ISO/IEC 27005:2022 – Guide pratique pour la gestion des risques en cybersécurité

Introduction et contexte

La gestion des risques en cybersécurité n’est pas une option, c’est une nécessité. Si vous pensez que votre organisation est à l’abri parce que vous avez mis en place quelques antivirus, détrompez-vous. La cybersécurité industrielle, par sa nature complexe et ses enjeux critiques, requiert une approche minutieuse et structurée. La norme ISO/IEC 27005:2022 : « Préconisations pour la gestion des risques liés à la sécurité de l'information », membre éminent de la famille ISO 27000, s’inscrit précisément dans ce cadre, offrant des lignes directrices adaptées aux environnements industriels.

Derrière cette démarche se cache une philosophie : anticiper l’inattendu et agir avec la précision d’un horloger. En tant qu’experts en cybersécurité industrielle chez DATIVE, nous vous guidons dans cette lecture critique et pragmatique de la norme.

Qu’est-ce que la norme ISO/IEC 27005:2022 ?

La norme ISO/IEC 27005:2022 se positionne en tant que guide pratique dans l'univers de la gestion des risques liés à la sécurité de l’information. Elle ne prétend pas imposer une méthode unique, mais plutôt offrir un cadre flexible et adaptable. Nous avions précédemment écrit un article sur son homologue français : EBIOS RM.

Voici quelques points essentiels :

• Cadre de référence : Inscrite dans le système de gestion de la sécurité de l’information (SMSI), elle complète ISO/IEC 27001:2022 en se concentrant sur l’analyse et la gestion des risques.
• Historique et évolution : Publiée initialement en 2008 et mise à jour régulièrement, la version 2022 apporte des ajustements pour répondre aux défis contemporains, notamment en intégrant les risques émergents comme ceux liés au cloud, à l’intelligence artificielle et aux chaînes d’approvisionnement.

En clair, ISO/IEC 27005:2022 se présente comme un outil pragmatique et indispensable pour anticiper les risques de vos infrastructures critiques dans un environnement technique en constante mutation.

Objectifs de la norme

L’ISO/IEC 27005:2022 vise à fournir un guide pour accompagner les organisations dans la mise en place d’un dispositif de gestion structuré et cohérent des risques.

Ses principaux objectifs sont :

• Identifier les risques : recenser l’ensemble des menaces susceptibles d’affecter les actifs informationnels, qu’il s’agisse d’attaques externes, d’attaque interne, d’erreurs internes ou de défaillances technologiques.
• Analyser les risques : évaluer la probabilité d’occurrence des événements identifiés ainsi que leur impact potentiel sur l’organisation. Cette analyse permet de classer les risques selon leur criticité et leurs vraisemblances.
• Traiter les risques : déterminer les actions correctives adaptées : réduction, transfert, acceptation ou évitement des risques. L’objectif est d’optimiser la répartition des ressources et d’assurer une protection efficace.
• Surveiller et réviser : mettre en place un processus de suivi continu afin d’ajuster les mesures en fonction de l’évolution des menaces et des changements organisationnels.

L’application de ces objectifs contribue à renforcer la sécurité des systèmes industriels et à assurer une continuité d’activité dans un environnement numérique en perpétuelle mutation.

Structure de l’ISO/IEC 27005:2022

La norme se structure en plusieurs étapes clairement définies qui permettent de formaliser une démarche de gestion des risques.

On y distingue principalement quatre grandes phases :

• L’établissement du contexte,
• L’appréciation du risque,
• Le traitement du risque,
• La surveillance et la revue.

Chaque phase s’appuie sur des processus et des méthodes spécifiques qui garantissent une prise en compte globale des risques. Cette structure modulaire offre la flexibilité nécessaire pour l’adapter aux spécificités de chaque organisation tout en assurant une approche cohérente et reproductible. Une analyse de risque doit être revue et mise à jour régulièrement afin de coller au mieux aux risques associés de la société, cible de l’analyse.

Etape 1 : Etablissement du contexte

La première étape consiste à établir un contexte précis dans lequel s’inscrit la démarche de gestion des risques. Cette phase permet de définir le périmètre de l’analyse et d’identifier les éléments essentiels qui conditionnent la protection des actifs.

