Surveillance et revue des risques

Processus de surveillance et revue des risques

Le processus de surveillance et revue des risques est composé de cinq actions :

Il s’agit d’un processus continu car les risques sont susceptibles d’évoluer au fur et à mesure que le projet mûrit, que de nouveaux risques apparaissent ou disparaissent. Il est donc nécessaire d’établir et de correctement définir la responsabilité de cette surveillance et de la revue des risques. Si un changement significatif se produit, il conviendra d’identifier la gravité de l’incident et de déterminer si son traitement doit suivre le processus et attendre la prochaine itération de l’analyse de risques, ou si une intervention doit avoir lieu immédiatement. Il est parfois possible d’effectuer une analyse localisée et modifier juste un traitement pour pallier le nouveau risque, sans pour autant changer tout le plan d’actions.

Les objectifs de ce processus sont les suivants :

Surveillance et revue des facteurs de risques

Il ne faut pas considérer l’évaluation des risques comme quelque chose de statique. Un risque précédemment évalué comme faible peut évoluer via de nouvelles menaces, de nouvelles vulnérabilités, une probabilité plus élevée ou plus faible, ou encore une modification des conséquences qui y sont liées. La revue des risques acceptés, qu’ils soient faibles ou forts, est primordiale. Il convient d’évaluer leurs impacts cumulés, et s’ils ne rentrent plus dans les critères d’acceptabilité, il faudra alors revoir le plan d’actions et les traiter à nouveau. D’autres changements sont également à surveiller, tels qu’un changement de direction, une évolution au niveau juridique ou réglementaire (comme le Règlement général sur la protection des données...

Surveillance et revue de la gestion des risques

Le processus de la gestion des risques de sécurité de l’information doit être continuellement surveillé, révisé, amélioré et approprié afin de s’assurer que le contexte, les résultats de l’évaluation des risques, les plans d’actions restent pertinents et adaptés. Les mesures mises en place doivent être surveillées afin de s’assurer qu’elles sont toujours pertinentes et qu’elles répondent bien au besoin.

Pour rappel, les mesures peuvent être préventives, détectives ou correctives. En voici quelques exemples :

Pour ce faire, l’organisation doit s’assurer que les ressources d’évaluation et de traitement du risque sont disponibles en permanence, à savoir tous les documents produits lors de la gestion du risque, mais aussi les acteurs associés.

Il est également nécessaire de vérifier régulièrement que les critères utilisés pour mesurer les risques sont toujours valables et cohérents. Nous parlons ici de cohérence avec les objectifs, les stratégies et les politiques de l’organisation. La surveillance et la revue doivent aborder a minima les points suivants :...

Amélioration continue

Le processus de gestion des risques s’inscrit dans une démarche d’amélioration continue et doit être revu régulièrement, d’autant plus lors de changements majeurs au sein de l’organisation. La mise en œuvre d’un tel processus peut être fastidieuse, et il est préférable de commencer par un périmètre limité que l’on étendra au fil des itérations. Les normes ISO n’imposent jamais une façon de faire. De ce fait, l’organisation est libre d’utiliser la méthode de son choix, ou d’inventer la sienne, du moment que les exigences des normes sont respectées.

Les normes ISO 27005, ISO 27001 et ISO 31000 font référence à la méthode PDCA (Plan, Do, Check, Act) que nous avons déjà détaillée dans le chapitre Programme de gestion du risque. Nous citerons ci-dessous d’autres méthodes d’amélioration continue que nous serons libres d’adopter, ou non.