuelle (nouvelle acquisition, incident significatif, nouvelle réglementation) |
Pour une PME sans équipe TI interne, l’essentiel est d’avoir un calendrier simple et respecté plutôt qu’un processus élaboré qui ne sera jamais suivi dans les faits.
Indicateurs utiles à suivre
- Nombre de risques identifiés dont le niveau a changé depuis la dernière revue.
- Pourcentage de mesures du plan de traitement effectivement complétées dans les délais.
- Nombre d’incidents ou de quasi-incidents liés à des risques déjà identifiés versus des risques non anticipés.
- Délai moyen entre l’identification d’un nouveau risque et sa première évaluation.
Le lien avec l’amélioration continue
La surveillance et la revue alimentent directement le processus d’amélioration continue exigé par la clause 10 d’ISO 27001. Les constats de la revue — un contrôle inefficace, un risque mal évalué, un délai de traitement trop long — deviennent des intrants concrets pour ajuster le système de management de la sécurité de l’information.
Erreurs fréquentes observées chez les PME
- Mener une revue une seule fois, au moment de la certification initiale, sans processus récurrent par la suite.
- Confondre surveillance et revue : la surveillance est continue et informelle, la revue est périodique et structurée — les deux sont nécessaires.
- Ne pas ajuster le contexte ou les critères de risque malgré des changements importants dans l’organisation, ce qui rend l’appréciation du risque de moins en moins pertinente.
- Ignorer les incidents mineurs qui, cumulés, révèlent souvent un risque sous-estimé.
Ce que vérifiera un auditeur
Un auditeur ISO 27001 cherchera des preuves d’un cycle de surveillance et de revue actif : comptes rendus de revues périodiques, mise à jour du registre des risques, ajustements documentés au plan de traitement. Un système de gestion des risques figé depuis la dernière certification, sans trace de revue dans l’intervalle, constitue un constat fréquent en clauses 9.1 et 9.3 d’ISO 27001 (surveillance, mesure et revue de direction).
Questions fréquentes
La surveillance et la revue remplacent-elles l’audit ?
Non. La surveillance et la revue sont des activités internes continues, alors que l’audit (interne ou de certification) est un contrôle indépendant périodique. Les deux se complètent.
Qui doit mener la revue périodique dans une PME ?
La direction, appuyée par le responsable de la sécurité de l’information ou un RSSI externe, qui peut structurer la revue et proposer des ajustements basés sur son expérience sectorielle.
Que faire si la revue révèle qu’un risque accepté ne l’est plus ?
Le risque retourne dans le cycle : il doit être retraité selon les options de traitement disponibles, et une nouvelle décision d’acceptation (ou non) doit être documentée.
Faut-il un outil spécialisé pour la surveillance des risques ?
Pas nécessairement pour une PME. Un registre des risques dans un fichier structuré, mis à jour régulièrement, suffit souvent pour démarrer. Des outils dédiés deviennent pertinents lorsque le volume de risques et de contrôles augmente.
Cette série couvre-t-elle l’ensemble de la norme ISO 27005 ?
Cette série couvre les six grandes étapes du processus de gestion des risques (contexte, appréciation, traitement, acceptation, communication et concertation, surveillance et revue). ISO 27005:2022 propose également des annexes détaillées sur des méthodes spécifiques d’appréciation du risque, qui pourraient faire l’objet d’articles futurs.
En résumé
La surveillance et la revue bouclent le cycle du processus ISO 27005 : elles garantissent que le travail effectué dans les cinq étapes précédentes reste pertinent dans le temps, plutôt que de devenir un exercice ponctuel oublié après le premier audit. Pour une PME, un calendrier simple et respecté vaut mieux qu’un processus élaboré jamais suivi.
Cela conclut notre série sur le processus de gestion des risques selon ISO 27005. Pour approfondir la mise en œuvre d’un système de management complet, consultez notre série sur les clauses d’ISO 27001.
La série ISO 27005, étape par étape
- Étape 1 — Établissement du contexte
- Étape 2 — Appréciation du risque
- Étape 3 — Traitement du risque
- Étape 4 — Acceptation du risque
- Étape 5 — Communication et concertation
- Étape 6 — Surveillance et revue (vous êtes ici)
Parlons de vos risques
Besoin d’aide pour structurer la surveillance de vos risques TI dans la durée? Contactez CyberBloc au 438-458-3325 pour un premier échange sans engagement, ou écrivez-nous depuis la page Contact.
