Analyse de risques ISO 27001
Modèle opérationnel + exemple concret pour produire une analyse de risques ISO 27001 audit-ready (actifs, menaces, vulnérabilités, scoring, traitement, preuves).
En 30 secondes
ISO 27001 Risques Audit-ready
L’analyse de risques est le cœur d’un SMSI conforme à ISO 27001. Sans analyse structurée, pas de plan de traitement cohérent. Sans plan de traitement cohérent, pas de SoA solide. Et sans SoA solide… l’audit devient sportif.
Position NetQualIT
Une approche simple, opérationnelle et documentée : utile pour piloter au quotidien, et suffisamment cadrée pour être audit-ready.
Objectif d’une analyse de risques ISO 27001
L’objectif n’est pas de produire un tableur de 200 lignes illisibles. L’objectif est de piloter.
- Identifier les actifs critiques
- Qualifier les menaces et vulnérabilités
- Évaluer les impacts métier (incluant le réglementaire)
- Déterminer un niveau de risque cohérent
- Définir un traitement (actions + preuves)
Méthodologie simple et efficace
Étape 1 — Identifier les actifs
- Tenant Microsoft 365
- Serveur / applicatif critique
- GED / documentation réglementée
- Postes clés (production, QA, admin…)
- Données sensibles (patients, R&D, RH…)
Étape 2 — Menaces & vulnérabilités
Menace : compromission d’identité
Vulnérabilité : MFA partiellement déployé
Vulnérabilité : MFA partiellement déployé
Menace : perte d’intégrité documentaire
Vulnérabilité : absence de contrôle de version / traçabilité
Vulnérabilité : absence de contrôle de version / traçabilité
Étape 3 — Évaluer l’impact
- Financier
- Réglementaire
- Réputationnel
- Opérationnel
En Life Science, l’impact réglementaire est rarement anecdotique.
Étape 4 — Calculer le niveau de risque
NetQualIT recommande un scoring compréhensible et stable (ex : Impact × Probabilité), plutôt qu’un modèle “scientifique” impossible à maintenir.
Exemple simplifié
| Actif | Menace | Impact | Probabilité | Niveau |
|---|---|---|---|---|
| M365 | Compromission compte admin | Élevé | Moyen | Critique |
Exemple concret simplifié
Contexte
- Actif : Tenant Microsoft 365
- Menace : vol d’identifiants
- Vulnérabilité : MFA activé sur 30 % des comptes
- Impact : Élevé
- Probabilité : Moyenne
- Risque : Critique
Traitement recommandé
- Déploiement MFA généralisé
- Journalisation avancée et alerting
- Sensibilisation ciblée (phishing)
- Revue trimestrielle des comptes à privilèges
Preuves & livrables attendus
- Registre des risques
- Plan de traitement
- Mise à jour de la SoA
- Captures / exports de configuration
- Procédure de revue
Audit-ready, sans folklore.
Erreurs fréquentes
À éviter
- Copier-coller un modèle “internet” sans contexte
- Multiplier les risques théoriques sans lien métier
- Oublier la traçabilité des décisions
- Ne jamais mettre à jour (classique)
Position NetQualIT
Un SMSI n’est pas un musée documentaire. Il doit vivre, se mesurer, s’améliorer. Une analyse de risques utile est une analyse de risques utilisée.
Attentes d’un auditeur
- La cohérence entre risques, plan de traitement et SoA
- La justification des exclusions
- Les preuves de mise en œuvre
- La mise à jour régulière
Livrables
- Modèle de matrice d’analyse de risques
- Exemple de registre des risques
- Exemple de plan de traitement
- Modèle simplifié de déclaration d’applicabilité (SoA)
Synthèse opérationnelle
Une analyse de risques ISO 27001 efficace ne cherche pas à impressionner. Elle doit permettre de décider, piloter et démontrer.
Structure. Traçabilité. Cohérence. Et ça suffit.
Structure. Traçabilité. Cohérence. Et ça suffit.
Téléchargement
Besoin d’un cadre rapide et propre
NetQualIT accompagne la structuration, la mise en conformité et la production de livrables audit-ready.