Analyse des risques de sécurité selon ISO/IEC 27005:2022

À l’issue de la formation, les participants seront capables de :

• comprendre les principes de la gestion des risques de sécurité de l’information ;
• comprendre le positionnement de ISO/IEC 27005:2022 dans un SMSI ;
• définir le contexte et les critères d’évaluation des risques ;
• identifier les actifs et situations susceptibles de générer des risques ;
• identifier les conséquences et facteurs de risque ;
• analyser la vraisemblance et l’impact ;
• déterminer et hiérarchiser les niveaux de risque ;
• sélectionner des options de traitement adaptées ;
• construire et maintenir un registre des risques ;
• organiser le suivi et la revue des risques.

• responsables sécurité de l’information et RSSI ;
• responsables et coordinateurs SMSI ;
• responsables informatiques et systèmes d’information ;
• responsables risques et conformité ;
• responsables qualité et systèmes de management ;
• auditeurs internes ;
• pilotes de processus ;
• consultants en cybersécurité et sécurité de l’information ;
• étudiants et stagiaires en cybersécurité, informatique, systèmes d’information, risques ou management ;
• nouvelles recrues souhaitant développer leurs compétences en analyse des risques de sécurité de l’information.

Une connaissance générale des principes de sécurité de l’information est recommandée. Une connaissance de ISO/IEC 27001:2022 constitue un avantage.

Jour 1 — Identifier, analyser et évaluer les risques de sécurité de l’information

• Principes du management des risques de sécurité de l’information.
• Positionnement de ISO/IEC 27005:2022.
• Relation avec ISO/IEC 27001:2022.
• Définition du contexte de gestion des risques.
• Détermination du périmètre et des responsabilités.
• Définition des critères de risque.

Pause

• Identification des actifs informationnels et activités critiques.
• Identification des sources et situations de risque.
• Identification des conséquences potentielles.
• Analyse de la vraisemblance.
• Analyse des impacts.
• Estimation du niveau de risque.
• Évaluation et hiérarchisation des risques.
• Construction d’une matrice de risques.

Jour 2 — Traiter, suivre et communiquer les risques

• Détermination des priorités de traitement.
• Options de traitement des risques.
• Réduction du risque.
• Évitement, partage ou acceptation du risque.
• Détermination du risque résiduel.
• Identification des responsables de risques.

Pause

• Élaboration du plan de traitement des risques.
• Lien entre risques et mesures de sécurité.
• Documentation des décisions de traitement.
• Construction du registre des risques.
• Communication et consultation sur les risques.
• Surveillance des évolutions du contexte.
• Réévaluation et revue périodique des risques.
• Définition d’indicateurs de suivi.
• Étude de cas : analyse complète d’un risque de sécurité de l’information.
• Évaluation finale.

• apports méthodologiques ;
• exercices d’identification des actifs et risques ;
• construction de scénarios de risques ;
• exercices d’évaluation de la vraisemblance et de l’impact ;
• utilisation d’une matrice de criticité ;
• hiérarchisation des risques ;
• élaboration d’un registre des risques ;
• construction d’un plan de traitement ;
• étude de cas ;
• évaluation finale.

La formation comprend 12 heures réparties sur 2 jours, soit 6 heures par jour hors pause.

Elle peut être organisée en présentiel, à distance ou en intra-entreprise.

En intra-entreprise, les exercices peuvent être adaptés aux actifs informationnels, processus, systèmes, risques et mesures de sécurité propres à l’organisation.

Les participants peuvent recevoir une grille d’identification des risques, une matrice d’analyse et d’évaluation, un registre des risques, un modèle de plan de traitement et une fiche de suivi des risques résiduels.

Une attestation de formation est délivrée après satisfaction aux modalités d’évaluation prévues.