[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:fr:l-appreciation-des-risques-iso-27001-pour-une-entreprise-de-logiciels-ce-que-l-article-6-1-2-demande-une-methode-a-cinq-points-les-risques-de-depart-et-une-page-qui-redige-le-registre-et-le-plan":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"fr","l-appreciation-des-risques-iso-27001-pour-une-entreprise-de-logiciels-ce-que-l-article-6-1-2-demande-une-methode-a-cinq-points-les-risques-de-depart-et-une-page-qui-redige-le-registre-et-le-plan","L'appréciation des risques ISO 27001 pour une entreprise de logiciels : ce que l'article 6.1.2 demande, une méthode à cinq points, les risques de départ, et une page qui rédige le registre et le plan de traitement","L'article 6.1.2 ne prescrit pas de méthode ; il prescrit ce que la méthode doit produire : des critères d'acceptation et d'appréciation des risques, une identification des risques de sécurité de l'information, une analyse de leurs conséquences et de leur vraisemblance, une évaluation au regard des critères, et des résultats reproductibles et comparables. L'article 6.1.3 demande ensuite les options de traitement, les mesures, la comparaison avec l'annexe A, la déclaration d'applicabilité et le plan. Pour une entreprise de logiciels, les risques sont largement connus avant le premier atelier : compromission d'identifiants, ordinateur portable perdu, panne d'un fournisseur cloud, sauvegarde qui ne se restaure pas, employé parti dont l'accès reste ouvert, vulnérabilité livrée dans son propre code. Une échelle à cinq points pour la vraisemblance et l'impact, le produit comme niveau, un seuil d'acceptation, l'option de traitement et les mesures pour chaque risque au-dessus, et une page gratuite qui rédige le registre et le plan en six langues.","2026-09-13",{"who":10,"when":11,"do":12},"Une entreprise de logiciels qui construit un système de management de la sécurité de l'information ISO 27001, lors de la première appréciation des risques avant que la déclaration d'applicabilité ne soit rédigée, puis aux intervalles planifiés de l'article 8.2 et après un changement que l'article 8.1 nomme.","Avant que les mesures ne soient choisies, parce que la déclaration d'applicabilité repose sur le plan de traitement ; puis à intervalles planifiés et lorsque des changements importants surviennent (article 8.2), ce qui, pour une entreprise de logiciels, est chaque nouvelle surface produit, chaque nouveau fournisseur ou équipe ; les critères sont conservés et les résultats doivent être comparables d'une appréciation à la suivante.","Écrivez les critères une fois, une échelle pour la vraisemblance, une pour l'impact et le niveau que vous acceptez ; partez des risques qu'une entreprise comme la vôtre porte, notez chacun, nommez le responsable, traitez chaque risque au-dessus du seuil avec une option et les mesures de l'annexe A qui le traitent, et datez le plan ; la page gratuite rédige le registre et le plan à partir de cinq réponses.","\nL'appréciation des risques est le document sur lequel ISO 27001 construit tout le reste, et celui que l'on achète le plus souvent sous forme de modèle de tableur avec les risques de quelqu'un d'autre dedans. L'article 6.1.2 ne demande pas de modèle ; il demande un processus qui produit cinq choses : des critères de risque, à la fois pour accepter les risques et pour réaliser les appréciations ; une identification des risques de sécurité de l'information, avec leurs propriétaires ; une analyse des conséquences potentielles et de la vraisemblance réaliste, donnant un niveau ; une évaluation au regard des critères, avec les risques priorisés pour le traitement ; et des résultats cohérents, valides et comparables d'une appréciation à la suivante. L'article 6.1.3 poursuit avec le traitement : les options, les mesures nécessaires, la comparaison avec l'annexe A pour que rien de nécessaire n'ait été omis, la déclaration d'applicabilité, et le plan de traitement des risques approuvé par les propriétaires des risques avec leur acceptation du risque résiduel. Cet article lit les deux articles pour une entreprise de logiciels et décrit la méthode que la [page gratuite](\u002Fiso-27001\u002Frisk-register) utilise pour rédiger le registre et le plan, au regard des 93 mesures que le paquet tient comme données et des risques de départ que le produit amorce le premier jour.\n\n## Une méthode que la norme vous laisse\n\nISO 27001 exige des critères et un processus reproductible ; elle n'exige pas d'échelle particulière, de carte de chaleur ni de formule, et l'ISO\u002FIEC 27005 donne des recommandations plutôt que des règles. La méthode de StandardOS, énoncée sur le document qu'elle rédige, est volontairement petite : une vraisemblance notée de 1 à 5, un impact noté de 1 à 5, le niveau comme leur produit de 1 à 25, quatre bandes (faible jusqu'à 4, moyen jusqu'à 9, élevé jusqu'à 15, critique au-delà) et un seuil d'acceptation que l'entreprise choisit, par défaut 4, de sorte qu'un risque au seuil ou en dessous est conservé avec un responsable nommé et qu'un risque au-dessus est traité. Une échelle à cinq points suffit pour qu'un auditeur voie que deux appréciations du même risque à un an d'écart sont comparables, et elle est assez petite pour qu'une équipe de dix personnes note vingt risques en une heure. Ce qui rend la méthode défendable, ce ne sont pas les chiffres mais la cohérence : les mêmes critères écrits, la même échelle pour chaque risque, le même seuil et la même signature du propriétaire sur le risque résiduel.