Comment réaliser une évaluation des risques ISO 27001 à l'aide de l'IA

Aperçu

Vous apprendrez à exploiter l'IA pour mener une évaluation complète des risques ISO 27001, de l'identification des actifs informationnels au calcul des scores de risque et à l'élaboration de plans de traitement qui correspondent directement aux contrôles de l'Annexe A.

À qui s'adresse ce guide

Ce guide est destiné à :

• Les professionnels de la sécurité réalisant leur première évaluation des risques ISO 27001
• Les gestionnaires de risques passant d'autres cadres à la norme ISO 27001
• Les consultants gérant des évaluations des risques pour plusieurs clients
• Les organisations confrontées à la complexité des évaluations des risques traditionnelles

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Complété le guide Getting Started with ISO 27001 Implementation Using AI
• Défini le périmètre du SMSI et la méthodologie de risque
• Créé votre espace de travail ISO 27001 dans ISMS Copilot
• Identifié les parties prenantes clés et les propriétaires de risques dans les différents services
• Accès à la documentation système, aux schémas réseau et aux cartes de flux de données

Avant de commencer

Prévoyez suffisamment de temps pour l'évaluation des risques :

• Petites organisations (20-50 employés) : 2-3 semaines
• Organisations de taille moyenne (100-500 employés) : 4-6 semaines
• Grandes organisations (500+ employés) : 8-12 semaines

Comprendre les exigences de l'évaluation des risques ISO 27001

Ce qui rend l'évaluation des risques ISO 27001 unique

Contrairement à d'autres cadres de sécurité, l'ISO 27001 exige une approche basée sur les risques où :

• Les contrôles sont justifiés par les risques : Vous ne pouvez pas simplement mettre en œuvre les 93 contrôles de l'Annexe A — chacun doit répondre à des risques identifiés
• L'appétence pour le risque guide les décisions : Votre organisation définit le niveau de risque acceptable
• Approche centrée sur les actifs : Les risques sont évalués en fonction des menaces pesant sur des actifs informationnels spécifiques
• Processus continu : L'évaluation des risques doit être répétée régulièrement, et pas seulement pour la certification

Les cinq composantes principales

Étape 1 : Construire votre inventaire des actifs informationnels

Pourquoi l'identification des actifs vient en premier

Vous ne pouvez pas évaluer les risques sans savoir ce que vous protégez. L'ISO 27001 exige d'identifier et de documenter tous les actifs informationnels dans le périmètre de votre SMSI, y compris :

• Actifs informationnels : Données clients, dossiers des employés, propriété intellectuelle, données financières, contrats
• Actifs logiciels : Applications, bases de données, systèmes d'exploitation, outils de sécurité, services cloud
• Actifs physiques : Serveurs, postes de travail, équipements réseau, dispositifs de stockage, appareils mobiles
• Services : Infrastructure cloud, services gérés, connectivité Internet, plateformes tierces
• Personnes : Employés, sous-traitants, administrateurs avec accès privilégié

Utiliser l'IA pour accélérer la découverte des actifs

Dans votre espace de travail ISO 27001 :

1. Générer des catégories d'actifs pour votre secteur :

   "Créer un modèle d'inventaire des actifs informationnels pour une entreprise de [secteur] avec [description]. Inclure des catégories pour : les actifs de données, les systèmes d'application, l'infrastructure, les services tiers et le personnel. Pour chaque catégorie, fournir des exemples pertinents."

2. Télécharger la documentation existante : Si vous avez des schémas réseau, des documents d'architecture système ou des cartes de flux de données, téléchargez-les et demandez :

   "Analyser ce diagramme d'architecture et identifier tous les actifs informationnels qui devraient être inclus dans notre inventaire des actifs ISO 27001. Pour chaque actif, suggérer un propriétaire et un niveau de classification."

3. Identifier les propriétaires d'actifs :

   "Pour chaque type d'actif dans une [description de l'entreprise], qui devrait être le propriétaire de l'actif ? Définir des critères pour l'attribution de la propriété en fonction de la fonction métier, de la responsabilité technique et de la responsabilité en matière de sécurité."

4. Créer des critères de classification :

   "Définir les niveaux de classification des informations (Public, Interne, Confidentiel, Restreint) pour l'ISO 27001. Pour chaque niveau, fournir : définition, exemples, exigences de manipulation et conséquences d'une divulgation non autorisée."

Structure de l'inventaire des actifs

Demandez à ISMS Copilot de créer un modèle complet :

"Générer une structure de feuille de calcul pour l'inventaire des actifs avec des colonnes pour : ID de l'actif, Nom de l'actif, Type d'actif, Description, Propriétaire, Emplacement, Classification, Dépendances, Niveau de criticité. Inclure 10 entrées exemples pour une plateforme SaaS."