Les principales actions sont :

• Définition des objectifs stratégiques et opérationnels : identifier les missions et les priorités de l’organisation pour orienter la sécurisation des actifs critiques.
• Analyse de l’environnement interne et externe : prendre en compte les exigences légales, réglementaires et contractuelles ainsi que les contraintes propres au secteur d’activité.
• Identification des parties prenantes : recenser l’ensemble des acteurs (internes et externes) impliqués dans la gestion de la sécurité de l’information.
• Délimitation du périmètre : fixer les frontières de l’analyse en sélectionnant les systèmes, les processus et les infrastructures concernés.

Un établissement rigoureux du contexte est indispensable pour garantir que la suite de la démarche s’appuie sur des bases solides et adaptées aux enjeux spécifiques de l’organisation. Un périmètre trop large entrainera une analyse de risque peu fiable et plus couteuse.

Etape 2 : Appréciation du risque

La phase d’appréciation du risque permet de transformer le recensement des menaces en informations exploitables pour la prise de décision. Elle se décompose en trois sous-étapes complémentaires.

2.1 Identification des risques

L’identification des risques consiste à lister l’ensemble des événements susceptibles de compromettre la sécurité des actifs. Cette étape repose sur :

• L’analyse des incidents passés : examiner les événements survenus dans l’organisation ou dans des secteurs similaires pour identifier des scénarios récurrents.
• La veille sur les menaces : se tenir informé des évolutions technologiques et des nouvelles formes d’attaque (par exemple, attaques par ransomware ou intrusions sophistiquées).
• L’évaluation des vulnérabilités : identifier les faiblesses dans les systèmes, les processus ou l’organisation qui pourraient être exploitées par les menaces.
• La consultation d’experts : recueillir l’avis des spécialistes en cybersécurité pour compléter et affiner l’inventaire des risques.

Une identification complète des risques constitue la base d’une démarche efficace de gestion de la sécurité.

2.2 Analyse du risque

L’analyse du risque vise à quantifier ou qualifier chaque risque identifié en évaluant deux paramètres fondamentaux :

• La probabilité : estimer la fréquence à laquelle un événement défavorable pourrait se produire. Cette évaluation repose sur des données historiques, des statistiques et l’expertise technique.
• L’impact : mesurer les conséquences potentielles d’un incident sur la continuité des opérations, la sécurité des données et la réputation de l’organisation. L’analyse de l’impact peut être menée de manière qualitative ou quantitative selon les ressources disponibles.

L’analyse du risque fournit une vision détaillée de chaque menace en permettant de comprendre sa portée et son degré de criticité.

2.3 Evaluation du risque

L’évaluation du risque intervient après l’analyse et consiste à hiérarchiser les risques en combinant la probabilité d’occurrence et l’impact potentiel. Les actions principales comprennent :

• La combinaison des paramètres : attribuer à chaque risque une note ou un niveau de criticité en fonction de la multiplication de la probabilité et de l’impact.
• La définition de seuils d’acceptabilité : déterminer quels risques peuvent être tolérés et lesquels nécessitent une intervention immédiate. Ces seuils sont définis en fonction des objectifs stratégiques et de la capacité de l’organisation à absorber les impacts.
• La priorisation des risques : classer les risques afin de concentrer les moyens sur ceux dont la maîtrise est indispensable pour garantir la sécurité globale de l’organisation.

L’évaluation permet ainsi de transformer des informations brutes en données stratégiques pour le choix des mesures de traitement.

Etape 3 : Traitement du risque

Le traitement du risque consiste à mettre en œuvre des mesures adaptées pour réduire la probabilité d’occurrence ou l’impact des risques jugés inacceptables. Plusieurs stratégies peuvent être envisagées :

• Réduction du risque : mettre en place des mesures techniques et organisationnelles (contrôles d’accès, mises à jour régulières, segmentation des réseaux) afin d’atténuer le risque.
• Transfert du risque : recourir à l’externalisation ou à des mécanismes d’assurance pour décaler une partie du risque vers un tiers.
• Acceptation du risque : dans certains cas, le coût de la mitigation peut être jugé supérieur au bénéfice attendu, ce qui conduit à une décision de tolérer le risque tout en le surveillant.
• Evitement du risque : modifier ou abandonner une activité dont le niveau de risque est jugé trop élevé.

Le choix de la stratégie de traitement doit être fondé sur une analyse objective et une évaluation précise des ressources disponibles. Un plan d’action détaillé, assorti d’indicateurs de suivi, est indispensable pour garantir l’efficacité des mesures mises en place.

