8.2 — Appréciation des risques de sécurité de l’information

Une appréciation des risques faite une fois, à la certification, et jamais refaite n’est pas une appréciation des risques — c’est l’instantané d’un moment qui n’existe plus.

Exigence obligatoire · Information documentée requise : oui

En langage clair

La 8.2 exige que vous réalisiez réellement votre appréciation des risques à nouveau — à intervalles planifiés, ou chaque fois qu’un changement significatif est proposé ou survient — selon les critères établis à la clause 6.1.2, et que vous conserviez les résultats comme preuve à chaque fois.

Pourquoi cette exigence existe

Le risque n’est pas statique. De nouveaux systèmes sont adoptés, le personnel change, les acteurs malveillants modifient leurs tactiques, et les priorités d’affaires évoluent — une appréciation des risques datant de la certification décrit une organisation qui, dix-huit mois plus tard, n’existe peut-être plus sous la même forme. Cette exigence force l’appréciation à suivre le rythme de la réalité plutôt que de devenir un artefact historique.

Scénario : une entreprise se certifie avec une appréciation des risques conçue autour d’un environnement sur site, puis migre la plupart de ses charges de travail vers l’infonuagique au cours de l’année suivante sans jamais réévaluer les risques par rapport à la nouvelle architecture. À l’audit de surveillance, le registre des risques décrit toujours une infrastructure qui n’existe plus — un constat direct de la 8.2, indépendamment de la qualité de la migration infonuagique elle-même.

Ce que la norme attend

La norme attend que l’organisation réalise des appréciations des risques de sécurité de l’information à intervalles planifiés, ou lorsque des changements significatifs sont proposés ou surviennent, en tenant compte des critères établis en vertu de la 6.1.2 a). L’organisation doit conserver l’information documentée des résultats de chaque appréciation des risques de sécurité de l’information.

En pratique

• Fixer un intervalle planifié (annuel est courant) pour un renouvellement complet de l’appréciation des risques, indépendamment de tout changement.
• Définir ce qui constitue un « changement significatif » pour votre organisation (nouveau système, nouveau bureau, réorganisation majeure, nouvelle obligation réglementaire) pour que le déclencheur ne soit pas laissé au jugement du moment.
• Réutiliser exactement les mêmes critères et échelles de votre méthodologie 6.1.2 à chaque fois, pour que les résultats restent comparables d’une année à l’autre.

Preuves que l’auditeur demandera

• Un historique des résultats d’appréciation des risques montrant qu’ils ont été réalisés selon le calendrier planifié.
• Une preuve que des changements significatifs (migrations de systèmes, nouveaux bureaux, réorganisations majeures) ont déclenché une réévaluation hors cycle.

Pièges courants

• Une seule appréciation des risques réalisée à la certification, jamais répétée avant le premier audit de surveillance.
• Un changement majeur d’infrastructure ou d’organisation qui n’a jamais déclenché une nouvelle appréciation des risques.

Exigences liées

• 6.1.2 Appréciation des risques (méthodologie) — fixe les critères et la méthode que la 8.2 exige de réappliquer réellement.
• 8.3 Traitement des risques (opérationnel) — l’étape suivante : agir sur ce que chaque réévaluation révèle.
• 8.1 Planification et maîtrise opérationnelles — les changements non planifiés significatifs maîtrisés ici sont l’un des déclencheurs de réévaluation.
• Clause parente : Clause 8 Fonctionnement.