La gouvernance et la gestion des risques de cybersécurité en entreprise constituent le cadre de pilotage qui aligne la protection des systèmes d'information sur la stratégie métier et les objectifs de…
La gouvernance et la gestion des risques de cybersécurité en entreprise constituent le cadre de pilotage qui aligne la protection des systèmes d'information sur la stratégie métier et les objectifs de l'organisation. Ce dispositif repose sur la définition explicite de l'appétit au risque, l'identification rigoureuse des menaces visant la confidentialité, l'intégrité et la disponibilité des données, ainsi que la mise en place de contrôles proportionnés et surveillés en continu.
In Short
Fondamentaux de la gouvernance et de la gestion des risques de cybersécurité
De la sécurité de l'information à la cybersécurité
La cybersécurité ne se réduit pas à la sécurité de l'information. Dans un écosystème où les systèmes sont interconnectés et exposés à des adversaires déterminés, elle vise spécifiquement à protéger les échanges et les infrastructures contre des attaques ciblées. Si cette menace adversariale et l'interconnexion des systèmes étaient absentes, la sécurité de l'information à elle seule suffirait. Aujourd'hui, la cybersécurité se définit par quatre objectifs : la confidentialité, l'intégrité, la disponibilité, et la conscience de la situation (situational awareness). Cette dernière garantit que l'organisation reste informée et suffisamment agile pour détecter et gérer de nouvelles méthodes de cybercriminalité ainsi que les menaces persistantes avancées (APTs).
Définir le risque et l'appétit au risque
Selon les référentiels internationaux, le risque est l'effet de l'incertitude sur les objectifs, compte tenu de la possibilité d'événements futurs et de leur impact sur les résultats attendus. La gouvernance commence par la formalisation de l'appétit au risque, le niveau de risque que l'organisation est prête à supporter pour atteindre ses objectifs stratégiques. Ce cadre détermine ensuite les seuils d'acceptation du risque (risk acceptance levels), qui guident les décisions de traitement ou de tolérance.
Cadres normatifs : ISO 27001, ISO 27005, CRISC, COBIT et NIST
ISO 27001 et ISO 27005 : l'exigence et la liberté méthodologique
L'ISO/IEC 27001:2013 impose à l'organisation de définir et d'appliquer un processus d'évaluation des risques de sécurité de l'information. Ce processus doit identifier les risques associés à la perte de confidentialité, d'intégrité et de disponibilité des informations couvertes par le SMSI, et désigner les propriétaires de ces risques. En parallèle, l'ISO/IEC 27005:2018 fournit des lignes directrices pour la gestion des risques de sécurité de l'information. Toutefois, cette norme ne prescrit aucune méthodologie spécifique : il appartient à l'organisation de définir sa propre approche en fonction du périmètre du SMSI, du contexte de gestion des risques et de son secteur d'activité.
CRISC et COBIT : gouverner et piloter
CRISC (Certified in Risk and Information Systems Control) et COBIT constituent des référentiels de gouvernance et de management des risques IT. Ils structurent le pilotage par la mise en place de mécanismes de surveillance ciblant les niveaux d'acceptation du risque, les nouvelles menaces internes et externes, les vulnérabilités récemment découvertes, mais aussi l'agrégation des risques et l'état de moral de l'organisation.
Les publications NIST
Les guides NIST SP 800-30 Rev. 1 (Guide for Conducting Risk Assessments), NIST SP 800-39 (Managing Information Security Risk) et NIST SP 800-171A (Assessing Security Requirements for Controlled Unclassified Information) offrent des méthodologies d'évaluation et de gestion des risques particulièrement détaillées pour les systèmes d'information et les informations non classifiées contrôlées.
| Caractéristique | ISO 27001 / 27005 | CRISC / COBIT | NIST SP 800-30 / 800-39 |
|---|---|---|---|
| Nature du cadre | Exigences certifiables (27001) et lignes directrices (27005) | Bonnes pratiques de gouvernance et certification professionnelle | Guides méthodologiques et recommandations |
| Méthodologie imposée | Non, l'entreprise définit son approche (ISO 27005) | Non, cadre adaptable | Processus structuré d'évaluation proposé |
| Focus principal | SMSI, risques CIA, propriétaires de risques | Alignement stratégique, surveillance continue et agrégation des risques | Vue organisationnelle, mission et système |
| Surveillance requise | Revues périodiques du SMSI | Menaces, incidents, logs, chaîne logistique, concurrents | État de sécurité et mesures correctives |
Identification : actifs, menaces et vulnérabilités
Le processus débute par l'inventaire des actifs essentiels (services, produits, opérations) et l'analyse des menaces. Celles-ci peuvent émerger de l'intérieur comme de l'extérieur de l'organisation. La découverte de nouvelles vulnérabilités, la possibilité d'une augmentation du risque due à l'agrégation de menaces et de vulnérabilités, ainsi que les évolutions de la chaîne d'approvisionnement doivent être prises en compte dès cette phase.
