Protéger un patrimoine informationnel suppose de le faire selon une méthode reproductible, et non au gré des urgences. C’est l’objet des référentiels de gestion des risques.
Les normes de référence
ISO 27001 définit un système de management de la sécurité de l’information (SMSI) ; ISO 27005, dérivée d’ISO 31000, encadre spécifiquement la gestion des risques liés à la sécurité de l’information ; ISO 27002 fournit un catalogue de mesures de sécurité, repris en annexe A de la 27001. En France, EBIOS Risk Manager, porté par l’ANSSI, est la méthode de référence — j’y reviens plus en détail dans la note sur la gouvernance et la cartographie.
La boucle d’amélioration continue
Le cycle PDCA (Plan, Do, Check, Act) structure toute démarche de sécurité soucieuse de durer :
- Plan — analyser le contexte, définir les objectifs, les risques et un plan de traitement ;
- Do — mettre en œuvre les mesures retenues ;
- Check — vérifier leur efficacité par des audits, des indicateurs, des revues ;
- Act — corriger, améliorer, puis recommencer le cycle.
L’idée centrale n’est jamais d’atteindre un état de sécurité stable et définitif, mais de maintenir une amélioration continue face à un paysage de menaces lui-même en mouvement permanent.
Le processus de gestion des risques
ISO 27005 et les méthodes qui s’en inspirent convergent sur une même trame en cinq temps.
L’établissement du contexte fixe le cadre organisationnel, réglementaire et technique, ainsi que le périmètre et les critères d’acceptation des risques.
L’appréciation des risques se déroule en trois sous-étapes : l’identification recense les actifs (processus, informations, systèmes), les menaces, les vulnérabilités, les mesures déjà en place et les conséquences possibles ; l’analyse évalue vraisemblance et impact, qualitativement ou quantitativement (y compris en termes financiers) ; l’évaluation compare ces résultats aux critères d’acceptation définis en amont, et priorise l’ensemble dans une cartographie des risques.
Le traitement des risques ouvre quatre options : la réduction, qui ajoute des mesures humaines, techniques, juridiques ou organisationnelles ; le maintien, qui accepte le risque lorsque son niveau est jugé tolérable ; le refus, qui arrête purement l’activité porteuse du risque ; et le transfert, typiquement via une cyber-assurance ou un engagement contractuel d’un sous-traitant. Chaque option retenue se formalise dans un plan de traitement précisant qui agit, sur quels actifs, avec quel budget et dans quel délai.
L’acceptation du risque résiduel revient à la direction, qui valide formellement ce qui subsiste après traitement, dès lors que ce reliquat respecte les critères fixés initialement.
La communication et la surveillance, enfin, traversent transversalement tout le processus : reporting régulier, mise à jour continue des analyses, dialogue permanent avec les parties prenantes concernées.