Établissement du contexte

Introduction

ISO/IEC 27005 débute chacune des activités de son processus en définissant les entrées nécessaires à sa réalisation, les actions qui y seront menées et les sorties attendues. Ainsi nous débuterons tous les chapitres et sections liés aux processus de gestion des risques par un tableau comme celui-ci :

L’établissement du contexte constitue une définition du périmètre et des objectifs de l’organisation. Il est important de bien connaître l’organisation dans laquelle on travaille avant de pouvoir y produire une analyse de risque. La compréhension des offres de l’entreprise en matière de produits ou de services est essentielle pour le gestionnaire de risque car cela aura un impact sur la façon dont la gestion du risque sera menée. Il en va de même pour les processus d’opération qui sont la porte d’entrée à bon nombre de risques pour l’organisation. Il conviendra donc d’aligner notre gestion des risques à la politique de l’organisation en restant fidèle à ses valeurs, ses objectifs, ses missions et ses stratégies, mais aussi en prenant en compte l’environnement extérieur dans lequel elle évolue.

Tout au long de ce chapitre, nous nous baserons sur un exemple...

Établissement du contexte

Identifier les parties prenantes

Les parties prenantes (ou intéressées - les deux termes sont admis) sont toutes personnes ou organisations, internes ou externes, impliquées dans le processus de gestion des risques de la sécurité de l’information. La première étape sera de tous les identifier et de déterminer leur préoccupation en matière de sécurité de l’information. C’est ensuite que l’équipe de gestion des risques devra définir le rôle qu’ils auront à jouer dans le projet, leurs responsabilités, et le degré de participation attendu. L’implication des parties prenantes est essentielle au bon déroulement de la gestion du risque. Cela permet d’une part de les sensibiliser à la sécurité de l’information, mais aussi de leur expliquer au fur et à mesure comment la démarche de gestion des risques permet de réduire les coûts et de protéger les ressources de l’organisation.

Si nous reprenons notre exemple de banque fictive, les parties prenantes pourraient être :

Définir les objectifs

Les objectifs de la gestion du risque sont de contrer les risques identifiés et de se conformer aux politiques de sécurité de l’organisation ou à une réglementation. Les objectifs vont jouer un rôle déterminant dans les moyens attribués pour la mise en œuvre des mesures permettant d’atteindre le niveau d’exigence attendu, mais aussi dans la hiérarchisation des risques.

On pourra citer des objectifs du programme de la gestion du risque, qui peuvent être les suivants par exemple :

Ou des objectifs spécifiques liés à une appréciation des risques :

La banque, dans notre exemple « fil rouge », a défini de multiples objectifs qui sont tout d’abord de se conformer au RGPD pour des raisons légales mais aussi de respecter ses valeurs, c’est-à-dire d’accorder une importance toute particulière à la vie privée de ses clients et de son personnel. Elle souhaite également évaluer la maturité de la sécurité de son système d’information et ainsi éviter une perte de réputation suite à un éventuel piratage informatique. Pour finir, elle souhaite ouvrir de nouvelles agences un peu partout dans le pays et ce projet de grande envergure se doit d’être pensé de façon...

Définir les critères de base

L’importance du risque doit être évaluée suivant des critères bien définis, qui doivent refléter les valeurs et les objectifs de l’organisation. Certains critères peuvent être imposés par des contraintes juridiques telles que des réglementations, des lois, etc. Les critères se doivent d’être en accord avec la politique de gestion des risques de l’organisation et seront définis en amont et revus de façon continue.

La définition des critères de base devra prendre en compte un certain nombre de facteurs, notamment :

La norme ISO 27005 : 2018 distingue trois types de critères de base :

Définir le cadre et les limites

Un cadre et des limites strictes doivent être définis par le gestionnaire de risque lié à la sécurité de l’information. Cela permet de s’assurer que tous les actifs pertinents sont pris en compte dans l’analyse de risque. Il est également possible d’exclure du périmètre certains processus ou certains actifs.

La définition de ce périmètre est commune à celle utilisée dans les autres normes où il est question de système de management. Nous pouvons citer par exemple la norme ISO 27001 qui nécessite la définition d’un périmètre du SMSI (Système de management de la sécurité de l’information). C’est uniquement ce périmètre qui sera certifié si l’organisation décide de l’obtention d’une certification.

Simplifions cela en reprenant l’exemple de la banque. Le périmètre est l’entièreté du bâtiment du siège social, les limites en sont donc les murs. Nous décidons que pour l’analyse de risque liée à l’information, nous excluons les salles d’eau du bâtiment. Ainsi, l’accueil, les salles de réunion, les bureaux, les meubles, les procédures, le personnel, etc. font tous partie du périmètre. Cela ne signifie pas que les salles d’eau du bâtiment ne doivent pas être soumises à une gestion des risques, bien au contraire. Une gestion des risques à part sera mise en place pour traiter les exclusions, qui doivent cependant être documentées et justifiées.

Le choix du périmètre est totalement libre et appartient à l’organisation. Pour une organisation ne possédant pas d’expérience...