Formation Certification ISO/IEC 27005 –
Risk Manager

Programme de Notre Formation ISO/IEC 27005 – Risk Manager

[Jour 1 – Matin]

Introduction à la gestion des risques en sécurité de l’information

• Définition du risque et enjeux C/I/D (confidentialité, intégrité, disponibilité)
• Panorama des menaces (cyberattaques, malwares, erreurs humaines…) et vulnérabilités courantes
• Présentation de la norme ISO/IEC 27005 et des autres standards clés en gestion du risque
• Présentation des normes et standards clés en gestion du risque
• Rôle du Risk Manager dans le SMSI pour identifier et traiter les risques
• Atelier pratique : Identification de risques connus dans l’entreprise.

[Jour 1 – Après-midi]

Concepts fondamentaux et référentiels en gestion du risque

• Terminologie : actif, menace, vulnérabilité, impact, probabilité
• Importance de la gestion des risques dans un SMSI et lien avec la conformité
• Référentiels et méthodes : ISO/IEC 27005, EBIOS, MEHARI, NIST RMF – articulation
• Comparaison critique des approches (forces/faiblesses) pour positionner ISO/IEC 27005 comme pivot dans le SMSI
• Gouvernance du risque : processus global et intégration à la stratégie d’entreprise
• Atelier pratique : Quiz/validation des définitions & normes associées.

Processus ISO/IEC 27005 (1^ère partie) – Contextualisation & identification des risques

• Établissement du contexte : périmètre, actifs critiques, enjeux métiers, critères d’acceptation
• Identification et valorisation des actifs informationnels (données, infrastructures, applications)
• Identification des menaces et vulnérabilités par actif
• Scénarios de risque : combinaison actifs/menaces/vulnérabilités et premières estimations d’impacts
• Lien direct avec les exigences ISO/IEC 27001 (ex. §6.1.2 sur l’identification et le traitement des risques de sécurité de l’information)
• Atelier pratique : Définir le périmètre et réaliser la cartographie initiale des risques.

[Jour 2 – Matin]

Processus ISO/IEC 27005 (2^e partie) – Analyse & évaluation des risques

• Analyse : estimation vraisemblance & impact pour chaque scénario
• Méthodes d’estimation : approches quantitatives vs qualitatives
• Évaluation/priorisation : matrice probabilité/impact et identification des risques inacceptables
• Appétence et tolérance au risque : décisions d’acceptabilité
• Mise en perspective avec le rôle du leadership (ISO 27001 §5.1) dans la validation de l’appétence au risque
• Atelier pratique : Estimer impacts & probabilités et positionner sur la matrice.

[Jour 2 – Après-midi]

Intégration de la gestion des risques dans l’ISO/IEC 27001

• Lien ISO/IEC 27005 ↔ ISO/IEC 27001 : la gestion des risques comme socle du SMSI
• Sélection/justification des mesures via l’Annexe A (ISO 27001:2022)
• Élaboration du plan de traitement des risques (PTRA) : priorisation, responsables, ressources
• Suivi du risque résiduel et validation par la direction
• Communication & reporting (rapports, tableaux de bord) aux parties prenantes
• Amélioration continue dans le cycle PDCA
• Traduction opérationnelle des mesures dans des politiques et procédures SSI adaptées (ex : gestion des accès, sauvegarde, classification des données)
• Retour d’expérience collectif et mise en commun des bonnes pratiques identifiées
• Atelier pratique : Construire un extrait de PTRA ISO 27001 + reporting au COMEX.

[Jour 3 – Matin]

Cas pratique global de gestion des risques

• Application de bout en bout du processus ISO/IEC 27005 sur un scénario complexe
• Cartographie des risques, estimation, analyse et plan de traitement
• Présentation & justification des arbitrages devant un jury fictif
• Atelier pratique : Soutenance en équipe de la cartographie & du plan de traitement.

[Jour 3 – Après-midi]

Bonnes pratiques, facteurs de succès & retours d’expérience

• Implication de la direction, périmètre clair, registre des risques à jour
• Erreurs courantes & pièges à éviter
• Gouvernance : rôles du comité des risques, propriétaire de risque, correspondants SSI
• Outils GRC, ressources ANSSI, bases de connaissances et logiciels spécialisés
• Module complémentaire : veille réglementaire et conformité (RGPD, NIS2, DORA) pour contextualiser la gestion des risques dans l’environnement légal et sectoriel
• Atelier pratique : Partage d’expériences & benchmark animé par le formateur.

Préparation à la certification ISO/IEC 27005 Risk Manager

• Format de l’examen : QCM, durée, score de réussite, langue
• Conseils de réussite : gestion du temps, techniques de lecture
• Révision des points clés (normes, processus, calculs de risque, etc.)
• Session Q/R & astuces de mémorisation
• Atelier pratique : Passage d’un examen blanc et correction.