\n\n## Les risques de départ qu'une entreprise de logiciels porte\n\nL'étape d'identification est celle où un modèle induit le plus en erreur, parce que les risques d'un modèle sont ceux de quelqu'un d'autre. Les risques d'une entreprise de logiciels sont néanmoins largement connus avant le premier atelier, et la page gratuite part de l'ensemble que le produit amorce : un hameçonnage qui compromet un identifiant, un ordinateur portable perdu ou volé, l'indisponibilité d'un service cloud critique, une sauvegarde qui ne se restaure pas, un employé parti dont l'accès reste ouvert, du matériel mis au rebut avec des données dessus, une violation chez un fournisseur ou un fournisseur cloud, un incident non détecté ou non signalé à temps, une exigence légale ou contractuelle manquée, des responsabilités de sécurité sans propriétaire, des personnes qui arrivent ou partent sans les bases de sécurité, des informations partagées de manière non sécurisée ; et, lorsque les réponses le disent, une vulnérabilité introduite dans le propre logiciel de l'entreprise, du code écrit par un fournisseur qui atteint la production sans revue, une divulgation non autorisée de données à caractère personnel et un accès physique non autorisé aux locaux. Cinq réponses choisissent l'ensemble : combien de personnes, si l'entreprise développe des logiciels, si elle externalise le développement, si elle a des locaux, si elle traite des données à caractère personnel de clients. Chaque risque de départ vient avec une vraisemblance, un impact et les mesures de l'annexe A qui le traitent, le tout modifiable, et un risque qui ne s'applique pas est retiré ; un risque que l'ensemble n'a pas est ajouté avec ses propres mesures.\n\n## Du plan à la déclaration d'applicabilité\n\nL'article 6.1.3 transforme le registre en décisions. Pour chaque risque au-dessus du seuil, l'entreprise choisit une option : modifier le risque par des mesures, le conserver, éviter l'activité, ou le partager avec un assureur ou un fournisseur ; pour un risque modifié, elle nomme les mesures, et l'union de ces mesures est ce que la déclaration d'applicabilité porte ensuite comme applicable. C'est pourquoi les deux documents doivent être rédigés dans cet ordre : une déclaration qui nomme A.8.13 comme applicable sans un risque qu'une sauvegarde ne se restaure pas n'a pas de justification pour la ligne, et un registre qui traite ce risque sans A.8.13 n'a pas de mesure pour lui. La page gratuite rédige les deux sens : le plan liste les mesures que chaque risque traité nomme, et la dernière section du document liste chaque mesure que le plan nomme, ce qui est l'entrée de la [déclaration d'applicabilité](\u002Fiso-27001\u002Fstatement-of-applicability) rédigée sur la page suivante, mesure par mesure.\n\n## Propriétaires, acceptation et intervalle\n\nDeux choses qu'un auditeur lit avant les notes sont la colonne des propriétaires et l'acceptation. Chaque risque a un propriétaire (article 6.1.2 c) 2)), et chaque risque résiduel est accepté par son propriétaire (6.1.3 f)), ce qui explique que la page garde un champ de responsable par ligne et écrive « pas encore nommé » là où il est vide plutôt que de laisser la cellule blanche. Le seuil d'acceptation est une décision de direction, et une entreprise qui le relève de 4 à 9 pour raccourcir le plan doit s'attendre à la question de savoir pourquoi un risque de forte vraisemblance et d'impact modéré est conservé. L'article 8.2 fait ensuite répéter l'appréciation à intervalles planifiés ou lorsque des changements importants sont proposés ou surviennent : une nouvelle surface produit, une nouvelle région d'hébergement, un nouveau sous-traitant ultérieur, une nouvelle équipe. Le lien que la page écrit porte les réponses, le seuil et les notes de chaque risque de départ dans l'adresse, de sorte qu'une version est un lien qui peut être conservé et comparé au suivant.\n\n## Quoi en faire\n\nRépondez aux cinq questions et lisez les risques de départ au regard de votre propre produit, en retirant ceux qui ne s'appliquent pas et en ajoutant ceux que l'ensemble n'a pas. Notez chacun avec l'échelle à cinq points, fixez le seuil, nommez un responsable par ligne et choisissez l'option pour chaque risque au-dessus de la ligne. Copiez le document, datez-le, faites accepter les risques résiduels par les propriétaires, et emportez la liste des mesures à sa fin dans la [déclaration d'applicabilité](\u002Fiso-27001\u002Fstatement-of-applicability). StandardOS amorce les mêmes risques de départ le premier jour, garde la note, le responsable et la date de revue sur chacun, et transforme chaque traitement en une position de la déclaration ; la [page des coûts](\u002Fiso-27001\u002Fcost) dit combien de jours d'audit le périmètre achète, et le [guide des mesures](\u002Fiso-27001\u002Fcontrols) ce que chaque mesure nommée par le plan demande.\n",1789383964694]