Structure attendue :

Étape 2 : Identifier les menaces et les vulnérabilités

Comprendre le paysage des menaces

Pour chaque actif, vous devez identifier les menaces réalistes et les vulnérabilités exploitables. Les catégories de menaces courantes incluent :

• Cybermenaces : Malware, ransomware, hameçonnage, attaques DDoS, injection SQL
• Erreurs humaines : Suppression accidentelle, mauvaise configuration, octroi d'accès inapproprié
• Menaces internes : Employés malveillants, abus de privilèges, vol de données
• Défaillances système : Défaillance matérielle, bugs logiciels, pannes réseau
• Risques tiers : Violations de données par les fournisseurs, attaques sur la chaîne d'approvisionnement, perturbations de service
• Menaces physiques : Vol, catastrophes naturelles, accès non autorisé aux installations

Utiliser l'IA pour l'analyse des menaces et des vulnérabilités

1. Générer des scénarios de menace par actif :

   "Pour une base de données clients contenant des données personnelles dans une application SaaS hébergée dans le cloud, identifier des menaces réalistes en considérant : les cyberattaques, les menaces internes, les défaillances système, les risques tiers et la conformité réglementaire. Pour chaque menace, décrire le scénario et l'impact potentiel."

2. Identifier les vulnérabilités spécifiques à la technologie :

   "Quelles sont les vulnérabilités courantes dans [votre pile technologique, par exemple, 'bases de données PostgreSQL hébergées sur AWS avec une interface d'application web'] ? Inclure : les faiblesses de configuration, les lacunes de contrôle d'accès, les problèmes de chiffrement et les défis de gestion des correctifs."

3. Analyser les menaces spécifiques au secteur :

   "Quelles menaces de sécurité de l'information sont les plus pertinentes pour [votre secteur, par exemple, 'les entreprises fintech traitant des données de paiement'] ? Inclure les risques réglementaires, la collecte de renseignements par les concurrents et les schémas d'attaque spécifiques au secteur."

4. Évaluer les risques tiers :

   "Créer une évaluation des risques tiers pour nos principaux fournisseurs : [liste des fournisseurs et services]. Pour chacun, identifier les risques liés à : l'accès aux données, la disponibilité du service, les incidents de sécurité et les échecs de conformité."

Étape 3 : Calculer les scores de risque

Appliquer votre méthodologie de risque

En utilisant la méthodologie que vous avez définie dans le guide de démarrage, vous allez maintenant calculer les scores de risque pour chaque paire menace-vulnérabilité.

La formule standard :

Score de risque = Probabilité × Impact

Où les deux facteurs sont notés sur votre échelle définie (généralement de 1 à 5 ou de 1 à 10).

Définir la probabilité avec l'IA

Demandez à ISMS Copilot d'évaluer la probabilité :

"Pour la menace '[menace spécifique]' exploitant '[vulnérabilité spécifique]' dans notre [description de l'actif], évaluer la probabilité sur une échelle de 1 à 5 en considérant : nos contrôles existants (les lister), les capacités des acteurs de menace, les incidents historiques dans notre secteur et notre posture de sécurité actuelle."

Exemple de prompt :

"Pour la menace 'attaque par ransomware via un e-mail de phishing' exploitant 'une sensibilisation insuffisante des employés à la sécurité' dans notre entreprise SaaS de 50 personnes, évaluer la probabilité (1-5) en considérant : nous avons un filtrage de base des e-mails, pas de formation en sécurité, et des employés en télétravail. Le secteur de la santé a connu une augmentation de 40 % des attaques par ransomware."

Évaluer l'impact avec l'IA

Demandez à ISMS Copilot d'évaluer les conséquences :

"Pour le risque '[menace] pour [actif]', évaluer l'impact sur une échelle de 1 à 5 en considérant : la perte financière (revenu, amendes, coûts de récupération), la perturbation opérationnelle (temps d'arrêt, dégradation du service), les conséquences réglementaires (sanctions RGPD), et les dommages à la réputation (confiance des clients, position sur le marché)."

Catégoriser les niveaux de risque

Générez votre matrice de risques :

"Créer une matrice de risques 5x5 pour l'ISO 27001 où la Probabilité et l'Impact sont tous deux notés de 1 à 5. Codifier par couleur les cellules comme suit : Faible (vert, scores 1-6), Moyen (jaune, scores 8-12), Élevé (orange, scores 15-20), Critique (rouge, scores 25). Indiquer quels risques nécessitent un traitement immédiat par rapport à une surveillance."

