Analyse de risques ISO 27001
L’ISO 27001 exige une analyse de risques documentée, pas une liste d’opinions. Nous posons le périmètre, les menaces, les impacts et les traitements que votre équipe peut réellement suivre.
Ce qu’on voit trop souvent
Beaucoup de PME ont une « analyse de risques » qui est une liste d’inquiétudes. Sans méthode, sans actifs, sans traitements décidés, elle ne sert ni la direction ni l’auditeur.
- des risques nommés au feeling, sans lien avec les processus critiques
- une matrice copiée, jamais mise à jour, jamais utilisée pour prioriser
- aucun traitement : tout est « à surveiller »
- la direction n’a jamais tranché ce qu’elle accepte de vivre avec
- aucun lien avec l’Annexe A ni avec ce qui est déjà en place
De quoi s’agit-il
L’analyse de risques ISO 27001 identifie ce qui menace vos informations dans un périmètre donné, évalue l’impact et la vraisemblance, puis décide des traitements. Ce n’est pas un brainstorming de peurs, ni un rapport d’outil oublié dans un dossier.
Le livrable utile, c’est un registre que votre équipe peut rouvrir : actifs, scénarios, décisions datées, responsables. C’est ce registre qui oriente les autres modules, pas l’inverse.
Où ça se situe dans ISO 27001
Le module couvre la clause 6.1 et le cycle opérationnel 8.2 / 8.3 : apprécier les risques, puis les traiter. Il ne déroule pas les 93 contrôles un par un.
Ce que comprend ce module
- Atelier de cadrage avec la direction
- Identification des actifs informationnels critiques
- Évaluation des menaces, impacts et vraisemblances
- Lien avec les contrôles déjà en place et l’Annexe A
- Priorisation des traitements réalistes pour une PME
Comment on travaille
Cadrage et actifs
On part du périmètre (même imparfait) et on identifie les actifs informationnels critiques avec les gens qui les connaissent.
Scénarios et évaluation
Menaces, impacts, vraisemblances, contrôles déjà en place. Une méthode simple, répétable, sans logiciel obligatoire.
Traitements et priorités
Réduire, transférer, éviter ou accepter. Chaque risque retenu a un traitement réaliste pour une PME, un responsable et une échéance.
Décisions de la direction
Compte rendu d’atelier, signatures, ce qui est accepté en l’état. Sans ça, le registre reste une opinion technique.
Ce que vous recevez
- Registre des risques utilisable au quotidien
- Matrice d’impact et de vraisemblance
- Plan de traitement des risques priorisé
- Compte rendu d’atelier avec décisions de la direction
Pour qui
Directions et responsables TI qui doivent justifier des priorités de sécurité devant un client, un assureur ou un auditeur.
Pour qui ce n’est pas
Ce module n’est pas un pentest, ni la mise en œuvre de tous les traitements. Il ne remplace pas le prédiagnostic si vous n’avez encore aucune photo du SGSI.
Durée type
2 à 4 semaines, selon le nombre de processus et de systèmes.
Ce que vous devez fournir
Vous fournissez l’inventaire approximatif des systèmes, les processus métier critiques, et du temps de la direction plus du responsable TI. Les accès aux équipes opérationnelles font la différence.
Limites de ce module
Ce module livre l’analyse et le plan de traitement. Il ne met pas en œuvre tous les contrôles, ni la certification.
Questions fréquentes
- Faut-il un outil coûteux pour l’analyse de risques ?
- Non. Pour une PME, un registre clair, une méthode répétable et des décisions datées suffisent. L’outil vient après, si le volume l’exige.
- Qui doit participer à l’atelier ?
- La direction, le responsable TI et les personnes qui connaissent les processus critiques. Sans eux, l’analyse reste théorique.
- Est-ce que ça remplace le prédiagnostic ?
- Non. Le prédiagnostic photographie l’ensemble du SGSI. L’analyse de risques approfondit la clause 6.1 et oriente les traitements.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.