Modèles et enregistrements · ISO 27001 · Chapitre 6.1.2
Modèle d’appréciation des risques de sécurité ISO 27001
L’analyse qui identifie ce qui peut compromettre la confidentialité, l’intégrité ou la disponibilité de l’information, qui répond de chaque risque et quel est son poids.
En une phrase
L’appréciation des risques de sécurité de l’information identifie les risques pesant sur la confidentialité, l’intégrité et la disponibilité, attribue à chacun un propriétaire, évalue sa vraisemblance et ses conséquences et les compare à des critères d’acceptation fixés à l’avance ; l’ISO/IEC 27001 exige de documenter le processus (6.1.2) et d’en conserver les résultats (8.2).
- Où la norme l’exige
- ISO 27001 · Chapitre 6.1.2 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Enregistrement obligatoire Processus documenté (6.1.2) et résultats à conserver (8.2)
- Qui le renseigne
- Responsable de la sécurité avec les propriétaires Chaque risque a un propriétaire ayant autorité pour décider de son traitement
- Quand
- Au moins une fois par an Et lors de changements importants : un nouveau service, un fournisseur critique, un incident grave
- Durée de conservation
- Fixée par l’organisme L’ISO/IEC 27001 ne fixe aucune durée : elle demande de décider de la conservation et de l’élimination des informations documentées (7.5.3). Couvrir le cycle de certification de trois ans permet de présenter l’historique au renouvellement.
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
La norme demande de définir un processus d’appréciation assorti de critères d’acceptation des risques et de critères pour la mener, de sorte que, répétée, elle produise des résultats cohérents et comparables. Dans ce processus, il faut identifier les risques, désigner leur propriétaire, évaluer les conséquences et la vraisemblance, déterminer le niveau et établir des priorités.
Elle n’impose pas de méthode. Depuis 2013, elle n’exige plus de partir des actifs : on peut travailler par scénarios, par processus ou par actifs. L’ISO/IEC 27005 fournit des recommandations, mais n’est ni certifiable ni obligatoire.
L’appréciation est renouvelée à intervalles planifiés et lors de changements significatifs (8.2). Ce que l’on conserve, ce sont les résultats de chaque exécution, et pas seulement la version la plus récente.
Structure
Les champs que doit comporter le modèle
- Critères d’acceptation et échelles de vraisemblance et d’impact
- Identifiant et description du risque (menace et vulnérabilité, ou scénario)
- Actif, processus ou service concerné
- Critère touché : confidentialité, intégrité ou disponibilité
- Propriétaire du risque
- Mesures existantes
- Vraisemblance, impact et niveau de risque
- Décision : accepter ou traiter
- Date de l’appréciation et version
Exemple
Exemple : un risque de l’appréciation annuelle
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Risque | R-07 · Panne prolongée de l’hébergeur de la plateforme |
| Service concerné | Plateforme SaaS de Nubeta (fictive) |
| Critère | Disponibilité |
| Propriétaire | Directrice des opérations |
| Mesures existantes | Sauvegardes quotidiennes dans une autre région ; contrat avec un niveau de service de 99,9 % |
| Évaluation | Vraisemblance 2 sur 5 · Impact 5 sur 5 · Niveau 10, élevé |
| Critère d’acceptation | Les risques de niveau 6 ou inférieur sont acceptés |
| Décision | Traiter · passe au plan de traitement comme action T-07 |
| Date | Appréciation annuelle, 2 septembre 2026 |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Pas de critères d’acceptation écrits, ou fixés après avoir vu les résultats.
- Des risques sans propriétaire, ou « l’informatique » propriétaire de tous.
- L’appréciation n’est pas renouvelée après un incident grave ou un changement de fournisseur.
- La version précédente est effacée lors de la mise à jour : il ne reste aucun résultat à conserver.
- Les échelles changent d’une année sur l’autre et les résultats ne sont plus comparables.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Chaque risque est enregistré avec son actif, son traitement et son propriétaire.
- 2Le propriétaire de chaque risque et de chaque actif est attribué directement dans le système.
- 3Chaque version de l’appréciation est conservée et, après un incident significatif, elle est mise à jour depuis l’action corrective elle-même.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Faut-il partir de l’inventaire des actifs ?
Ce n’est plus obligatoire depuis l’édition 2013, même si beaucoup d’entreprises continuent de le faire parce que cela aide à ne rien oublier. On peut apprécier les risques par scénarios ou par processus, pourvu que les résultats soient cohérents et comparables.
Qu’est-ce que le propriétaire du risque ?
La personne ayant l’autorité et la responsabilité de gérer un risque. C’est elle qui approuve le plan de traitement et accepte le risque résiduel ; il s’agit en général d’un responsable métier, et non du technicien système.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Planification
Planifier selon l’ISO 27001 signifie apprécier le risque de chaque actif et décider, avec discernement…
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle de plan de traitement des risques ISO 27001
Ce que doit inclure le plan de traitement des risques de l’ISO 27001 (6.1.3 e) : option, mesures…
Modèle d’inventaire des actifs informationnels ISO 27001
Comment bâtir l’inventaire des actifs informationnels exigé par la mesure 5.9 de l’ISO 27001 : type…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27005:2022 — Recommandations relatives à la gestion des risques liés à la sécurité de l’information ISO/IEC · Octobre 2022