ISO 27005 : la gestion des risques de sécurité de l'information, étape
par étape

On ouvre un registre des risques et on tombe presque toujours sur la même ligne : "compromission d'un serveur exposé", vraisemblance 2 sur 4, impact 3 sur 4, propriétaire "DSI", dernière revue il y a quatorze mois. On demande d'où vient le 2. Silence, puis un "c'est ce qu'on avait mis l'année dernière". On regarde la colonne des mesures : "pare-feu, antivirus, sensibilisation". On regarde ce que le même client expose sur internet : une interface d'administration oubliée, un sous-domaine qui pointe vers un bucket libéré, une version de framework avec une CVE exploitée en masse. Le registre est conforme au format. Il ne décrit pas l'entreprise.

ISO 27005 est la norme censée éviter ce résultat. Elle ne certifie rien et n'impose rien : c'est le guide de méthode de la gestion des risques de sécurité de l'information, celui qui explique comment remplir l'exigence d'analyse de risques d'ISO 27001 sans produire un tableau qui ne sert qu'à l'auditeur. Elle a une faiblesse connue, qu'elle partage avec EBIOS RM et avec toutes les méthodes du genre : elle organise la cotation sans jamais la mesurer. Un test d'intrusion, lui, mesure, et c'est ce qui change la nature de la colonne vraisemblance du registre ouvert plus haut.

ISO 27005 dans la famille 27000 : la méthode que 27001 ne donne pas

ISO/IEC 27001 est une norme d'exigences. Elle dit qu'une organisation certifiée doit définir un processus d'appréciation des risques avec des critères d'acceptation, identifier des risques et leurs propriétaires, coter leurs conséquences et leur vraisemblance, comparer le résultat aux critères, puis choisir des options de traitement et en tirer une déclaration d'applicabilité (clauses 6.1.2 et 6.1.3 pour la planification, 8.2 et 8.3 pour l'exécution périodique). Elle ne dit pas comment. Aucune échelle, aucune méthode d'identification, aucun format de scénario. C'est volontaire : le même texte doit s'appliquer à une fintech de trente personnes et à un opérateur d'énergie.

ISO/IEC 27005 vient combler ce vide. Sa version en vigueur est la quatrième édition, publiée en octobre 2022, 62 pages, qui annule et remplace l'édition 2018. Son intitulé officiel la range dans la série "Sécurité de l'information, cybersécurité et protection de la vie privée", avec pour objet les lignes directrices de gestion des risques de sécurité de l'information. Son avant-propos résume les changements de 2022 : alignement du texte et du vocabulaire sur ISO/IEC 27001:2022 et sur ISO 31000:2018, structure des clauses calquée sur celle de 27001, introduction de la notion de scénario de risque, mise en regard de l'approche par événement et de l'approche par actif, et fusion des anciennes annexes en une seule.

En découlent deux mises au point qu'il vaut mieux faire tôt. Personne n'est "certifié ISO 27005" : c'est un guide, et la seule certification en jeu reste celle du système de management, dont on a détaillé le coût réel de la certification ISO 27001. Et la norme n'est pas obligatoire pour cette certification : 27001 exige un processus, pas celui-là. Un auditeur acceptera EBIOS RM ou une méthode maison, à condition que les résultats soient comparables d'un cycle à l'autre et reproductibles par quelqu'un d'autre. Suivre 27005 est le moyen le plus court d'obtenir ces deux propriétés, parce que le guide sort du même sous-comité (ISO/IEC JTC 1/SC 27) que la norme d'exigences, avec les mêmes mots.

Dans le dispositif de gouvernance, 27005 produit la matière première dont tout le reste dépend : la politique de sécurité, le choix des contrôles, le budget et l'ordre des chantiers découlent de ce que l'analyse a classé comme inacceptable. C'est l'un des trois piliers décrits dans l'article sur la GRC en cybersécurité, gouvernance, risques et conformité, et le seul des trois qui, bien fait, dit quelque chose de propre à votre entreprise.

Le processus de gestion des risques ISO 27005, étape par étape

La norme organise son propos en trois blocs qui suivent le découpage de 27001 : l'établissement du contexte (clause 6), l'appréciation des risques (clause 7, avec identification en 7.2, analyse en 7.3, évaluation en 7.4), puis le traitement (clause 8, du choix des options en 8.2 au plan de traitement en 8.6). La clause 9 rappelle que ces processus tournent à intervalles planifiés et à chaque changement significatif, pas une fois pour le dossier de certification. Communication, consultation, surveillance et revue sont des activités transverses qui accompagnent chaque étape.