Etape 4 : Surveillance et revue

La dernière étape du processus consiste à assurer une surveillance continue et une revue régulière des mesures de traitement. Cette phase vise à :

• Suivre l’évolution des risques : mettre en place des dispositifs de monitoring pour détecter rapidement toute variation dans le contexte ou dans le niveau des risques.
• Réévaluer périodiquement le dispositif : procéder à des revues régulières afin d’ajuster les actions en fonction des changements technologiques, organisationnels ou réglementaires.
• Assurer l’amélioration continue : mettre à jour les analyses et les traitements en fonction des retours d’expérience et des nouvelles menaces identifiées.

Une surveillance active et une revue structurée permettent de maintenir la pertinence du dispositif de gestion des risques dans le temps et d’assurer une réponse adaptée aux évolutions de l’environnement.

Principaux concepts de gestion des risques dans l’ISO27005

Pour une application efficace de la norme, il est essentiel de maîtriser certains concepts clés.

Actifs informationnels

Les actifs informationnels regroupent l’ensemble des ressources dont la valeur est reconnue par l’organisation. Il peut s’agir de :

• Données/informations sensibles ou stratégiques (informations clients, données financières, propriété intellectuelle),
• Systèmes informatiques, applications et systèmes industrielles critiques
• Infrastructures matérielles (serveurs, équipements réseau),
• Ressources humaines et organisationnelles.

La bonne identification et la classification des actifs permettent de prioriser la protection en fonction de leur importance pour l’activité. Chaque entreprise est différente ! Une même analyse peut ne pas être valable dans deux usines fabriquant des bouteilles en plastique ou deux chaînes de production automobile.

Menaces et vulnérabilités

• Menaces : ce sont les événements ou actions pouvant compromettre la sécurité des actifs. Elles incluent notamment les attaques externes (ransomware, phishing, intrusions) et les défaillances internes (erreurs humaines, pannes techniques).
• Vulnérabilités : il s’agit des faiblesses ou insuffisances dans les systèmes, processus ou contrôles qui peuvent être exploitées par une menace. La connaissance des vulnérabilités permet de mieux cibler les actions préventives.

L’analyse conjointe des menaces et des vulnérabilités offre une vision claire du risque réel auquel l’organisation est exposée.

Probabilité et impact

La notion de probabilité permet d’estimer la fréquence à laquelle un événement risque de se produire, tandis que l’impact évalue les conséquences potentielles sur l’organisation. Ces deux critères sont combinés pour :

• Établir une cartographie des risques,
• Définir des seuils d’acceptabilité,
• Prioriser les actions de traitement.

Une évaluation rigoureuse de ces paramètres est indispensable pour une gestion objective et efficace des risques.

Acceptabilité du risque

L’acceptabilité du risque correspond au niveau de risque que l’organisation est prête à tolérer compte tenu de ses objectifs stratégiques et de sa capacité à gérer les conséquences. Ce concept repose sur :

• Une analyse des coûts et bénéfices liés à la mise en œuvre de mesures de sécurité,
• La définition de seuils de tolérance spécifiques à chaque secteur d’activité,
• Une évaluation régulière afin de s’assurer que le niveau de risque accepté reste compatible avec l’évolution de l’environnement.

Définir l’acceptabilité du risque permet d’éviter de surcharger l’organisation de mesures excessives et de concentrer les ressources sur les risques les plus critiques.

Avantages pour les organisations

L’application de la norme ISO/IEC 27005:2022 présente plusieurs avantages pour les organisations, notamment :

• Optimisation des ressources : en identifiant précisément les risques prioritaires, l’organisation peut allouer ses moyens de manière efficiente et éviter des investissements inutiles.
• Renforcement de la sécurité : la démarche structurée permet de réduire significativement la probabilité et l’impact des incidents, assurant ainsi la continuité des opérations.
• Conformité réglementaire : la mise en œuvre d’un dispositif de gestion des risques conforme aux normes internationales facilite le respect des exigences légales et renforce la crédibilité vis-à-vis des autorités et des partenaires.
• Amélioration de la réactivité : un suivi continu et une revue régulière permettent d’adapter rapidement la stratégie aux évolutions de l’environnement et de réduire les vulnérabilités.
• Communication et transparence : la formalisation d’un processus de gestion des risques favorise la communication interne et externe, contribuant à une meilleure compréhension des enjeux de cybersécurité.

Ces avantages font de l’ISO/IEC 27005:2022 un outil stratégique pour toute organisation soucieuse de maîtriser ses risques et de pérenniser ses activités dans un contexte numérique en constante évolution.

