Un client important vous envoie son questionnaire de sécurité fournisseur. Quarante questions. À la ligne 12 : « Avez-vous réalisé une analyse de risque au cours des 12 derniers mois? Joindre le document. »
Je vois cette question partout. Dans les questionnaires des clients et fournisseurs, dans les formulaires d’assurance cyber risque, en audit ISO 27001. Et je vois presque toujours une des deux mêmes réponses. Soit il n’y a rien. Soit il y a un fichier Excel de 400 lignes que personne dans l’entreprise ne sait lire, jamais approuvé par la direction.
Ni l’un ni l’autre ne répond à la question.
Les chiffres de Statistique Canada montrent l’ampleur du problème. En 2023, une entreprise canadienne sur six a été touchée par un incident de cybersécurité. Les dépenses de rétablissement ont doublé en deux ans pour atteindre 1,2 milliard de dollars. Pourtant, seulement 26 % des entreprises ont des politiques de cybersécurité écrites. Environ 59 % disent mener des « activités » pour identifier leurs risques, mais une activité n’est pas une analyse documentée.
Une analyse de risque n’est pas un exercice de conformité. C’est le document qui justifie chaque dollar que vous dépensez en sécurité. Et chaque dollar que vous décidez de ne pas dépenser.
Dans un article précédent, j’ai expliqué ce qu’exige la clause 6.1 d’ISO 27001. Ici, je passe à la pratique : la méthode que j’utilise avec mes clients, les concepts à comprendre et un exemple de résultat complet.
ISO 27005 en 30 secondes
ISO/IEC 27005 est un guide. Ce n’est pas une norme sur laquelle on se fait certifier. Elle explique comment répondre aux exigences de gestion des risques d’ISO 27001 et elle s’applique à toute organisation, peu importe sa taille.
Ce qu’elle ne fait pas : elle n’impose aucune méthode, aucune échelle, aucune formule. Votre méthode est acceptable si elle produit des résultats cohérents, valides et comparables d’une année à l’autre. C’est d’ailleurs ce qu’exige ISO 27001 à la clause 6.1.2.
La version 2022 apporte trois changements utiles pour une PME :
- Elle est alignée sur ISO 31000:2018 et sur ISO 27001:2022 ;
- Elle introduit la notion de scénario de risque ;
- Elle reconnaît deux approches. L’approche par événements part des préoccupations de la direction pour bâtir des scénarios. L’approche par actifs, elle, part de l’inventaire des actifs, des menaces et des vulnérabilités.
Le message pour une PME est simple : vous n’êtes plus obligé d’inventorier chaque portable et chaque logiciel pour produire une analyse défendable. La méthode que je présente combine les deux approches. On dresse une courte liste d’actifs regroupés, puis on évalue une dizaine de scénarios.
Les six concepts à comprendre
1. Actif
Tout ce qui a de la valeur et doit être protégé : données, systèmes, fournisseurs, personnes. Les actifs se regroupent. Les 25 portables de vos employés forment un seul actif.
2. Scénario de risque
Une histoire en une phrase. « Un rançongiciel chiffre le serveur ERP et les sauvegardes qui y sont connectées. » C’est l’unité de base de votre registre.
3. Impact et probabilité
Deux échelles, définies par écrit avant de commencer. Sans définitions écrites, deux personnes donneront deux notes différentes au même risque et votre analyse ne sera pas reproductible.
4. Critères d’acceptation
Le seuil au-delà duquel la direction exige un traitement. C’est une décision de gestion, pas un calcul. ISO 27005 le dit elle-même : une petite entreprise peut commencer avec un appétit pour le risque plus élevé et le réduire à mesure qu’elle grandit.
5. Propriétaire du risque
La personne qui a l’autorité de décider et le budget pour agir. Ce n’est pas votre fournisseur TI. Un fournisseur peut vous conseiller, il ne peut pas accepter un risque à votre place.
6. Risque résiduel
Ce qui reste une fois les mesures en place. Le risque zéro n’existe pas. ISO 27001 exige que le propriétaire du risque accepte explicitement ce résiduel : une signature, une date.
La méthode en 5 étapes
Étape 1 : contexte et portée
Précisez ce que vous analysez : toute l’entreprise, un service ou un produit. ISO 27005 n’exige pas de tout couvrir d’un coup. Notez aussi le contexte du moment : budget, ressources, projets en cours.
