L’ISO 27005 est la norme de référence pour la gestion des risques de sécurité de l’information : la version ISO/IEC 27005:2022 a été publiée en octobre 2022 et fournit des lignes directrices pour identifier, évaluer et traiter les risques, en soutien d’un SMSI conforme à ISO 27001.
Ce guide explique ce que contient la norme ISO 27005, comment elle s’articule avec l’ISO 27001 et quelles étapes pratiques suivre pour mettre en place une gestion des risques adaptée à votre organisation.
Qu’est‑ce que la norme et à qui s’adresse‑t‑elle ?
Selon l’Organisation internationale de normalisation, ISO/IEC 27005:2022 est une « édition 4 » publiée en octobre 2022 qui fournit des orientations pour la gestion des risques liés à la sécurité de l’information et soutient la mise en œuvre d’un SMSI basé sur ISO 27001.
AFNOR rappelle que la norme s’adresse en particulier aux responsables de la sécurité, aux RSSI et aux consultants qui doivent évaluer et prioriser les risques au sein d’une organisation.
Que contient ISO 27005 et comment elle s’articule avec ISO 27001 ?
L’ISO indique que la norme couvre l’ensemble du cycle de gestion des risques : identification, évaluation, traitement, communication, suivi et revue. Elle adapte les principes généraux d’ISO 31000 au contexte de la sécurité de l’information, pour aider à prioriser les mesures de sécurité.
Autrement dit, ISO 27001 définit les exigences d’un SMSI et ISO 27005 donne la méthodologie pour apprécier les risques qui menacent les actifs informationnels, ce qui facilite la prise de décision et l’allocation des ressources.
Les étapes pratiques pour appliquer ISO 27005
La norme propose une approche structurée qui peut se résumer en quelques étapes opérationnelles adaptées au contexte de l’entreprise.
- Identifier les actifs, les menaces et les vulnérabilités pertinentes pour l’organisation.
- Évaluer la vraisemblance et l’impact des scénarios de risque pour prioriser les actions.
- Définir des traitements du risque proportionnés (accepter, réduire, transférer, éviter).
- Mettre en place un suivi et une communication continue pour réévaluer les risques.
- Intégrer la gestion des risques dans le SMSI pour assurer cohérence et traçabilité.
AFNOR souligne que la formation sur ISO 27005 aide les équipes (DSI, RSSI, consultants) à appliquer ces étapes au cas par cas et à préparer la mise en œuvre dans leur organisation.
Quelle portée pratique pour une PME ou une DSI ?
ISO 27005 n’est pas une norme de certification : elle offre un cadre méthodologique pour choisir des mesures à la hauteur des risques identifiés. AFNOR rappelle que, bien que non certifiable, la norme permet d’améliorer la prise de décision et la résilience organisationnelle.
Pour une PME, cela signifie concentrer les efforts sur les risques les plus critiques et documenter les choix. Pour une DSI, l’approche facilite l’arbitrage entre projets de sécurité et opérations courantes.
Ressources et prochaines étapes
Pour se former et acquérir la méthodologie, AFNOR propose des formations dédiées à l’ISO 27005. L’ISO met à disposition la norme officielle (édition 2022, 66 pages) et des bundles avec les autres documents de la série 27000 pour un déploiement cohérent.
Si vous voulez moderniser et sécuriser votre SI en intégrant une gestion des risques formelle, commencez par une cartographie d’actifs suivie d’une première évaluation de risques documentée, puis formalisez votre traitement des risques dans le SMSI.
Pour aller plus loin, consultez notre guide sur l’audit informatique pour moderniser et sécuriser un SI, ou nos articles sur l’automatisation IT et les impacts organisationnels de l’IA.
En pratique, commencez par cartographier vos actifs, identifiez 3 à 5 scénarios de risque critiques, testez un traitement prioritaire et mettez en place un cycle de revue. La formation et l’appui méthodologique accélèrent cette mise en œuvre.
Ce dossier a résumé le rôle d’ISO 27005, sa date d’édition et ses usages pratiques en entreprise, pour vous permettre d’aborder la gestion des risques de sécurité de l’information avec une méthode reconnue.
Sources
- ISO — page officielle d’ISO/IEC 27005:2022, édition, date de publication et description du contenu.
- AFNOR Compétences — présentation pédagogique de la norme et rappel de son usage en formation.
Rédacteur web chez Teknologik. Très passionné, il a commencé sa carrière de rédacteur en 2019 et depuis lors, il s’est spécialisé dans la rédaction d’articles sur des sujets variés tels que la technologie, le gaming, le streaming, et bien d’autres encore. Sa curiosité insatiable l’a poussé à explorer en profondeur ces domaines passionnants, lui permettant de partager ses connaissances et son expertise avec un large public.