Evolution et normes connexes

L’évolution constante des technologies et des cybermenaces impose une mise à jour régulière des référentiels de sécurité.

Les nouveautés de la version 2022

La version 2022 de l’ISO/IEC 27005 intègre plusieurs améliorations par rapport aux versions antérieures :

• Prise en compte des risques émergents : la version actualisée intègre une meilleure analyse des menaces liées aux nouvelles technologies (intelligence artificielle, internet des objets, cloud) et aux chaînes d’approvisionnement numériques.
• Harmonisation avec d’autres normes : un alignement renforcé avec l’ISO/IEC 27001 et l’ISO 31000 facilite l’intégration des systèmes de management de la sécurité et de la gestion des risques.
• Affinement des méthodes d’analyse : les critères d’évaluation, notamment la combinaison de la probabilité et de l’impact, ont été révisés pour offrir une meilleure objectivité dans la hiérarchisation des risques.
• Actualisation des recommandations : la version 2022 propose des lignes directrices actualisées, tenant compte des retours d’expérience et des évolutions du secteur.

Normes connexes

Plusieurs normes et référentiels complètent l’ISO/IEC 27005:2022 et permettent de constituer une stratégie de cybersécurité globale :

• ISO/IEC 27001:2022 : définition des exigences relatives au système de management de la sécurité de l’information.
• ISO/IEC 27002:2022 : code de bonnes pratiques fournissant des mesures de sécurité concrètes.
• ISO 31000 : principes et lignes directrices pour la gestion des risques applicables à tout type d’organisation.
• NIST SP 800-30 : guide d’évaluation des risques en cybersécurité, particulièrement utilisé dans certains secteurs.

Ces normes connexes offrent une vue d’ensemble complète et facilitent l’harmonisation des dispositifs de sécurité au sein de l’organisation.

Conclusion

L’ISO/IEC 27005:2022 constitue un outil essentiel pour structurer et formaliser la gestion des risques liés à la sécurité de l’information. En définissant un processus en quatre étapes, établissement du contexte, appréciation du risque (identification, analyse, évaluation), traitement du risque et surveillance avec revue. Cette norme permet aux organisations de mieux anticiper et maîtriser les menaces. Elle offre également un socle commun qui facilite la communication interne et externe, l’optimisation des ressources et le respect des exigences réglementaires.

L’implémentation d’un tel dispositif contribue à renforcer la résilience des systèmes industriels et à assurer la pérennité des activités dans un environnement numérique dynamique.

FAQ

Question 1 : Qu’est-ce que la norme ISO/IEC 27005:2022 ?

La norme ISO/IEC 27005:2022 définit un cadre méthodologique pour la gestion des risques liés à la sécurité de l’information. Elle précise les étapes à suivre pour identifier, analyser, traiter et surveiller les risques, et s’inscrit dans la continuité de la famille ISO 27000.

Question 2 : Quels sont les objectifs principaux de la norme ?

Les objectifs principaux consistent à identifier l’ensemble des risques pesant sur les actifs informationnels, à évaluer leur probabilité et leur impact, à hiérarchiser ces risques, et à définir des mesures de traitement adaptées afin d’assurer la continuité et la sécurité des opérations.

Question 3 : Comment se décompose le processus de gestion des risques selon la norme ?

Le processus se divise en quatre étapes :

• L’établissement du contexte,
• L’appréciation du risque (comprenant l’identification, l’analyse et l’évaluation),
• Le traitement du risque (à travers des stratégies de réduction, transfert, acceptation ou évitement),
• La surveillance et la revue pour assurer l’amélioration continue du dispositif.

Question 4 : Quels avantages la mise en œuvre de cette norme offre-t-elle aux organisations ?

L’implémentation de l’ISO/IEC 27005:2022 permet d’optimiser l’allocation des ressources, de réduire la probabilité et l’impact des incidents, d’améliorer la conformité réglementaire, et de renforcer la communication ainsi que la transparence au sein de l’organisation.

Question 5 : Comment démarrer la mise en œuvre de la norme dans une organisation ?

La mise en œuvre commence par une définition précise du périmètre et des objectifs de l’organisation, suivie d’une cartographie des actifs et d’une identification rigoureuse des risques. Il est ensuite conseillé d’élaborer un plan de traitement adapté et de mettre en place un dispositif de suivi régulier. Un accompagnement par des experts peut faciliter cette transition.