Établir le contexte : la partie qu'on bâcle

Tout ce qui sera coté ensuite dépend de ce qui est décidé ici, et c'est l'étape qu'on expédie en une réunion. Le contexte, ce sont les contraintes de l'organisation (obligations légales et contractuelles, parties intéressées, secteur), le périmètre du système de management, et surtout les critères de risque : l'échelle de vraisemblance, l'échelle d'impact, la règle qui les combine et le seuil au-dessus duquel un risque doit être traité. Une échelle d'impact sans montants, durées d'interruption ni obligations de notification produit des cotations que personne ne conteste, donc que personne ne défend. Une échelle de vraisemblance sans définition ("rare", "possible", "probable") produit le 2 sur 4 du registre de l'introduction.

Identifier : des scénarios, pas des catégories

L'identification cherche les sources de risque (humaines, intentionnelles ou non, environnementales, techniques), les événements qu'elles peuvent déclencher, les actifs et vulnérabilités impliqués, les conséquences possibles et les mesures déjà en place. La norme précise qu'un contrôle peut ne pas produire l'effet qu'on lui prête, donc que les mesures existantes se vérifient. C'est la phrase la moins appliquée de la clause : la colonne "mesures existantes" se remplit de mémoire, et le pare-feu qu'on y cite laisse passer l'administration en 8080 depuis 2019.

Analyser et évaluer : coter, puis comparer au seuil

L'analyse attribue à chaque scénario une conséquence et une vraisemblance, et les combine en un niveau de risque, selon une méthode qualitative (la matrice quatre par quatre que tout le monde connaît), semi-quantitative (des scores adossés à des intervalles) ou quantitative (des montants et des fréquences, ce qui suppose des données que peu d'organisations possèdent). L'évaluation compare ensuite ce niveau aux critères du contexte et ordonne les risques à traiter. La distinction compte : l'analyse peut être déléguée à des techniciens, l'évaluation est une décision de direction.

Approche par événement ou par actif : les deux entrées de l'édition 2022

La révision de 2022 met en regard deux façons d'attaquer l'identification, et le choix change tout le déroulé. L'approche par événement part du haut : quelles sources de risque, quels objectifs pour elles, quels événements redoutés, et seulement ensuite quels actifs seraient touchés. L'approche par actif part du bas : un inventaire, et pour chaque actif les menaces et vulnérabilités qui le concernent. La première donne vite une vue stratégique, mais dépend de l'imagination des participants. La seconde est exhaustive sur ce qu'on a inventorié, aveugle sur ce qu'on a oublié, et elle explose en lignes dès que le SI dépasse quelques dizaines de composants.

La norme présente les deux comme complémentaires, et la pratique qui tient est de partir des événements pour cadrer, puis de descendre par actif sur les périmètres critiques. C'est la bonne réponse, avec un préalable que le texte laisse implicite : l'approche par actif vaut ce que vaut l'inventaire. Pour la partie du SI qui est exposée sur internet, cet inventaire s'observe depuis le dehors plutôt qu'il ne se déclare, et une surface d'attaque mesurée depuis l'extérieur contient toujours des choses que le registre d'actifs ignore.

Scénario de risque, vraisemblance, impact : la mécanique de cotation

Le scénario de risque est l'apport le plus concret de l'édition 2022 : la suite d'événements qui mène d'une cause initiale à une conséquence indésirable. Une ligne de registre n'est plus "perte de confidentialité des données clients" mais "un attaquant opportuniste trouve une instance Jenkins exposée sans authentification, récupère des identifiants dans les journaux de build, se connecte au dépôt Git de l'application de facturation et exfiltre la base clients". Le premier libellé se cote au doigt mouillé. Le second se cote, se teste et se corrige.

La vraisemblance désigne la chance qu'un scénario se produise, mesurée ou estimée, exprimée qualitativement ou en fréquence. La conséquence (le mot "impact" est celui du terrain, la norme parle de conséquence) est l'effet de l'événement sur les objectifs, avec cette précision utile qu'une conséquence peut s'amplifier en cascade. Le niveau de risque est la combinaison des deux. Sur une échelle ordinale, la combinaison est un produit ou une lecture de matrice ; c'est pratique et c'est aussi le point faible de la plupart des analyses, parce que la multiplication de deux rangs n'a pas de sens mathématique (un 2 × 3 n'est pas "deux fois moins grave" qu'un 3 × 4) et parce que la vraisemblance est le facteur que personne ne sait remplir.

