La gestion des risques à la sécurité de l’information c’est l’ensemble des actions prises par l’organisation pour comprendre et réduire les effets du risque.

La clause 6.1 de la norme ISO 27001 adresse les actions pour identifier les menaces, estimer leurs niveaux de risque et gérer le plan d’action pour prévenir ou réparer l’impact de ces risques.

En premiers lieu, cette clause de la norme ISO27001 est plus élaboré que les autres clauses, principalement parce qu’elle est surtout centrale au projet de mise en place du système de gestion de la sécurité de l’information (SGSI).

Elle est centrale parce que nous devons déterminer les éléments, les risques, les menaces qui empêchent notre entreprise de continuer à bien fonctionner et d’atteindre ses objectifs.

Clause 6.1 —Généralité

La première clause, numéro 6.1.1 nous offre un guide pour juger notre pratique de gestions des risques selon des critères très précis.

L’organisation doit avoir documenté une méthode d’analyse de risque.

Un examen de la méthode de gestion des risques doit permettre d’identifier les items suivants, qui représentent les critères de succès d’une bonne méthode d’analyse de risque.

Donc notre méthode doit:

  • Faciliter l’accomplissement des objectifs du SGSI.
  • Atténuer et minimiser l’impact des risques.
  • Promouvoir et faciliter l’amélioration continue.
  • S’intégrer dans le programme de sécurité de l’organisation.
  • Fournir les moyens d’évaluer l’efficacité de nos réponses aux risques.
  • Être répétable et produire des résultats similaires d’une évaluation à une autre!

Clause 6.1.2 — Appréciation des risques à la sécurité de l’information

La clause 6.1.2 de la norme ISO 27001 exige que l’organisation évalue les risques de sécurité de l’information en se basant sur des critères définis.

L’objectif de cette clause est de permettre à l’organisation d’identifier et de prioriser les risques de sécurité de l’information pour déterminer les mesures de sécurité appropriées à mettre en place.

D’où viennent les menaces et vulnérabilités

Une analyse de risque commence par l’analyse des menaces qui pèse sur notre organisation ainsi que sur les vulnérabilités présentes.

La relation entre une menace et une vulnérabilité est que la menace exploite la vulnérabilité pour causer des dommages ou des pertes.

En d’autres termes, une vulnérabilité représente une “ouverture” qu’une menace peut utiliser pour attaquer un système.

Dans le cadre d’une gestion efficace des risques, l’objectif est de comprendre et de gérer à la fois les menaces (par exemple, en mettant en place des mesures de sécurité pour les dissuader) et les vulnérabilités (par exemple, en les corrigeant ou en les atténuant).

  1. Menace : Une menace est quelque chose qui pourrait causer un dommage à un système d’information. Les menaces peuvent provenir de diverses sources, y compris des attaquants malveillants, des erreurs humaines, des catastrophes naturelles, ou des défaillances techniques. Les menaces peuvent être intentionnelles (comme un pirate informatique qui tente de pénétrer dans un système) ou non intentionnelles (comme un employé qui supprime accidentellement des données importantes).
  2. Vulnérabilité : Une vulnérabilité est une faiblesse dans un système d’information qui pourrait être exploitée par une menace. Par exemple, un logiciel qui n’a pas été mis à jour et qui contient des failles de sécurité connues est une vulnérabilité. De même, l’absence de politiques appropriées de mot de passe ou de formation à la sensibilisation à la sécurité pour les employés peut également être considérée comme une vulnérabilité.

Donc notre première étape serait d’obtenir ces éléments d’informations, plusieurs sources sont disponibles:

  • En reprenant les enjeux de sécurité déterminés lors du contexte de l’organisation (voir clause 4)
  • En réalisant un audit ou un test de sécurité afin de déterminer les vulnérabilités de l’organisation.
  • Déterminer ce qui pourrait mal se produire sur nos actifs et systèmes.
  • Analyse du marché et de notre industrie, il pourrait y avoir des tendances ou évènements spécifiques au secteur.
  • Veille de menace en suivant les bulletins de sécurité, les rapports d’analystes et les forums spécialisés .
  • Formation et sensibilisation des employés permettent de prévenir certaines menaces, mais aussi d’obtenir de l’information de ceux-ci sur des vulnérabilités ou faiblesses de l’organisation.