L’analyse se révise au moins une fois par année. Elle se refait aussi à chaque élément déclencheur : nouveau projet, nouvel actif important, incident de sécurité, changement majeur d’infrastructure, nouveau client d’importance.
Étape 2 : les actifs regroupés et leur valeur
Dressez une liste de 6 à 10 groupes d’actifs. Pour chacun, nommez un propriétaire, puis attribuez une cote de 1 à 4 en disponibilité, en intégrité et en confidentialité.
| Cote | Disponibilité (combien de temps peut-on s’en passer?) | Intégrité et confidentialité (conséquence d’une atteinte) |
|---|---|---|
| 1 | Des semaines | Négligeable |
| 2 | Des jours | Sérieuse |
| 3 | Des heures | Catastrophique |
| 4 | Des minutes | Met la survie de l’entreprise en péril |
Valeur de l’actif = Disponibilité + Intégrité + Confidentialité, donc une valeur de 3 à 12.
Étape 3 : les scénarios et leur évaluation
Rédigez de 8 à 12 scénarios. Pour chacun, évaluez l’impact et la probabilité selon ces grilles :
| Cote | Impact |
|---|---|
| 0 | Ne s’applique pas |
| 1 | Négligeable sur les opérations |
| 2 | Bas sur les opérations |
| 3 | Considérable sur les opérations |
| 4 | Critique pour la survie de l’organisation |
| Cote | Probabilité |
|---|---|
| 0 | Impossible ou ne s’applique pas |
| 1 | Jamais arrivé. Possibilité très faible |
| 2 | Jamais arrivé. Possibilité faible à moyenne |
| 3 | Déjà arrivé et pourrait se reproduire |
| 4 | Pourrait arriver n’importe quand, peut-être plusieurs fois par année |
Le calcul :
Risque = Valeur de l’actif × (Impact + Probabilité)
Le résultat varie de 0 à 96. Une règle à écrire noir sur blanc dans votre méthode : si l’impact ou la probabilité vaut 0, le risque vaut 0. Sans cette règle, un scénario jugé impossible obtiendrait quand même un score.
Étape 4 : évaluation et traitement
Comparez chaque risque à vos critères d’acceptation (section suivante). Pour chaque risque à traiter, choisissez une option parmi quatre :
- Réduire : mettre en place des mesures qui diminuent l’impact ou la probabilité ;
- Partager : confier une partie des conséquences à un tiers, par une assurance ou un contrat ;
- Éviter : cesser l’activité qui crée le risque ou ne plus collecter la donnée ;
- Accepter : conserver le risque par une décision éclairée et documentée.
Une note sur le vocabulaire : on ne « transfère » plus un risque, on le « partage ». Depuis l’édition 2022, ISO 27005 parle de partage du risque. Le transfert n’en est qu’une forme. Le changement n’est pas cosmétique. Quand vous achetez une assurance cyber ou confiez un service à un fournisseur, vous partagez les conséquences financières ou opérationnelles. Vous ne transférez jamais la responsabilité. Si les renseignements personnels de vos clients fuient chez votre fournisseur, c’est vous qui répondez à vos clients et à la Commission d’accès à l’information. Si un document parle encore de « transférer » le risque, il date d’avant 2022.
Étape 5 : risque résiduel et acceptation
Une fois les mesures choisies, refaites l’évaluation de l’impact et de la probabilité en tenant compte de ces mesures. Puis recalculez le risque avec la même formule.
On ne retire pas de points pour chaque mesure ajoutée. Compter les mesures ne dit rien de leur efficacité. Ce qui compte, c’est l’effet réel de chaque mesure. Des sauvegardes hors ligne testées réduisent l’impact d’un rançongiciel. L’authentification multifacteur réduit la probabilité qu’un compte soit compromis. Notez pour chaque mesure ce qu’elle réduit et pourquoi : c’est ce qui rend votre résiduel vérifiable.
Le propriétaire du risque signe ensuite le résultat. Un risque résiduel encore au-dessus du seuil peut être accepté temporairement, à condition qu’un plan d’action daté existe. ISO 27005 le prévoit explicitement.
