ISO 27005

L'ISO 27005 propose une approche itérative en vue d'établir une appréciation des risques en
sécurité de l'information. Elle reprend les notions usuelles de disponibilité, intégrité et
confidentialité, et les confronte aux menaces pour hiérarchiser les risques et décider du traitement à
apporter en fonction des impacts et de leur probabilité ou vraisemblance. Elle part d'une
étude du contexte, puis propose une appréciation des risques ce qui comprend l'analyse
(identification et estimation) et une évaluation. Elle propose ensuite de traiter les risques
suivant une combinaison de 4 possibilités :
* en refusant l'activité source du risque, dans l'esprit d'un principe de précaution ;
* en réduisant le risque par des mesures adéquates ;
* en transférant le risque: assurances, sous-traitants, etc. ;
* en conservant le risque.
La méthode ISO27005 permet aux entreprises de ne retenir sur les 133 mesures de sécurité
(édictés dans l'ISO 27001 et reprises dans l'ISO 27002), que celles réellement nécessaires à l'issue de
l'appréciation des risques.