Évaluation et propriété des risques
Chaque risque identifié est évalué en termes d'impact sur la confidentialité, l'intégrité et la disponibilité. L'ISO 27001 exige que l'organisation identifie clairement les propriétaires de risques (risk owners), responsables de la supervision et du traitement de leurs risques respectifs. L'évaluation intègre également les changements de priorités métier et l'incertitude liée aux événements futurs.
Traitement et niveaux d'acceptation
Le traitement peut prendre la forme d'une réduction, d'un transfert, d'une évitement ou d'une acceptation. Lorsqu'un risque est jugé acceptable au regard de l'appétit défini par la direction, il fait l'objet d'une formalisation des niveaux d'acceptation. Cette décision doit être documentée et communiquée.
Surveillance et révision continue
La gestion des risques est dynamique. Les domaines à surveiller incluent : les incidents et les logs, les nouvelles menaces et vulnérabilités, les changements réglementaires, l'état de moral du personnel, les actions des concurrents et l'évolution de la chaîne d'approvisionnement. Toute modification des priorités, actifs ou opérations de l'entreprise doit déclencher une réévaluation.
Comment mettre en œuvre une gouvernance des risques de cybersécurité en 7 étapes
Key Takeaways
Frequently Asked Questions
Quelle est la différence entre sécurité de l'information et cybersécurité ?
La cybersécurité est une discipline spécifique qui traite des menaces adverses dans des systèmes interconnectés. Sans interconnexion ni adversaire, la sécurité de l'information suffirait. La cybersécurité ajoute notamment la situational awareness aux objectifs classiques de confidentialité, d'intégrité et de disponibilité.L'ISO 27001 impose-t-elle une méthodologie d'évaluation des risques précise ?
Non. L'ISO/IEC 27001:2013 exige un processus d'évaluation identifiant les risques sur la confidentialité, l'intégrité et la disponibilité ainsi que les propriétaires de risques, mais l'ISO/IEC 27005:2018 précise que l'organisation définit elle-même son approche en fonction du périmètre du SMSI, du contexte et du secteur d'activité.Qui est le propriétaire d'un risque et quel est son rôle ?
Le propriétaire du risque est une personne de l'organisation chargée de superviser un risque spécifique, d'en valider le traitement et de s'assurer qu'il reste dans les limites de l'appétit au risque. Son identification est une exigence de l'ISO 27001.Quels événements doivent déclencher une revue de l'appétit au risque ?
Doivent être pris en compte : les changements de priorités métier, l'arrivée de nouvelles menaces ou vulnérabilités, les incidents de sécurité, les évolutions légales et réglementaires, les modifications de la chaîne d'approvisionnement, ainsi que l'état de moral de l'organisation.Comment gérer un risque que l'entreprise décide de ne pas traiter ?
L'entreprise peut formaliser une acceptation du risque à un niveau déterminé par la gouvernance. Cette décision doit être documentée, justifiée par rapport aux objectifs métier, et soumise à une surveillance régulière pour vérifier qu'elle reste pertinente.Quel est le rôle de la conscience de la situation (situational awareness) en cybersécurité ?
La situational awareness garantit que l'organisation reste informée et suffisamment flexible pour identifier et gérer efficacement les nouvelles méthodes de cybercriminalité et les menaces persistantes avancées (APTs), au-delà de la simple protection statique des données.Conclusion
Une gouvernance et une gestion des risques de cybersécurité rigoureuses transforment la sécurité en un levier de résilience et de confiance pour l'entreprise. En structurant votre démarche autour des exigences de l'ISO 27001 et de la flexibilité méthodologique de l'ISO 27005, vous assurez une protection alignée sur vos objectifs stratégiques. Pour évaluer votre niveau de maturité actuel et obtenir un plan d'action concret validé par nos experts, testez gratuitement le diagnostic MaturaScore.