Après avoir établi le contexte et mené l’appréciation du risque, une organisation se retrouve avec une liste priorisée de risques. Vient alors la question centrale : que fait-on de chacun d’eux? ISO/IEC 27005 encadre cette décision dans l’étape du traitement du risque, troisième volet de notre série.
Les quatre options de traitement selon ISO 27005
La norme distingue quatre stratégies possibles, non mutuellement exclusives — une organisation peut combiner plusieurs options pour un même risque.
1. Modifier le risque (réduction)
L’option la plus fréquente : mettre en place des mesures pour réduire soit la vraisemblance, soit la conséquence, soit les deux. Exemples courants pour une PME :
- Authentification multifacteur pour réduire la vraisemblance d’un accès non autorisé.
- Sauvegardes testées régulièrement pour réduire la conséquence d’un rançongiciel.
- Formation de sensibilisation du personnel pour réduire la vraisemblance d’un hameçonnage réussi.
2. Éviter le risque
Cesser l’activité ou ne pas l’entreprendre lorsque le risque est jugé inacceptable et qu’aucune mesure de réduction n’est jugée suffisante. Par exemple, renoncer à héberger certaines données sensibles sur une plateforme dont la sécurité ne peut être garantie.
3. Partager le risque (transfert)
Transférer une partie de l’impact financier ou opérationnel à un tiers, notamment via :
- une cyberassurance, de plus en plus courante chez les PME québécoises;
- l’infogérance de certains services à un fournisseur spécialisé, qui assume une partie de la responsabilité opérationnelle.
Le transfert ne fait pas disparaître le risque : l’organisation demeure responsable de la sécurité de l’information même lorsqu’un tiers exécute certaines tâches.
4. Conserver le risque (rétention)
Accepter le risque tel quel, sans mesure additionnelle, lorsque son niveau se situe déjà sous le seuil d’acceptation établi à l’étape du contexte, ou lorsque le coût de traitement dépasse le bénéfice attendu. Cette décision doit être documentée et approuvée par une personne ayant l’autorité pour le faire — elle fait l’objet du prochain article de cette série, consacré à l’acceptation du risque.
Construire le plan de traitement des risques
ISO 27005 demande de formaliser les décisions dans un plan de traitement des risques, qui précise pour chaque risque retenu :
| Élément | Contenu |
|---|---|
| Risque visé | Description et niveau évalué |
| Option retenue | Modification, évitement, transfert ou rétention |
| Mesures spécifiques | Contrôles à mettre en place (souvent tirés de l’annexe A d’ISO 27001) |
| Responsable | Qui met en œuvre et qui rend des comptes |
| Échéancier | Délai réaliste, priorisé selon le niveau de risque |
| Risque résiduel | Niveau attendu une fois les mesures appliquées |
Ce plan devient un outil de gestion vivant, suivi lors des revues périodiques, et non un document produit une seule fois pour l’audit.
Le lien avec la Déclaration d’applicabilité (SoA)
Pour les organisations visant la certification ISO 27001, chaque mesure retenue dans le plan de traitement doit être reflétée dans la Déclaration d’applicabilité, qui justifie l’inclusion ou l’exclusion de chacun des contrôles de l’Annexe A.
Erreurs fréquentes observées chez les PME
- Traiter tous les risques de la même façon (souvent uniquement par réduction technique), sans considérer le transfert ou l’évitement quand ils seraient plus efficaces.
- Choisir une option sans en évaluer le coût réel, ce qui mène à des plans irréalistes que personne ne suit.
- Oublier de recalculer le risque résiduel après la mise en œuvre des mesures, ce qui empêche de vérifier si le traitement a été suffisant.
- Laisser le plan de traitement sans propriétaire clair, ce qui garantit que les mesures ne seront jamais complétées.
Ce que vérifiera un auditeur
L’auditeur cherchera la cohérence entre les risques évalués, les options choisies, la Déclaration d’applicabilité et les mesures effectivement en place. Un plan de traitement qui existe sur papier mais dont les mesures ne sont pas implémentées, ou dont le risque résiduel n’a jamais été recalculé, est une non-conformité classique (clause 6.1.3 d’ISO 27001).
Questions fréquentes
Peut-on combiner plusieurs options pour un même risque ?
Oui, c’est même fréquent : réduire la vraisemblance par des mesures techniques tout en transférant une partie de l’impact financier par une cyberassurance.
La cyberassurance remplace-t-elle les mesures de sécurité ?
Non. Les assureurs exigent généralement un niveau minimal de mesures en place (sauvegardes, authentification multifacteur) avant même d’offrir une couverture, et une prime plus basse si ces mesures sont documentées.
Qui approuve le plan de traitement des risques ?
La direction, ou la personne désignée avec l’autorité nécessaire selon les rôles établis à l’étape du contexte.
Combien de temps pour mettre en œuvre un plan de traitement ?
Cela varie selon le nombre et la complexité des risques, mais un échéancier réaliste sur 3 à 12 mois, avec des priorités claires, est typique pour une première itération en PME.
Que se passe-t-il après le traitement du risque ?
L’organisation doit formellement accepter le risque résiduel restant, ce qui fait l’objet du prochain article de cette série.
En résumé
Le traitement du risque transforme une liste de priorités en un plan d’action concret. Choisir la bonne combinaison de réduction, d’évitement, de transfert et de rétention — plutôt que de réflexe technique systématique — permet d’investir les ressources limitées d’une PME là où elles ont le plus d’impact.
La série ISO 27005, étape par étape
- Étape 1 — Établissement du contexte
- Étape 2 — Appréciation du risque
- Étape 3 — Traitement du risque (vous êtes ici)
- Étape 4 — Acceptation du risque
- Étape 5 — Communication et concertation
- Étape 6 — Surveillance et revue
Pour la vue d’ensemble du système de management, consultez aussi notre série ISO 27001, clause par clause.
Parlons de vos risques
Besoin d’aide pour bâtir votre plan de traitement des risques? Contactez CyberBloc au 438-458-3325 pour un premier échange sans engagement, ou écrivez-nous depuis la page Contact.
