L'appréciation des risques est le document sur lequel ISO 27001 construit tout le reste, et celui que l'on achète le plus souvent sous forme de modèle de tableur avec les risques de quelqu'un d'autre dedans. L'article 6.1.2 ne demande pas de modèle ; il demande un processus qui produit cinq choses : des critères de risque, à la fois pour accepter les risques et pour réaliser les appréciations ; une identification des risques de sécurité de l'information, avec leurs propriétaires ; une analyse des conséquences potentielles et de la vraisemblance réaliste, donnant un niveau ; une évaluation au regard des critères, avec les risques priorisés pour le traitement ; et des résultats cohérents, valides et comparables d'une appréciation à la suivante. L'article 6.1.3 poursuit avec le traitement : les options, les mesures nécessaires, la comparaison avec l'annexe A pour que rien de nécessaire n'ait été omis, la déclaration d'applicabilité, et le plan de traitement des risques approuvé par les propriétaires des risques avec leur acceptation du risque résiduel. Cet article lit les deux articles pour une entreprise de logiciels et décrit la méthode que la page gratuite utilise pour rédiger le registre et le plan, au regard des 93 mesures que le paquet tient comme données et des risques de départ que le produit amorce le premier jour.

Une méthode que la norme vous laisse

ISO 27001 exige des critères et un processus reproductible ; elle n'exige pas d'échelle particulière, de carte de chaleur ni de formule, et l'ISO/IEC 27005 donne des recommandations plutôt que des règles. La méthode de StandardOS, énoncée sur le document qu'elle rédige, est volontairement petite : une vraisemblance notée de 1 à 5, un impact noté de 1 à 5, le niveau comme leur produit de 1 à 25, quatre bandes (faible jusqu'à 4, moyen jusqu'à 9, élevé jusqu'à 15, critique au-delà) et un seuil d'acceptation que l'entreprise choisit, par défaut 4, de sorte qu'un risque au seuil ou en dessous est conservé avec un responsable nommé et qu'un risque au-dessus est traité. Une échelle à cinq points suffit pour qu'un auditeur voie que deux appréciations du même risque à un an d'écart sont comparables, et elle est assez petite pour qu'une équipe de dix personnes note vingt risques en une heure. Ce qui rend la méthode défendable, ce ne sont pas les chiffres mais la cohérence : les mêmes critères écrits, la même échelle pour chaque risque, le même seuil et la même signature du propriétaire sur le risque résiduel.

Les risques de départ qu'une entreprise de logiciels porte

L'étape d'identification est celle où un modèle induit le plus en erreur, parce que les risques d'un modèle sont ceux de quelqu'un d'autre. Les risques d'une entreprise de logiciels sont néanmoins largement connus avant le premier atelier, et la page gratuite part de l'ensemble que le produit amorce : un hameçonnage qui compromet un identifiant, un ordinateur portable perdu ou volé, l'indisponibilité d'un service cloud critique, une sauvegarde qui ne se restaure pas, un employé parti dont l'accès reste ouvert, du matériel mis au rebut avec des données dessus, une violation chez un fournisseur ou un fournisseur cloud, un incident non détecté ou non signalé à temps, une exigence légale ou contractuelle manquée, des responsabilités de sécurité sans propriétaire, des personnes qui arrivent ou partent sans les bases de sécurité, des informations partagées de manière non sécurisée ; et, lorsque les réponses le disent, une vulnérabilité introduite dans le propre logiciel de l'entreprise, du code écrit par un fournisseur qui atteint la production sans revue, une divulgation non autorisée de données à caractère personnel et un accès physique non autorisé aux locaux. Cinq réponses choisissent l'ensemble : combien de personnes, si l'entreprise développe des logiciels, si elle externalise le développement, si elle a des locaux, si elle traite des données à caractère personnel de clients. Chaque risque de départ vient avec une vraisemblance, un impact et les mesures de l'annexe A qui le traitent, le tout modifiable, et un risque qui ne s'applique pas est retiré ; un risque que l'ensemble n'a pas est ajouté avec ses propres mesures.

Du plan à la déclaration d'applicabilité

L'article 6.1.3 transforme le registre en décisions. Pour chaque risque au-dessus du seuil, l'entreprise choisit une option : modifier le risque par des mesures, le conserver, éviter l'activité, ou le partager avec un assureur ou un fournisseur ; pour un risque modifié, elle nomme les mesures, et l'union de ces mesures est ce que la déclaration d'applicabilité porte ensuite comme applicable. C'est pourquoi les deux documents doivent être rédigés dans cet ordre : une déclaration qui nomme A.8.13 comme applicable sans un risque qu'une sauvegarde ne se restaure pas n'a pas de justification pour la ligne, et un registre qui traite ce risque sans A.8.13 n'a pas de mesure pour lui. La page gratuite rédige les deux sens : le plan liste les mesures que chaque risque traité nomme, et la dernière section du document liste chaque mesure que le plan nomme, ce qui est l'entrée de la déclaration d'applicabilité rédigée sur la page suivante, mesure par mesure.

Propriétaires, acceptation et intervalle

Deux choses qu'un auditeur lit avant les notes sont la colonne des propriétaires et l'acceptation. Chaque risque a un propriétaire (article 6.1.2 c) 2)), et chaque risque résiduel est accepté par son propriétaire (6.1.3 f)), ce qui explique que la page garde un champ de responsable par ligne et écrive « pas encore nommé » là où il est vide plutôt que de laisser la cellule blanche. Le seuil d'acceptation est une décision de direction, et une entreprise qui le relève de 4 à 9 pour raccourcir le plan doit s'attendre à la question de savoir pourquoi un risque de forte vraisemblance et d'impact modéré est conservé. L'article 8.2 fait ensuite répéter l'appréciation à intervalles planifiés ou lorsque des changements importants sont proposés ou surviennent : une nouvelle surface produit, une nouvelle région d'hébergement, un nouveau sous-traitant ultérieur, une nouvelle équipe. Le lien que la page écrit porte les réponses, le seuil et les notes de chaque risque de départ dans l'adresse, de sorte qu'une version est un lien qui peut être conservé et comparé au suivant.

Quoi en faire

Répondez aux cinq questions et lisez les risques de départ au regard de votre propre produit, en retirant ceux qui ne s'appliquent pas et en ajoutant ceux que l'ensemble n'a pas. Notez chacun avec l'échelle à cinq points, fixez le seuil, nommez un responsable par ligne et choisissez l'option pour chaque risque au-dessus de la ligne. Copiez le document, datez-le, faites accepter les risques résiduels par les propriétaires, et emportez la liste des mesures à sa fin dans la déclaration d'applicabilité. StandardOS amorce les mêmes risques de départ le premier jour, garde la note, le responsable et la date de revue sur chacun, et transforme chaque traitement en une position de la déclaration ; la page des coûts dit combien de jours d'audit le périmètre achète, et le guide des mesures ce que chaque mesure nommée par le plan demande.