Ressource gratuite
Modèle d’analyse des risques ISO 27001
Une méthodologie d’analyse des risques ISO 27001:2022 prête à l’emploi — cotation, options de traitement et structure de registre. Reprenez-la pour votre SMSI, ou laissez CATAAM exécuter l’analyse des risques et la surveillance de l’Annexe A pour vous.
1. Méthodologie de cotation
Score de risque = Vraisemblance × Impact (1–25).
Vraisemblance
| Score | Description |
|---|---|
| 1 | Rare — une fois tous les 5 ans ou plus |
| 2 | Peu probable — une fois tous les 2 à 5 ans |
| 3 | Possible — une fois par an |
| 4 | Probable — plusieurs fois par an |
| 5 | Quasi certain — mensuel ou plus fréquent |
Impact
| Score | Description |
|---|---|
| 1 | Négligeable — aucun impact opérationnel, aucune exposition de données |
| 2 | Mineur — impact limité, rapidement résolu |
| 3 | Modéré — perturbation significative, exposition de données limitée |
| 4 | Majeur — préjudice grave, notification réglementaire probable |
| 5 | Critique — continuité d’activité menacée, fuite massive de données |
Niveaux de risque et délais de traitement
| Score | Niveau | Traitement |
|---|---|---|
| 1–4 | Faible | Accepter ou surveiller |
| 5–9 | Moyen | Traiter sous 90 jours |
| 10–16 | Élevé | Traiter sous 30 jours |
| 17–25 | Critique | Traiter immédiatement |
2. Options de traitement du risque
| Option | Quand l’utiliser |
|---|---|
| Réduire | Mettre en œuvre des contrôles pour réduire la vraisemblance ou l’impact |
| Transférer | Assurance ou transfert contractuel de responsabilité |
| Accepter | Documenter et accepter le risque résiduel (validation de la direction requise) |
| Éviter | Supprimer l’activité qui génère le risque |
3. Colonnes du registre des risques
Suivez chaque risque avec ces champs ; rattachez chacun à un contrôle de l’Annexe A pour votre déclaration d’applicabilité.
ID du risqueActif / domaineMenaceVulnérabilitéVraisemblance (1–5)Impact (1–5)ScoreTraitementResponsableÉchéanceContrôle Annexe A
Analyse des risques ISO 27001 — FAQ
- Qu’est-ce qu’une analyse des risques ISO 27001 ?
- C’est le processus structuré qui consiste à identifier les risques de sécurité de l’information pesant sur vos actifs dans le périmètre, à coter chacun selon sa vraisemblance et son impact, et à décider de leur traitement. ISO 27001:2022 (clause 6.1.2) exige une méthodologie documentée et reproductible ainsi qu’un registre des risques — c’est la colonne vertébrale de votre SMSI.
- Comment cote-t-on le risque dans ISO 27001 ?
- La plupart des équipes utilisent vraisemblance × impact sur une échelle de 1 à 5, donnant un score de 1 à 25 qui correspond à des niveaux Faible / Moyen / Élevé / Critique avec des délais de traitement associés. L’échelle exacte vous appartient, mais elle doit être cohérente et documentée.
- Quelles sont les quatre options de traitement du risque ?
- Réduire (ajouter des contrôles), Transférer (assurance/contrats), Accepter (documenter le risque résiduel avec validation) ou Éviter (cesser l’activité). Chaque risque du registre doit consigner l’option retenue et sa justification.
- Ce modèle couvre-t-il l’Annexe A d’ISO 27001:2022 ?
- Oui — le registre rattache chaque risque traité au contrôle de l’Annexe A concerné, ce qui alimente votre déclaration d’applicabilité (DdA). CATAAM peut générer la DdA et surveiller ces contrôles en continu.
Du registre des risques au SMSI certifié
CATAAM automatise les preuves ISO 27001, génère votre DdA et surveille en continu les contrôles de l’Annexe A.
ISO 27001 avec CATAAM