Les critères d’acceptation
Voici les zones que je propose, inspirées de l’exemple à trois couleurs de l’annexe A d’ISO 27005 :
| Score | Zone | Décision |
|---|---|---|
| 0 à 35 | Vert | Acceptable tel quel. Revu lors de la révision annuelle |
| 36 à 55 | Jaune | Tolérable sous contrôle. Plan d’action à moyen terme avec un propriétaire nommé |
| 56 à 96 | Rouge | Inacceptable. Mesures à court terme ou arrêt de l’activité |
Le score seul ne suffit pas. ISO 27005 recommande de considérer aussi l’impact et la probabilité séparément. J’ajoute donc deux règles :
- Tout scénario dont l’impact vaut 4 (survie de l’entreprise) est traité, peu importe son score ;
- Tout scénario qui touche une obligation légale, comme la protection des renseignements personnels, avec un impact de 3 ou plus est traité, peu importe son score.
Une règle d’or : fixez vos seuils avant de calculer. Sinon, la tentation d’ajuster le seuil pour que le résultat paraisse bien devient irrésistible.
Exemple de registre des risques
L’entreprise : Atelier Boréal inc. (entreprise fictive), fabricant de meubles sur mesure, 40 employés. Son ERP roule sur un serveur local de 7 ans. Elle utilise Microsoft 365, vend en ligne sur Shopify, confie sa paie à un fournisseur et fait gérer ses TI par une firme externe.
Tableau A : les actifs
| # | Actif (groupe) | D | I | C | Valeur | Propriétaire |
|---|---|---|---|---|---|---|
| A1 | ERP (production, comptabilité, commandes) | 3 | 4 | 3 | 10 | Contrôleuse |
| A2 | Microsoft 365 (courriels, SharePoint, OneDrive) | 3 | 2 | 3 | 8 | Président |
| A3 | Portables et postes de travail (25 appareils) | 2 | 2 | 2 | 6 | Directeur des opérations |
| A4 | Boutique en ligne | 3 | 3 | 3 | 9 | Directrice des ventes |
| A5 | Dossiers RH et paie (impartie) | 1 | 3 | 4 | 8 | Contrôleuse |
| A6 | Plans et dessins des clients | 2 | 2 | 4 | 8 | Directeur des opérations |
Tableau B : l’évaluation des risques
| # | Scénario | Actif | Valeur | I | P | Risque | Zone |
|---|---|---|---|---|---|---|---|
| S1 | Un rançongiciel chiffre le serveur ERP et ses sauvegardes connectées | A1 | 10 | 4 | 3 | 70 | Rouge |
| S2 | Un compte Microsoft 365 est compromis par hameçonnage (MFA absent sur certains comptes) | A2 | 8 | 3 | 4 | 56 | Rouge |
| S3 | Un fraudeur fait changer les coordonnées bancaires d’un fournisseur par courriel | A2 | 8 | 3 | 3 | 48 | Jaune |
| S4 | Vol d’un portable non chiffré contenant des données clients | A3 | 6 | 3 | 3 | 36 | Jaune |
| S5 | Panne du serveur ERP (7 ans, sans contrat de support) | A1 | 10 | 3 | 2 | 50 | Jaune |
| S6 | Fuite des renseignements personnels des employés chez le fournisseur de paie | A5 | 8 | 3 | 1 | 32 | Vert (traité : règle légale) |
| S7 | Boutique en ligne défigurée ou indisponible (application tierce non à jour) | A4 | 9 | 2 | 2 | 36 | Jaune |
| S8 | Un employé qui quitte conserve l’accès aux plans des clients | A6 | 8 | 3 | 2 | 40 | Jaune |
| S9 | Suppression accidentelle de fichiers dans SharePoint | A2 | 8 | 1 | 3 | 32 | Vert |
Tableau C : le traitement et le risque résiduel
| # | Option | Mesures | I résiduel | P résiduelle | Résiduel | Décision |
|---|---|---|---|---|---|---|
| S1 | Réduire | Sauvegardes hors ligne ou immuables, test de restauration trimestriel, EDR, MFA sur l’accès à distance | 3 | 2 | 50 (jaune) | Accepté par le président jusqu’à la migration de l’ERP (S5) |
| S2 | Réduire | MFA sur 100 % des comptes, blocage de l’authentification héritée, formation et simulations d’hameçonnage | 3 | 2 | 40 (jaune) | Accepté par le président, revu dans 6 mois |
| S3 | Réduire et partager | Rappel obligatoire à un numéro déjà connu avant tout changement de coordonnées, double approbation des virements, vérification de la couverture d’assurance pour la fraude par ingénierie sociale | 3 | 1 | 32 (vert) | Acceptée par la contrôleuse |