Exemple de vulnérabilité

  1. Logiciels non mis à jour : Les systèmes d’exploitation, les applications et le micrologiciel qui n’ont pas été mis à jour peuvent contenir des failles de sécurité connues.
  2. Mauvaises configurations de sécurité : Cela peut inclure des serveurs mal configurés, des coupe-feu avec des règles trop permissives, des comptes d’utilisateurs avec des privilèges excessifs ou des services inutiles qui sont laissés en fonctionnement.
  3. Manque de sensibilisation à la sécurité : Les employés qui ne sont pas correctement formés aux pratiques de sécurité de base peuvent être vulnérables aux hameçonnages, installer des logiciels malveillants ou compromettre accidentellement la sécurité de l’entreprise.
  4. Utilisation de mots de passe faibles ou compromis : Les comptes d’utilisateurs avec des mots de passe faciles à deviner, réutilisés ou précédemment compromis sont une cible facile pour les attaquants.
  5. Manque de contrôles d’accès : Si l’accès aux systèmes et aux données n’est pas correctement contrôlé, les informations sensibles peuvent être exposées à des personnes non autorisées, y compris les attaquants.

Exemple de menace

  1. Attaques par hameçonnage: Ce sont des tentatives d’obtenir des informations sensibles, comme des identifiants de connexion ou des informations de carte de crédit, en se faisant passer pour une entité de confiance dans une communication électronique.
  2. Rançongiciel: Un type de logiciel malveillant qui chiffre les données d’un utilisateur puis demande une rançon en échange de la clé de déchiffrement.
  3. Attaques par force brute : Ces attaques consistent à essayer de nombreuses combinaisons de mots de passe dans le but de deviner correctement un mot de passe.
  4. Attaques d’ingénierie sociale : Ces attaques manipulent les gens pour qu’ils donnent accès à des informations sensibles ou à des systèmes sécurisés. Cela peut se faire par tromperie, manipulation ou usurpation d’identité.
  5. Attaques internes : Ces attaques proviennent de personnes au sein de l’organisation, comme les employés, les entrepreneurs ou les autres personnes qui ont un accès légitime aux systèmes. Ces attaques peuvent être intentionnelles (par exemple, l’espionnage ou le vol de données) ou non intentionnelles (par exemple, les erreurs ou la négligence).

Déterminer le risque global des menaces

Pour chaque menace et vulnérabilité découverte précédemment, on détermine son niveau de risque global.

Le niveau de risque global peut se mesurer par la formule suivante:

Risque global = Impact x Probabilité Donc pour déterminer le risque on doit déterminer la valeur de l’impact et de la probabilité d’occurrence d’une menace.

Déterminer notre approche d’évaluation des risques

Il existe plusieurs approches pour évaluer les risques, qui peuvent être qualitatifs, semi-quantitatifs ou quantitatifs, l’organisation doit déterminer dans sa documentation quelle approche elle compte utiliser afin que cette méthode soit répétable.

  • Approche qualitative : Les risques sont classés en fonction de descripteurs qualitatifs, tels que faible, moyens, élèves. Cette approche est souvent utilisée lorsque les données sont limitées ou lorsque les risques sont difficiles à quantifier.
  • Approche semi-quantitative : Cette approche utilise une combinaison de descriptions qualitatives et de scores numériques pour évaluer les risques. (Méthode utilisée précédemment dans nos exemples) Par exemple, un risque pourrait être classé comme “faible” (1), “moyen” (2) ou “élevé” (3) en termes de probabilité et d’impact.
  • Approche quantitative : Les risques sont évalués en termes de valeurs numériques spécifiques. Par exemple, le risque pourrait être exprimé en termes de perte financière potentielle ou de temps d’arrêt du système. Cela nécessite généralement plus de données et une analyse plus complexe.

Déterminer la probabilité

La probabilité d’un risque est une évaluation de la potentialité qu’un événement indésirable se produise.

