Avant-propos

Cet ouvrage, consacré à la norme ISO 27005:2022 - Gestion des risques liés à la sécurité de l’information, s’adresse à un public déjà familiarisé avec les concepts fondamentaux de l’informatique et de la gouvernance des systèmes d’information. La notion de risque y est abordée de manière accessible, permettant aux lecteurs moins expérimentés de s’approprier les concepts clés grâce à une explication progressive du vocabulaire normatif et des principes de base. En revanche, les aspects purement techniques ne seront pas développés en détail. Une connaissance préalable des normes ISO 27001 et ISO 27002 est recommandée pour tirer pleinement parti de cet ouvrage.

L’objectif de cet ouvrage est d’expliquer en profondeur les principes et l’application de la norme ISO 27005 dans sa version 2022. Cette révision majeure introduit des clarifications méthodologiques, une structuration plus explicite des sous-processus, ainsi qu’une meilleure prise en compte des enjeux actuels de cybersécurité. Le lecteur pourra ainsi intégrer ces éléments dans une démarche cohérente de gestion des risques, en les adaptant à son propre contexte organisationnel.

Le livre s’adresse autant aux chefs de projet qu’aux analystes des risques, étudiants en sécurité ou responsables du système de management de la sécurité de l’information (SMSI). Chacun y trouvera une méthode actualisée pour conduire des analyses de risques cohérentes, documentées et adaptées aux menaces contemporaines.

L’ouvrage suit la structure logique du processus de gestion des risques selon ISO 27005:2022. Après un chapitre introductif sur les normes et cadres réglementaires, puis un second sur les définitions et concepts fondamentaux, nous détaillons successivement les sous-processus de la gestion des risques : établissement du contexte, identification des risques, analyse, évaluation et traitement. Deux chapitres transversaux, dédiés à la communication et à la surveillance/revue des risques, permettent d’ancrer la gestion des risques dans une dynamique continue. Un chapitre final intitulé Pour aller plus loin offre une mise en perspective des exigences d’ISO 27005 au regard d’autres normes, standards internationaux (ISO 27001, NIST (National Institute of Standards and Technology), CIS (Center for Internet Security) et réglementations et directives européennes (NIS 2 (Network and Information Security), RGPD...