Modèles et enregistrements · ISO 27001 · Chapitre 6.1.3
Modèle de plan de traitement des risques ISO 27001
Ce qui va être fait pour chaque risque non accepté : avec quelles mesures, par qui, pour quand et quel risque subsistera ensuite, avec l’approbation de son propriétaire.
En une phrase
Le plan de traitement des risques consigne, pour chaque risque non accepté, l’option retenue — réduire, éviter, transférer ou accepter —, les mesures à appliquer, le responsable et le délai, ainsi que l’approbation du propriétaire et son acceptation du risque résiduel, ce qu’exige le chapitre 6.1.3 e) et f) de l’ISO/IEC 27001.
- Où la norme l’exige
- ISO 27001 · Chapitre 6.1.3 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Enregistrement obligatoire Processus documenté (6.1.3) et résultats à conserver (8.3)
- Qui le renseigne
- Responsable de la sécurité et propriétaires Le propriétaire approuve le plan et signe l’acceptation du risque résiduel
- Quand
- Après chaque appréciation des risques Son avancement est examiné en comité sécurité et en revue de direction
- Durée de conservation
- Fixée par l’organisme L’ISO/IEC 27001 ne fixe aucune durée : elle demande de décider de la conservation et de l’élimination des informations documentées (7.5.3). Couvrir le cycle de certification de trois ans permet de présenter l’historique au renouvellement.
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
Une fois les risques évalués, la norme demande de choisir des options de traitement, de déterminer les mesures nécessaires, de formuler un plan et d’obtenir des propriétaires l’approbation du plan et l’acceptation du risque résiduel.
Le plan n’est pas la déclaration d’applicabilité : la DdA dit quelles mesures existent et pourquoi ; le plan dit ce qui est fait, par qui et quand pour atteindre cet état. Tous deux sont alimentés par la même appréciation.
La mise en œuvre du plan est suivie au chapitre 8 : il faut l’appliquer et en conserver les résultats, afin que l’audit montre ce qui a été fait, ce qui reste à faire et pourquoi.
Structure
Les champs que doit comporter le modèle
- Risque traité et niveau avant traitement
- Option de traitement : réduire, éviter, transférer ou accepter
- Mesures ou actions prévues (avec leur référence à l’Annexe A, le cas échéant)
- Responsable et date prévue
- Ressources nécessaires
- Niveau de risque résiduel attendu
- Approbation du propriétaire et acceptation du risque résiduel
- État et date de clôture
Exemple
Exemple : traitement du risque de panne de l’hébergeur
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Risque | R-07 · Niveau 10, élevé |
| Option | Réduire |
| Action T-07 | Réplication de la plateforme dans une seconde région avec bascule testée (mesures 5.30 et 8.14) |
| Responsable et délai | Responsable infrastructure · 31 janvier 2027 |
| Ressources | Budget approuvé de 18 000 € par an |
| Risque résiduel attendu | Niveau 5, acceptable |
| Approbation | Directrice des opérations, 10 septembre 2026 ; elle accepte le risque résiduel |
| État | En cours · 60 % |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Le plan n’a ni dates ni responsables : c’est une liste de bonnes intentions.
- L’acceptation du risque résiduel par le propriétaire n’apparaît pas.
- Des risques « transférés » à une assurance ou à un fournisseur sans vérifier ce que couvre le contrat.
- Des actions clôturées dans le plan qui ne se retrouvent pas dans la déclaration d’applicabilité.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Chaque action du plan est attribuée à un responsable avec une échéance, et le système alerte en cas de retard.
- 2Le traitement est enregistré avec le risque et son propriétaire, ainsi que son approbation.
- 3La revue de direction part d’un modèle où les incidents de sécurité et les risques sont déjà agrégés.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Peut-on accepter un risque élevé ?
Oui, si son propriétaire l’accepte en connaissance de cause et que c’est enregistré. La norme n’interdit pas d’accepter des risques au-delà du critère ; elle demande que la décision soit explicite et prise par qui en a l’autorité.
Plan de traitement et DdA peuvent-ils ne faire qu’un ?
Ils peuvent cohabiter dans le même outil, mais ils répondent à des questions différentes. Les fusionner fait souvent perdre le suivi des actions ou la justification des mesures.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Planification
Planifier selon l’ISO 27001 signifie apprécier le risque de chaque actif et décider, avec discernement…
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle d’appréciation des risques de sécurité ISO 27001
Comment documenter l’appréciation des risques de sécurité exigée par l’ISO 27001 : critères d’acceptation…
Modèle d’inventaire des actifs informationnels ISO 27001
Comment bâtir l’inventaire des actifs informationnels exigé par la mesure 5.9 de l’ISO 27001 : type…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27005:2022 — Recommandations relatives à la gestion des risques liés à la sécurité de l’information ISO/IEC · Octobre 2022