Normes & Référentiels v1.0

ISO 27005

Norme internationale de lignes directrices pour gérer les risques liés à la sécurité de l'information, en appui d'ISO 27001.

Définition complète

L'ISO/IEC 27005 fournit des lignes directrices pour gérer les risques liés à la sécurité de l'information. Elle accompagne la mise en œuvre d'un système de management de la sécurité de l'information (SMSI) selon l'ISO/IEC 27001, qui impose d'apprécier et de traiter les risques sans dire précisément comment.

La version en vigueur est la quatrième édition, publiée en octobre 2022. Elle a été restructurée pour s'aligner sur l'ISO/IEC 27001:2022 et sur l'ISO 31000:2018 (management du risque). Elle décrit le processus : établir le contexte et les critères de risque, identifier les risques (en partant des biens ou des événements redoutés), les analyser, les évaluer, choisir un traitement (réduire, éviter, transférer, accepter), puis surveiller et communiquer.

C'est un document d'orientation, sans exigences auditables : on ne peut pas être certifié ISO 27005. La certification porte sur ISO 27001. La norme ne prescrit pas de méthode unique ; EBIOS Risk Manager en est une application possible.

Source : ISO, ISO/IEC 27005:2022

Exemple concret

Une société de services de paie de 60 salariés prépare sa certification ISO 27001, exigée par un grand client. Pour construire son appréciation des risques, elle suit le processus de l'ISO 27005 : elle définit une échelle de gravité et de vraisemblance, identifie qu'une indisponibilité de sa plateforme en fin de mois serait critique, et décide de réduire ce risque par une seconde salle d'hébergement, en acceptant formellement d'autres risques jugés faibles.

Comment se protéger

  • Définir des critères de gravité et de vraisemblance compréhensibles par la direction
  • Partir des activités essentielles de l'entreprise avant de descendre vers les systèmes
  • Documenter chaque décision de traitement, y compris l'acceptation d'un risque
  • Désigner un propriétaire pour chaque risque important
  • Réviser l'appréciation des risques au moins une fois par an et après tout incident majeur
  • Choisir une méthode concrète (par exemple EBIOS RM) pour appliquer les lignes directrices

Questions fréquentes

Termes liés

EBIOS Risk Manager

Méthode d'analyse des risques cyber publiée par l'ANSSI, fondée sur des scénarios d'attaque réalistes en cinq ateliers.

ISO 27001

Norme internationale de gestion de la sécurité de l'information.

RSSI

Responsable de la Sécurité des Systèmes d'Information.

RGPD

Règlement européen sur la protection des données personnelles.
Trouver un prestataire spécialisé
Tester ma maturité cyber

Vous avez besoin d'un expert en ISO 27005 ?

Créez votre compte pour recevoir des réponses de prestataires qualifiés.

Créer un compte gratuit Déjà inscrit ? Se connecter
Retour au lexique