Après cette lecture, vous saurez voir ce que demande réellement l'article 6.1.2 et préparer les preuves qu'un auditeur de certification examinera.
Définition
L'article 6.1.2 demande des critères d'acceptation des risques et des critères sur la manière de mener les appréciations. Les résultats doivent être cohérents, valides et comparables, et les risques pris en compte sont ceux qui pèsent sur la confidentialité, l'intégrité et la disponibilité de l'information dans le périmètre du système de management.
La norme n'impose aucune méthode, et depuis l'édition 2013 il n'est plus obligatoire de partir d'une liste d'actifs. L'ISO/IEC 27005 donne des recommandations sur la façon de mener ce travail.
Pourquoi c'est important
Le reste du système de management dépend de ce travail. Le choix des mesures de l'annexe A, la déclaration d'applicabilité et le plan de traitement découlent tous de ses résultats, et c'est pourquoi les auditeurs l'examinent si tôt.
Comment ça fonctionne
Faites d'abord définir et approuver les critères. Dans le périmètre, identifiez les risques pesant sur la confidentialité, l'intégrité et la disponibilité, et nommez un propriétaire pour chacun.
Appréciez les conséquences et la vraisemblance réalistes, déterminez le niveau de risque, comparez-le aux critères et classez les résultats.
Conservez des informations documentées sur le processus (article 6.1.2) et sur les résultats (article 8.2). Recommencez à vos intervalles planifiés et lors de tout changement important.
Un cas concret
Un éditeur de logiciels de 60 personnes limite son système de management à sa plateforme SaaS et approuve une matrice 5×5 avec un seuil d'acceptation de 8. Il identifie 32 scénarios, dont 11 au-dessus du seuil.
Ces 11 passent au plan de traitement, et les propriétaires acceptent les 21 autres. Pour l'audit, l'entreprise remet la méthode, les résultats datés et le compte rendu de l'approbation par la direction.
Bonnes pratiques
- Faites approuver les critères d'acceptation par la direction générale. Sinon, c'est l'évaluateur qui décide du niveau de risque que l'entreprise peut prendre.
- Intégrez le journal des incidents à chaque cycle : les événements réels sont votre meilleur étalonnage.
- Conservez des versions datées, pour montrer que le processus se répète réellement.
- Confrontez ensuite vos résultats à l'annexe A pour repérer des mesures manquantes. C'est un filet de sécurité, qui ne doit jamais devenir votre liste de risques.
- Incluez les fournisseurs et les services cloud dans la discussion si le périmètre en dépend.
Erreurs fréquentes
- Partir de l'annexe A et appeler le résultat une appréciation des risques. C'est une revue des mesures, et un auditeur verra la différence.
- Ne pas avoir de critères d'acceptation écrits, ce qui laisse chaque acceptation ouverte à la contestation.
- Apprécier une seule fois pour le certificat et plus jamais ensuite, si bien que l'audit de surveillance découvre un dossier périmé.
Questions
- Un inventaire des actifs est-il nécessaire pour l'appréciation des risques ?
- L'article 6.1.2 ne l'exige plus depuis 2013. La mesure 5.9 de l'annexe A demande toutefois un inventaire, et beaucoup d'entreprises partent encore de lui.
- Quelle méthode l'ISO 27001 impose-t-elle ?
- Aucune. Elle fixe des exigences sur les critères et sur les résultats.
- À quelle fréquence faut-il mener l'appréciation ?
- À des intervalles planifiés que vous fixez vous-même et lors de changements importants (article 8.2). Une fois par an est courant.
- Que veut voir un auditeur de certification ?
- Le processus et les critères documentés, les résultats datés, les propriétaires, et un lien clair entre les résultats, le plan de traitement et la déclaration d'applicabilité.
- Qu'est-ce qui a changé dans l'édition 2022 ?
- Le cœur de l'article 6.1.2 est resté le même. L'annexe A a été réorganisée en 93 mesures réparties en quatre thèmes.