La méthode exacte pour déterminer les niveaux de probabilité peut varier selon le type de risque, l’industrie, et le contexte organisationnel spécifique. Certaines organisations peuvent utiliser une échelle quantitative (par exemple, une probabilité de 0 à 1, ou un pourcentage de 0 à 100%), tandis que d’autres peuvent préférer une échelle qualitative ou semi-quantitative.

Voici un exemple de la manière dont une organisation pourrait définir les niveaux de probabilité d’un risque sur une échelle qualitative:

  1. Très faible : Le risque est peu probable qu’il se produise.
  2. Faible : Le risque pourrait se produire, mais il est peu probable.
  3. Modéré : Il y a une chance équitable que le risque se produise.
  4. Élevé : Il est probable que le risque se produise.
  5. Très élevé : Il est presque certain que le risque se produira.

Notez que ces niveaux sont subjectifs et doivent être adaptés au contexte spécifique de l’organisation. Pour être efficace, l’évaluation de la probabilité doit être réalisée par des personnes ayant une bonne compréhension du risque et du contexte dans lequel il se produit.

Impact

L’impact d’un risque se réfère à la gravité des conséquences si le risque se réalise. L’évaluation de l’impact est une composante essentielle de l’analyse des risques et elle peut être qualitative, semi-quantitative ou quantitative, selon le contexte et les exigences de l’organisation.

Comme pour la probabilité, les niveaux d’impact peuvent être définis de différentes manières. Voici un exemple de comment une organisation pourrait définir les niveaux d’impact d’un risque sur une échelle qualitative :

  1. Très faible : L’impact sur l’organisation serait négligeable ou inexistant.
  2. Faible : L’impact serait mineur, avec peu de conséquences sur les opérations, la réputation ou la rentabilité de l’organisation.
  3. Modéré : L’impact serait notable et pourrait entraîner des perturbations modérées des opérations ou des dommages à la réputation de l’organisation.
  4. Élevé : L’impact serait important, avec des conséquences sérieuses pour l’organisation, comme une interruption importante des opérations, des dommages importants à la réputation ou une perte financière significative.
  5. Très élevé : L’impact serait extrême et pourrait menacer la viabilité de l’organisation.

Il est important de noter que l’impact d’un risque peut avoir plusieurs dimensions. Par exemple, il peut y avoir un impact sur les finances, la réputation, la santé et la sécurité, la conformité réglementaire, et d’autres domaines. L’évaluation de l’impact doit prendre en compte ces dimensions.

Déterminer sa tolérance pour le risque

ISO27001 — Clause 6.1 — Actions pour faire face aux risques et opportunités!

Déterminer ce qui est rouge pour l’organisation

L’appétit pour le risque, également connu sous le nom de tolérance au risque, est une mesure de la quantité de risque qu’une organisation est disposée à accepter en poursuivant ses objectifs.

L’appétit pour le risque peut varier considérablement d’une organisation à l’autre. Certaines entreprises sont plus conservatrices et cherchent à minimiser les risques autant que possible, tandis que d’autres sont plus agressives et sont prêtes à prendre des risques plus importants dans l’espoir de réaliser des gains plus importants.

Il est nécessaire pour une organisation de définir clairement son appétit pour le risque, car cela aide à guider les décisions sur la façon de gérer les risques.

Par exemple, si un certain risque est au-dessus du niveau d’appétit pour le risque de l’organisation, des mesures devront être prises pour réduire ce risque.

Évaluation du risque

L’évaluation ou l’appréciation du risque est un processus par lequel l’organisation détermine la gravité d’un risque potentiel. Ce processus comprend généralement deux étapes principales : l’analyse du risque et l’évaluation du risque.

  1. Analyse du risque : Priorisé les risques et avoir une liste de ces risques. Toujours selon la formule Risque global = Probabilité x Impact.
  2. Évaluation du risque : Le risque global est comparé avec le seuil d’acceptation des risques pour décider de l’importance du risque, s’il est acceptable ou non.

Clause 6.1.3 — Traitement des risques à la sécurité de l’information

La clause 6.1.3 de la norme ISO 27001 exige que l’organisation établisse et mette en œuvre un processus de *traitement *des risques de sécurité de l’information. Ce processus doit être basé sur l’évaluation des risques de sécurité de l’information effectuée conformément à la clause 6.1.2.