Coter la conséquence est un exercice métier honnête : la direction sait ce que coûte un jour sans facturation ou une notification CNIL. Coter la vraisemblance d'un scénario d'attaque suppose de répondre à trois questions : la vulnérabilité existe-t-elle aujourd'hui, est-elle atteignable par une source de risque plausible, et quel effort faut-il pour l'exploiter. Aucune des trois ne se tranche en salle de réunion. Un score CVSS aide sur la troisième mais ne dit rien des deux premières, qui dépendent de votre configuration, pas de la CVE. C'est là que le registre décroche du réel.

Plan de traitement et déclaration d'applicabilité

Une fois les risques classés, la clause 8 organise le traitement en une suite qui aboutit aux deux documents qu'un auditeur 27001 demande toujours. Le vocabulaire de traitement est celui d'ISO 31000:2018, repris par l'édition 2022 : éviter le risque en renonçant à l'activité, supprimer sa source, agir sur la vraisemblance ou sur la conséquence (ce que l'édition 2018 regroupait sous "modifier", et qui reste le cas général, celui qui choisit des contrôles), le partager par contrat ou assurance, ou le conserver par décision informée. La norme précise que la sécurité de l'information ne retient pas l'option "prendre plus de risque pour saisir une opportunité", qui existe en gestion des risques générale. Elle rappelle aussi qu'un traitement peut créer de nouveaux risques, ce que les plans de traitement oublient systématiquement quand ils ajoutent un VPN, un bastion ou un prestataire.

La déclaration d'applicabilité (SoA) est souvent traitée comme un tableau administratif à 93 lignes. Lue comme la norme la construit, c'est la trace de l'analyse : chaque contrôle retenu l'est parce qu'un scénario l'appelle, chaque exclusion parce qu'aucun ne le réclame. Un auditeur aguerri pointe une ligne et demande quel risque elle traite ; si la réponse est "on l'avait déjà", l'analyse a été faite à l'envers. Le détail des mesures elles-mêmes, thème par thème, vit dans l'article sur les 93 contrôles de sécurité d'ISO 27002.

Le plan de traitement est l'autre livrable, et le seul qui engage de l'argent : mesures, porteurs, échéances, résiduel visé, approuvé par les propriétaires de risque, qui acceptent au passage ce résiduel. La norme précise que ce risque résiduel peut contenir des risques non identifiés. Un plan qui affiche "faible" sur toute la colonne résiduel, sans jamais mentionner ce qu'on n'a pas su voir, décrit l'optimisme de ses auteurs.

ISO 27005 face à EBIOS RM

En France, la question arrive à chaque cadrage : 27005 ou EBIOS RM ? L'ANSSI présente sa méthode EBIOS Risk Manager comme le fruit d'une convergence avec les normes internationales des systèmes de management de la sécurité de l'information, et les deux produisent le même type de sortie : des scénarios cotés en vraisemblance et gravité, un plan de traitement, des risques résiduels acceptés. Les différences sont dans le chemin, et on a détaillé ailleurs les cinq ateliers d'EBIOS RM et leurs limites, donc on s'en tient ici à ce qui permet de choisir.

Leur point commun le plus gênant : aucune ne mesure. EBIOS RM cote la vraisemblance à l'atelier 4 à partir de ce que les participants savent, 27005 la cote en clause 7.3 à partir des mêmes sources. Le choix de méthode compte moins que la décision d'aller vérifier les scénarios qui passent par l'extérieur.

NIS2, article 21, et l'objectif 16 du ReCyF

La directive NIS2 place l'analyse de risques en tête de sa liste de mesures. L'article 21, paragraphe 2, point a) de la directive (UE) 2022/2555 impose aux entités essentielles et importantes des politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information, dans une approche "tous risques". Le paragraphe 1 ajoute que les mesures doivent être proportionnées au risque existant, en tenant compte de l'état des connaissances et des normes européennes et internationales applicables. Aucune méthode n'est nommée ; ISO 27005 est la candidate évidente, qu'une autorité de contrôle reconnaîtra sans discussion.

