Analyse des risques ISO 27001 : que doit contenir la matrice ?
Une matrice des risques ISO 27001 est l'outil dans lequel un organisme identifie les risques pesant sur la confidentialité, l'intégrité et la disponibilité de ses informations, désigne un propriétaire pour chaque risque, estime l'impact et la vraisemblance, calcule un niveau de risque et le compare à des critères d'acceptation fixés à l'avance. La norme (article 6.1.2) n'impose aucun format : elle exige un processus reproductible et documenté ; un fichier Excel bien conçu suffit pour la plupart des PME.
Ce que demande l'ISO/IEC 27001:2022 sur l'appréciation des risques
L'article 6.1.2 demande de définir et d'appliquer un processus d'appréciation des risques de sécurité de l'information. En résumé, ce processus doit :
- Fixer des critères d'acceptation des risques et des critères pour réaliser les appréciations.
- Produire des résultats cohérents et comparables lorsqu'il est répété.
- Identifier les risques de perte de confidentialité, d'intégrité et de disponibilité dans le domaine d'application du SMSI.
- Désigner un propriétaire pour chaque risque.
- Analyser les conséquences et la vraisemblance réaliste, et déterminer le niveau de risque.
- Évaluer et prioriser les risques en vue de leur traitement.
L'article 8.2 demande en outre de répéter l'appréciation à intervalles planifiés ou lors de changements importants, et de conserver les résultats sous forme d'informations documentées. Le traitement (article 6.1.3) s'appuie sur ces résultats pour choisir les mesures et alimenter la déclaration d'applicabilité.
Colonnes minimales d'une matrice des risques SMSI
| Colonne | À quoi elle sert |
|---|---|
| Identifiant du risque | Traçabilité avec le plan de traitement et la déclaration d'applicabilité |
| Processus ou actif | Situe le risque dans le domaine d'application |
| Scénario de risque | Décrit ce qui peut arriver (une menace exploite une vulnérabilité) |
| Menace et vulnérabilité | Permettent de justifier l'analyse devant l'auditeur |
| Critère touché (C, I, D) | Confidentialité, intégrité ou disponibilité |
| Mesures existantes | L'analyse tient compte de ce qui est déjà en place |
| Impact et vraisemblance | Échelles définies dans les critères (par exemple de 1 à 4) |
| Niveau et catégorie | Résultat du calcul et comparaison avec les critères d'acceptation |
| Propriétaire et traitement | Qui décide et quelle option est retenue : réduire, partager, éviter ou accepter |
Comment calculer le niveau de risque ?
La méthode la plus courante en PME consiste à multiplier l'impact par la vraisemblance sur des échelles de 1 à 4, ce qui donne des niveaux de 1 à 16. Les critères de l'organisme fixent à partir de quel niveau un risque est moyen, élevé ou critique ; par exemple moyen à partir de 6, élevé à partir de 9 et critique à 16. L'essentiel n'est pas la formule exacte, mais qu'elle soit documentée, approuvée et appliquée de la même façon à chaque appréciation.
La carte de chaleur résume le nombre de risques dans chaque combinaison d'impact et de vraisemblance, et aide la direction à voir d'un coup d'œil où concentrer l'effort.
Approche par scénarios ou par actifs ?
L'ISO/IEC 27001:2022 n'oblige pas à partir d'un inventaire des actifs. Beaucoup d'organismes apprécient des scénarios de risque par processus, plus rapides et plus faciles à comprendre ; d'autres préfèrent l'approche par actifs, directement reliée à l'inventaire. En France, la méthode EBIOS Risk Manager de l'ANSSI est aussi très utilisée et peut alimenter le SMSI. Le plus important est de choisir une approche, de la décrire dans la méthodologie et de s'y tenir.
Erreurs fréquentes relevées par les auditeurs
- Des risques sans propriétaire ou avec un propriétaire générique comme « la DSI ».
- Des échelles d'impact et de vraisemblance sans définition écrite.
- Des risques copiés d'une autre entreprise sans adaptation au contexte.
- Des mesures existantes non enregistrées, ce qui gonfle les niveaux.
- Une appréciation faite une fois et jamais répétée après des changements importants.
Modèle : la matrice des risques du kit NexoDocs
La matrice du kit NexoDocs en français est un fichier Excel sans macros, avec approche par scénarios et par actifs, critères paramétrables, calcul automatique du niveau et de la catégorie, carte de chaleur, registre des risques du SMSI et des exceptions. Vous pouvez télécharger gratuitement une version réduite (10 scénarios, carte de chaleur et critères, en anglais) pour l'essayer avant d'acheter le kit complet.
Questions fréquentes
L'ISO 27001 exige-t-elle une matrice des risques sous Excel ?
Non. Elle exige un processus d'appréciation des risques défini, appliqué et documenté. Excel est un moyen pratique de le documenter, mais d'autres outils conviennent aussi.
Quelle échelle d'impact et de vraisemblance utiliser ?
Une échelle de 1 à 4 ou de 1 à 5 est la plus courante en PME. L'essentiel est que chaque valeur ait une définition écrite et approuvée.
À quelle fréquence mettre à jour la matrice ?
À intervalles planifiés (par exemple une fois par an) et à chaque changement important dans l'organisme, la technologie ou les menaces.
Un modèle suffit-il pour réussir l'audit ?
Non. La certification dépend de la mise en œuvre du SMSI et de l'audit d'un organisme de certification ; un bon modèle structure le travail et laisse des preuves claires.
Guides associés
- Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
- Documents obligatoires ISO 27001:2022 : la liste par article
- Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Mis à jour: 2026-10-20