Le processus de traitement des risques doit inclure l’identification des options de traitement des risques, telles que l’acceptation, le traitement, le transfert ou l’évitement des risques. L’organisation doit sélectionner les mesures de traitement des risques appropriées en fonction de critères tels que les coûts, les avantages et la faisabilité.

Plan de traitement du risque

Aux étapes précédentes l’organisation a déterminé ses menaces, ses vulnérabilités, leurs risques globaux et mis en ordre ces résultats.

Ces risques doivent être gérés. Chaque risque doit être traité de l’une de ces manières:

Accepté le risque, c’est reconnaître qu’un risque spécifique existe et décider de ne pas prendre de mesures spécifiques pour l’atténuer ou le transférer. L’acceptation du risque peut être une option appropriée dans plusieurs scénarios. Par exemple, si le coût de la mise en œuvre d’un contrôle pour atténuer le risque est supérieur à l’impact potentiel du risque lui-même, une entreprise peut choisir d’accepter le risque. De plus, si un risque a une faible probabilité de se produire et qu’il avait un impact mineur s’il se produisait, une organisation peut également décider d’accepter le risque.

Les risques acceptés doivent être surveillés de manière périodique pour s’assurer que leur niveau reste acceptable pour l’organisation.

Lorsque les risques sont acceptés, ils doivent être documentés de manière formelle, généralement dans le registre des risques de l’organisation, et approuvés par la direction ou une autre partie prenante appropriée.

Éliminer le risque consiste à prendre des mesures pour supprimer entièrement un risque spécifique. Cette action implique généralement de supprimer la cause du risque ou de changer le processus ou l’activité qui cause ce risque. Par exemple, si une organisation identifie un risque lié à l’utilisation d’un certain type de matériel ou de logiciel, elle peut choisir d’éliminer ce risque en cessant d’utiliser ce matériel ou ce logiciel.

De même, si une entreprise identifie un risque lié à une certaine pratique commerciale, elle peut choisir d’éliminer ce risque en changeant ou en arrêtant cette pratique.

Réduire le risque consiste à prendre des mesures pour diminuer la probabilité d’occurrence d’un risque ou réduire l’impact potentiel si le risque se réalise. C’est une des stratégies clé pour gérer le risque, et elle est souvent utilisée lorsque le risque est jugé trop élevé pour être acceptable dans son état actuel.

L’organisation doit déterminer une source de mesure de sécurité à mettre en place pour réduire les risques. La source de ces mesures de sécurité utilisée par une majorité d’organisations se trouve à l’annexe A de la norme ISO 27001. (Voir Création d’une déclaration d’applicabilité plus bas)

Transférer le risque signifie déplacer la responsabilité ou le fardeau du risque vers une autre partie. Cela ne supprime pas le risque, mais plutôt il réduit l’exposition de l’organisation à ce risque. L’exemple le plus courant de transfert de risque est l’assurance. Par exemple, une entreprise peut souscrire une assurance contre les incendies, les inondations, ou le vol. Si un de ces événements se produit, la compagnie d’assurance couvrira les coûts, réduisant ainsi le fardeau financier sur l’entreprise.

Un autre exemple est l’externalisation, où une entreprise peut transférer certains risques opérationnels à un prestataire de services externe. Par exemple, une entreprise peut choisir d’externaliser la gestion d’un centre de données.

Le transfert de risque peut entraîner d’autres types de risques, tels que le risque que la partie à qui le risque est transféré ne soit pas en mesure de remplir ses obligations. Par conséquent, lors du transfert de risque, il est important de s’assurer que l’autre partie est capable et disposée à gérer le risque correctement.

Remarquez qu’il n’est pas possible de refuser le risque, celui-ci existe malheureusement, que vous soyez d’accord ou non !

Création d’une déclaration d’applicabilité

La déclaration d’applicabilité (Statement of Applicability — SoA en anglais) est un document clé qui décrit quels contrôles de sécurité de l’information sont applicables et justifie la pertinence de ces contrôles dans le cadre du Système de gestion de la Sécurité de l’Information (SGSI)

La norme ISO 27001 comprend une annexe (Annexe A) qui liste 96 contrôles de sécurité potentiels, répartis sur 4 thèmes. Cependant, pas tous ces contrôles ne sont nécessaires ou pertinents pour chaque organisation. L’organisation doit déterminer quels contrôles sont applicables à sa situation particulière.