Côté français, l'ANSSI a mis à disposition le 17 mars 2026 son Référentiel Cyber France (ReCyF), version de travail qui traduit les obligations de NIS2 en vingt objectifs de sécurité, dont l'objectif 16, "Mise en œuvre d'une approche par les risques", qui demande une gouvernance des risques et une analyse par système d'information. Le référentiel a droit à son propre article, qui le déroule dans le détail : le ReCyF, référentiel de cybersécurité de l'ANSSI. Au moment de la rédaction (septembre 2026), la transposition française n'est toujours pas votée. Le texte porteur, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, est passé au Sénat le 12 mars 2025 puis en commission spéciale à l'Assemblée nationale en septembre 2025, sans inscription en séance publique depuis : le dossier législatif de l'Assemblée nationale en est resté au dépôt du rapport de la commission spéciale, et la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France en juillet 2026 pour défaut de transposition. Le ReCyF reste donc un référentiel de travail, non contraignant, et une analyse conduite en 27005 en couvre d'ores et déjà le fond.

Ce que ni la directive ni la norme ne font à votre place, c'est le point f) du même paragraphe : des politiques et procédures pour évaluer l'efficacité des mesures. Une analyse de risques dit ce qu'on craint et ce qu'on a décidé. Elle ne dit pas si ça tient.

Alimenter la vraisemblance avec des faits : pentest et EASM

Point de vue de la maison, assumé : pour tous les scénarios qui passent par la surface exposée, la colonne vraisemblance d'un registre ISO 27005 est une colonne d'observations qu'on remplit avec des opinions. Le terrain sait faire mieux sur ce périmètre-là, et de deux façons.

Un test d'intrusion répond à la question du scénario tel qu'il est écrit : le chemin d'attaque est-il praticable aujourd'hui, depuis l'extérieur, sans compte, et avec quel effort. Quand le rapport dit "chemin reproduit en quatre heures, de l'interface d'administration exposée jusqu'à la base clients", la vraisemblance n'est plus un 2 hérité de l'an dernier, c'est un 4 daté, avec la preuve. Quand il dit "chemin non reproduit, mesure X vérifiée efficace", la mesure existante de la clause 7.2 devient une mesure constatée, et le résiduel devient défendable. Un pentest web en boîte noire se cadre d'ailleurs à partir des scénarios de l'analyse : on lui donne les trois ou quatre chemins cotés le plus haut, et le rapport revient au format du registre. La mission démarre à 2 250 €, retest inclus, ce qui permet de recoter le résiduel après traitement au lieu de l'estimer.

Un EASM répond à l'autre question, celle de l'approche par actif : les conditions du scénario sont-elles réunies, et le sont-elles encore ce matin. Il découvre en continu ce qui est exposé (domaines, sous-domaines, services, certificats, versions), le recoupe avec les vulnérabilités connues et signale ce qui apparaît entre deux revues du registre. Pour la clause 6, c'est l'inventaire que l'approche par actif suppose et n'a jamais ; pour la surveillance, c'est le signal de changement qui doit déclencher une réappréciation. Le fonctionnement complet est décrit dans le pilier sur la gestion de surface d'attaque externe. Une précision de périmètre, pour ne rien survendre : un EASM voit ce qui est exposé sur internet. Les scénarios internes, physiques ou humains restent du domaine de l'atelier et de l'estimation, et c'est très bien ainsi tant que la source de la cote est écrite à côté.

À retenir

• ISO 27005 est le guide de méthode de la gestion des risques de la famille 27000 : quatrième édition, octobre 2022, alignée sur ISO/IEC 27001:2022 et ISO 31000:2018. Ce n'est pas une norme d'exigences et personne n'y est certifié.
• Le processus enchaîne contexte (clause 6), identification, analyse et évaluation (clause 7), traitement jusqu'à la déclaration d'applicabilité et au plan de traitement (clause 8), acceptation par les propriétaires de risque, surveillance.
• L'édition 2022 introduit le scénario de risque et met en regard l'approche par événement (cadrer) et l'approche par actif (détailler), qui vaut ce que vaut l'inventaire.
• La vraisemblance est le maillon faible de toute cotation : pour les scénarios exposés sur internet, elle se constate par un pentest et une surveillance de surface d'attaque plutôt qu'elle ne s'estime.
• EBIOS RM et ISO 27005 sont compatibles et produisent les mêmes livrables ; NIS2 (article 21, paragraphe 2, point a) et l'objectif 16 du ReCyF exigent une approche par les risques sans imposer de méthode.

Prenez les trois scénarios les mieux cotés de votre registre, ceux dont le point d'entrée est exposé sur internet, et faites-les tester avant la prochaine revue. Un pentest web en boîte noire cadré sur vos scénarios rend un rapport qui se verse au registre tel quel, retest inclus, et la cote de vraisemblance qui en sort porte une date. Pour en discuter à partir de votre registre, la page contact suffit, réponse sous 24 heures.

Questions fréquentes sur ISO 27005