| S4 | Réduire | Chiffrement des disques (BitLocker), effacement à distance | 1 | 3 | 24 (vert) | Accepté par le directeur des opérations |
| S5 | Éviter | Migration de l’ERP vers une version infonuagique d’ici 12 mois | 2 | 1 | 30 (vert) | Acceptée par la contrôleuse, après migration |
| S6 | Partager | Contrat écrit avec clauses de protection des renseignements personnels, rapport SOC 2 du fournisseur obtenu chaque année | 3 | 1 | 32 (vert) | Acceptée par la contrôleuse |
| S7 | Réduire | Revue trimestrielle des applications installées, MFA sur les comptes administrateurs | 2 | 1 | 27 (vert) | Acceptée par la directrice des ventes |
| S8 | Réduire | Retrait des accès le jour du départ, revue des accès deux fois par année | 3 | 1 | 32 (vert) | Acceptée par le directeur des opérations |
| S9 | Accepter | Corbeille et rétention de Microsoft 365 déjà en place | 1 | 3 | 32 (vert) | Acceptée par le président |
Comment lire ce résultat
Deux risques rouges, cinq jaunes, deux verts. Le premier budget va au rançongiciel et à l’authentification multifacteur. Pas à un nouveau pare-feu.
Le scénario S1 reste jaune après traitement. C’est normal. Un risque résiduel n’a pas à être vert : il doit être décidé. Le président l’accepte temporairement parce qu’un plan daté existe, la migration de l’ERP.
Le scénario S6 montre pourquoi le score seul ne suffit pas. Il est vert, mais il touche les renseignements personnels des employés. La règle légale oblige à le traiter. Au Québec, confier des renseignements personnels à un fournisseur exige un contrat écrit qui encadre leur protection.
Le scénario S4 montre comment une seule mesure bien choisie fait baisser l’impact : un portable chiffré volé n’expose plus les données qu’il contient.
Le scénario S5 illustre l’option « éviter ». On ne protège pas indéfiniment un serveur en fin de vie, on s’en débarrasse.
Ces trois tableaux, la méthode écrite et les signatures répondent à la question de votre client, de votre assureur et de votre auditeur.
Cinq erreurs que je vois en audit
- Un seuil fixé après le calcul. On ajuste la règle pour que le résultat paraisse bien.
- Des échelles sans définitions écrites. « Moyen » veut dire quelque chose de différent pour chaque personne autour de la table.
- Le fournisseur TI désigné propriétaire des risques. Il ne décide pas de vos budgets, il ne peut pas accepter vos risques.
- Un risque résiduel calculé en retirant des points par mesure ajoutée. Dix mesures inefficaces ne valent pas une mesure efficace.
- Une analyse jamais refaite. Ni après un incident, ni après un changement majeur. Elle devient un document d’archives.
Par où commencer
- Bloquez une demi-journée avec la direction et la personne responsable des TI ;
- Écrivez la méthode et les échelles avant de coter quoi que ce soit. Deux pages suffisent ;
- Dressez 6 à 10 groupes d’actifs, puis 8 à 12 scénarios. Visez juste plutôt qu’exhaustif : ISO 27005 recommande une démarche itérative, plus détaillée à chaque passage ;
- Faites signer les décisions d’acceptation par les propriétaires des risques ;
- Inscrivez la révision annuelle à votre calendrier et refaites l’exercice à chaque élément déclencheur.
Bref, la prochaine fois qu’on vous demandera « Avez-vous fait votre analyse de risque? », vous n’aurez pas à improviser. Vous joindrez trois tableaux, une méthode de deux pages et des signatures.
Vous voulez un regard sur votre registre? Parlons-en.
Références
ISO/IEC 27005:2022, Sécurité de l’information, cybersécurité et protection de la vie privée : Préconisations pour la gestion des risques liés à la sécurité de l’information (art. 1, 5.1, 6.4.2, 7.2.1, 7.3.4, 8.2, 8.6.3 et annexe A) ; ISO/IEC 27001:2022, clauses 6.1.2 et 6.1.3 ; Statistique Canada, Enquête canadienne sur la cybersécurité et le cybercrime, 2023 (Le Quotidien, 21 octobre 2024).