Dans la SoA, l’organisation documente cette décision, en expliquant quels contrôles ont été sélectionnés et pourquoi. Cela inclut généralement :

  1. Les contrôles qui ont été sélectionnés pour mise en œuvre.
  2. Les contrôles qui ont été jugés non nécessaires et pourquoi.
  3. Comment les contrôles sélectionnés sont mis en œuvre ?

La Déclaration d’Applicabilité doit être approuvée par la direction de l’organisation, montrant ainsi son engagement envers la sécurité de l’information. Elle est également un élément essentiel de l’audit de certification ISO 27001 et doit être régulièrement révisé et mise à jour pour refléter l’évolution du contexte de l’organisation, de ses exigences et de son environnement de risque.

Résumé de méthode d’analyse de risque

La norme ISO 27005 fournit une méthodologie d’analyse de risques pour la sécurité de l’information. Cette méthode comprend les étapes à haut niveau suivantes :

  1. Contexte de l’analyse des risques : il s’agit de définir le cadre de l’analyse des risques, y compris les objectifs de l’analyse, les limites de l’analyse et les critères de l’analyse.
  2. Identification des actifs: cette étape consiste à identifier les actifs d’information pertinents de l’organisation, tels que les données, les systèmes, les processus et les personnes.
  3. Identification des menaces : il s’agit de recenser les événements potentiels qui pourraient causer des dommages à ces actifs, tels que les attaques informatiques, les erreurs humaines ou les catastrophes naturelles.
  4. Identification des vulnérabilités: cette étape consiste à identifier les faiblesses dans les actifs d’information qui pourraient être exploitées par les menaces identifiées.
  5. Estimation des risques: il s’agit d’évaluer la gravité et la probabilité des risques en fonction des menaces et des vulnérabilités identifiées.
  6. Évaluation des risques: cette étape consiste à classer les risques identifiés en fonction de leur gravité et de leur probabilité et à déterminer les mesures de sécurité appropriées pour traiter ces risques.
  7. Traitement des risques: il s’agit de sélectionner et de mettre en œuvre les mesures de sécurité appropriées pour traiter les risques identifiés, telles que des politiques de sécurité, des contrôles techniques ou des procédures opérationnelles.
  8. Surveillance et revue : cette étape consiste à surveiller et à réexaminer régulièrement les mesures de sécurité mises en place pour s’assurer de leur efficacité continue et pour identifier les changements dans l’environnement de l’organisation qui pourraient affecter les risques de sécurité de l’information.

Critères de succès

Afin de déterminer si nous avons bien répondu à la clause 6.1 de la norme ISO27001, voici quelques questions qu’un auditeur peut vous poser:

  1. Comment identifiez-vous les risques associés à la sécurité de l’information ? Quels sont les critères utilisés pour déterminer quels risques doivent être évalués ?
  2. Comment évaluez-vous l’impact potentiel et la probabilité d’occurrence des risques identifiés ? Avez-vous un processus défini pour l’évaluation des risques ?
  3. Comment décidez-vous des mesures appropriées pour traiter les risques ? Pouvez-vous montrer des exemples de risques que vous avez décidé d’accepter, de réduire, de transférer ou d’éliminer ?
  4. Pouvez-vous présenter votre Déclaration d’Applicabilité (SoA) ? Comment avez-vous décidé quels contrôles étaient appropriés pour chaque risque ? Pouvez-vous expliquer pourquoi certains contrôles n’ont pas été jugés nécessaires ?
  5. Comment suivez-vous et revoyez-vous régulièrement les risques ? Avez-vous des exemples de risques que vous avez réévalués à la suite de changements dans l’environnement de l’organisation ?
  6. Comment la direction est-elle impliquée dans le processus de gestion des risques ?
  7. Pouvez-vous présenter les documents, de méthode et de résultats qui prouvent que vous avez mis en œuvre un processus de gestion des risques, y compris l’identification, l’évaluation, le traitement et la revue des risques ?