ISO/IEC 27005

Ce que la norme couvre

• Définition du contexte de risque et des critères d'acceptation.
• Identification des scénarios de menace et vulnérabilités.
• Évaluation impact/probabilité et traitement des risques.
• Suivi des risques résiduels et révision périodique.

Ce que la norme ne couvre pas seule

• Ne fournit pas une liste complète de contrôles (rôle de 27002).
• Ne couvre pas seule la gouvernance business globale du risque (31000).
• Exige une bonne qualité de données d'incidents et d'exposition.

Livrables attendus en audit

• Méthodologie de risque formalisée et approuvée.
• Registre des risques avec propriétaires et plans de traitement.
• Mécanisme de revue des risques résiduels et exceptions.

Indicateurs utiles

• % de risques critiques réévalués dans la fréquence cible.
• Délai moyen de traitement des risques élevés.
• Part des risques élevés sans plan de traitement validé.

Usage dans Varden Auditor

• Base de calcul des indices de priorité et de maturité risque.
• Point de raccord entre assessments modules et plans correctifs.
• Support à la gouvernance de risque transversale Varden Auditor.

Normes liées