Seuils typiques :

• Critique (20-25) : Traitement immédiat requis, escalade à la direction
• Élevé (15-19) : Plan de traitement dans les 30 jours
• Moyen (8-14) : Plan de traitement dans les 90 jours ou acceptation avec justification
• Faible (1-7) : Acceptation ou surveillance, décision documentée

Étape 4 : Élaborer des plans de traitement des risques

Les quatre options de traitement

Pour chaque risque, l'ISO 27001 exige de choisir l'une des quatre options de traitement :

1. Atténuer : Mettre en œuvre des contrôles pour réduire la probabilité ou l'impact (le plus courant)
2. Éviter : Éliminer l'activité à l'origine du risque
3. Transférer : Partager le risque par le biais d'une assurance ou de l'externalisation
4. Accepter : Reconnaître et surveiller (nécessite l'approbation de la direction)

Utiliser l'IA pour concevoir des stratégies de traitement

1. Générer des options d'atténuation :

   "Pour le risque '[description du risque]' avec un score [X], suggérer des contrôles de l'Annexe A de l'ISO 27001 qui atténueraient efficacement ce risque. Pour chaque contrôle, expliquer : comment il réduit la probabilité ou l'impact, l'approche de mise en œuvre, le coût/effort estimé et le risque résiduel attendu."

2. Évaluer le rapport coût-efficacité des contrôles :

   "Comparer les options de traitement pour '[risque]' : Option A - mettre en œuvre l'AMF et un SIEM (50k$), Option B - formation renforcée des employés (10k$), Option C - assurance cyber (20k$ annuel). Recommander l'approche la plus rentable en tenant compte de notre appétence pour le risque et de nos contraintes budgétaires."

3. Créer des plans de traitement :

   "Générer un modèle de plan de traitement des risques pour l'ISO 27001 avec des colonnes pour : ID du risque, Description du risque, Score actuel, Option de traitement, Contrôles sélectionnés, Responsable de la mise en œuvre, Date cible, Risque résiduel attendu, Statut d'approbation. Inclure 5 entrées exemples."

Étape 5 : Cartographier les risques avec les contrôles de l'Annexe A

Pourquoi la cartographie des contrôles est importante

Votre Déclaration d'Applicabilité (SoA) doit démontrer que les contrôles sélectionnés sont justifiés par les risques identifiés. Cela crée la piste d'audit :

Actif → Menace → Vulnérabilité → Risque → Traitement → Contrôle(s)

Utiliser l'IA pour la cartographie des contrôles

Pour chaque risque élevé ou critique :

"Quels contrôles de l'Annexe A de l'ISO 27001:2022 traitent le risque '[description du risque]' ? Pour chaque contrôle pertinent, expliquer : l'objectif spécifique du contrôle, comment il atténue le risque, les exigences de mise en œuvre et les preuves nécessaires pour démontrer la conformité."

Exemple :

Risque : Accès non autorisé à la base de données clients (Score : 20 - Critique)

La réponse de l'IA cartographiera des contrôles comme :

• A.5.15 Contrôle d'accès : Mettre en œuvre un contrôle d'accès basé sur les rôles avec le principe du moindre privilège
• A.5.16 Gestion des identités : Authentification centralisée et approvisionnement des utilisateurs
• A.5.17 Informations d'authentification : Politiques de mots de passe robustes et AMF
• A.8.2 Droits d'accès privilégiés : Accès administrateur restreint avec surveillance
• A.8.5 Authentification sécurisée : Authentification multifactorielle pour tous les accès à la base de données

Créer votre matrice de sélection des contrôles

"Générer une matrice de sélection des contrôles montrant quels contrôles de l'Annexe A traitent quels risques. Structurer comme suit : ID du risque, Description du risque, Score de risque, Contrôles sélectionnés (avec numéros de contrôle), Justification. Montrer les relations pour nos 10 principaux risques."

Étape 6 : Documenter votre évaluation des risques

Documentation requise

Les auditeurs ISO 27001 demanderont :

• Méthodologie d'évaluation des risques : Comment vous identifiez et évaluez les risques
• Inventaire des actifs : Tous les actifs informationnels dans le périmètre
• Registre des risques : Liste complète des risques identifiés avec leurs scores
• Plan de traitement des risques : Comment chaque risque sera traité
• Cartographie des contrôles : Quels contrôles atténuent quels risques
• Approbations d'acceptation des risques : Approbations signées pour les risques acceptés

Utiliser l'IA pour créer une documentation complète

1. Générer un résumé exécutif :

   "Créer un résumé exécutif de notre évaluation des risques ISO 27001 pour une présentation à la direction. Inclure : le nombre total d'actifs évalués, le nombre de risques identifiés par catégorie, la distribution des scores de risque, les principales conclusions, les actions prioritaires recommandées et les besoins budgétaires. Public cible : des dirigeants non techniques."

2. Documenter la méthodologie :

   "Rédiger un document complet sur la méthodologie d'évaluation des risques pour l'ISO 27001 incluant : le périmètre et les objectifs, le processus d'identification des actifs, l'approche d'analyse des menaces et des vulnérabilités, les échelles de probabilité et d'impact avec des exemples, la formule de calcul des risques, les critères d'acceptation des risques, les rôles et responsabilités, et la fréquence d'évaluation. Formater pour une soumission à l'audit."

3. Créer des rapports prêts pour l'audit :

   "Générer une structure de rapport d'évaluation des risques conforme aux exigences de la clause 6.1.2 de l'ISO 27001. Inclure des sections pour : la méthodologie, le résumé de l'inventaire des actifs, les risques identifiés par catégorie, les décisions de traitement des risques, la justification de la sélection des contrôles et les signatures d'approbation."

Étape 7 : Valider avec les parties prenantes

Pourquoi la revue par les parties prenantes est cruciale

L'évaluation des risques n'est pas une activité solitaire. L'ISO 27001 exige l'apport des propriétaires de risques, des propriétaires d'actifs et de la direction pour garantir que :

• Les évaluations des risques reflètent la réalité opérationnelle
• Les décisions de traitement s'alignent sur les priorités métiers
• Les engagements en ressources sont réalistes
• L'acceptation des risques a l'autorité appropriée

Mener des sessions de revue assistées par l'IA

Préparer les supports de revue :

"Créer une présentation pour une réunion de revue de l'évaluation des risques avec les responsables de département. Inclure : un aperçu de la méthodologie, un résumé des risques dans leur département, les plans de traitement proposés, les actions requises de leur équipe et les implications budgétaires. Cibler une présentation de 30 minutes."

Générer des questions de discussion :

"Créer une liste de questions à poser aux responsables de département lors de la validation des évaluations des risques : exhaustivité des actifs, réalisme des menaces, faisabilité des contrôles, disponibilité des ressources et précision de l'impact métier."

Étape 8 : Planifier la gestion continue des risques

Exigences d'évaluation continue des risques

La clause 6.1.3 de l'ISO 27001 exige de réévaluer les risques lorsque :

• Des changements significatifs surviennent (nouveaux systèmes, processus métiers, menaces)
• Des incidents de sécurité sont détectés
• L'efficacité des contrôles change
• À intervalles planifiés (généralement annuellement ou lors de la revue de direction)

Mettre en place une surveillance avec l'IA

1. Créer des déclencheurs de réévaluation :

   "Définir des déclencheurs spécifiques qui nécessiteraient de réévaluer les risques de sécurité de l'information selon l'ISO 27001. Inclure : les changements technologiques, l'expansion des activités, les mises à jour réglementaires, les incidents de sécurité, les défaillances des contrôles et les activités de fusions et acquisitions. Pour chaque déclencheur, spécifier qui initie la réévaluation et le calendrier."

2. Concevoir des processus de surveillance :

   "Créer un processus de revue trimestrielle des risques pour l'ISO 27001 incluant : les métriques à suivre, les indicateurs clés de risque, l'ordre du jour de la réunion de revue, les modèles de rapport et les critères d'escalade des risques qui ont augmenté."

3. Construire des workflows de réévaluation :

   "Concevoir un workflow pour mettre à jour l'évaluation des risques ISO 27001 lorsque [un changement spécifique se produit, par exemple, 'le lancement d'un nouveau service cloud']. Inclure : qui effectue l'évaluation, quels actifs/risques examiner, les exigences d'approbation et les mises à jour de la documentation."

Pièges courants et comment l'IA aide à les éviter

Prochaines étapes dans votre parcours de mise en œuvre

Vous avez maintenant terminé les bases de l'évaluation des risques :

• ✓ Actifs informationnels identifiés et classifiés
• ✓ Menaces et vulnérabilités analysées
• ✓ Scores de risque calculés en utilisant une méthodologie cohérente
• ✓ Plans de traitement élaborés et cartographiés aux contrôles
• ✓ Documentation préparée pour l'audit

Poursuivez votre parcours avec le prochain guide : Comment créer des politiques et procédures ISO 27001 à l'aide de l'IA (bientôt disponible)

Dans le prochain guide, vous apprendrez à :

• Générer des politiques de sécurité prêtes pour l'audit
• Créer des procédures opérationnelles pour les contrôles de l'Annexe A
• Construire votre Déclaration d'Applicabilité (SoA)
• Personnaliser les modèles pour votre organisation
• Assurer la cohérence des politiques dans l'ensemble du SMSI

Obtenir de l'aide

Pour un soutien continu concernant l'évaluation des risques :

• Posez des questions spécifiques : Utilisez votre espace de travail pour obtenir des conseils détaillés sur les risques individuels
• Téléchargez des évaluations existantes : Obtenez une analyse des écarts de votre documentation actuelle sur les risques
• Vérifiez la méthodologie : Consultez les pratiques d'utilisation responsable de l'IA pour l'évaluation des risques
• Découvrez les fonctionnalités de l'espace de travail : Optimisez votre organisation de l'espace de travail pour les évaluations complexes