Risques

À quoi sert l'écran#

L'audit ISO 27001 (6.1.2 et 6.1.3) attend une appréciation et un traitement des risques que la déclaration d'applicabilité peut citer.

Qui peut faire quoi#

Pas à pas#

Lire la matrice et la carte#

• « Matrice et appétence » : la matrice par défaut est de 5 × 5. Le score est la vraisemblance multipliée par l'impact. Les seuils (moyen, élevé, critique) et l'appétence sont affichés. Elle ne peut pas encore être modifiée.
• « Carte de chaleur des risques ouverts » : une carte « Inhérent (avant traitement) » et une carte « Résiduel (après traitement) ». Un risque dont la cotation sort de la matrice n'est pas placé, et l'écran le dit.
• Filtrez par « Statut », « Niveau résiduel » et « Traitement ».

Inscrire un risque#

1. Cliquez sur « Nouveau risque ».
2. Remplissez « Le risque » : « Intitulé » (obligatoire), « Description », « Responsable » (obligatoire).
3. Sous « Appréciation avant traitement », choisissez la « Vraisemblance » (de « Très improbable » à « Quasi certain ») et l'« Impact » (de « Négligeable » à « Critique »). L'écran calcule le « Niveau inhérent ».
4. Sous « Traitement », choisissez la « Réponse au risque » : « Réduire », « Accepter », « Transférer » ou « Éviter ». Pour « Réduire », choisissez au moins un contrôle de l'annexe A.
5. Indiquez le « Niveau résiduel visé » (vraisemblance et impact résiduels). Il ne peut pas dépasser le risque avant traitement.
6. Si le risque est accepté, ou si son niveau résiduel reste au-dessus de l'appétence, renseignez « Accepté par », « Date d'acceptation » et « Justification ».
7. Sous « Suivi », choisissez le « Statut » (« Identifié », « En traitement », « Traité », « Clos »), la « Prochaine revue » et, si vous voulez, « Traitement en place avant le ».
8. Cliquez sur « Enregistrer ». Si une règle n'est pas respectée, la zone « Ce risque ne peut pas être enregistré » dit laquelle.

Modifier ou clore#

Cliquez sur un risque de la liste, modifiez, puis « Enregistrer ». « Clore le risque » le ferme. Si quelqu'un d'autre a modifié le risque entre-temps, l'écran vous propose « Recharger le risque » ; vos saisies sont alors perdues.

Rattacher des actifs#

Dans le panneau d'un risque déjà enregistré, la section des actifs permet de chercher dans l'inventaire, de choisir les actifs que le risque touche (ISO 27001 6.1.2) et de cliquer sur « Enregistrer les actifs ». Cet enregistrement est séparé de celui du formulaire : enregistrez d'abord le formulaire. Seuls les responsables conformité et les administrateurs Jira peuvent rattacher des actifs. Un actif dont l'objet a disparu de JSM Assets reste sur le risque, marqué « objet introuvable » ; on le rattache de nouveau dans l'onglet Actifs.

Rédiger et évaluer avec l'assistant Édition : Advanced#

Dans le formulaire d'un risque, le bloc « Assistant » propose deux choses. « Proposer une rédaction » part d'une phrase que vous tapez (« un portable non chiffré est volé pendant un déplacement ») et propose l'intitulé, la menace, la vulnérabilité, la conséquence, des actifs et des contrôles. « Proposer une évaluation » part du titre et de la description et propose la vraisemblance et l'impact inhérents, un traitement (réduire, transférer ou éviter), des contrôles, puis la vraisemblance et l'impact résiduels, chacun avec sa raison. Renseignez d'abord le titre du risque.

Vous cochez les champs à reprendre (« Reprendre la sélection ») ; rien n'est enregistré avant « Enregistrer ». Les actifs se rattachent une fois le risque enregistré. L'assistant ne propose jamais d'accepter un risque : l'accepter est une décision d'une personne, enregistrée à son nom. Ce qui part au modèle : Assistant IA.

Importer des risques#

« Importer » et « Télécharger le modèle » (pour qui modifie les risques) remplissent le registre depuis un classeur Excel, avec un aperçu avant écriture. L'acceptation d'un risque ne s'importe pas. Voir Importer et exporter par modèles Excel.

Ce que l'auditeur en tirera#

Une appréciation des risques datée, avec responsable, traitement, contrôles et acceptation. Le fichier risques.csv du dossier d'audit et les cartes de chaleur du rapport en reprennent le contenu. Chaque création, modification et clôture est dans le journal. Un contrôle de l'annexe A exclu alors qu'un risque ouvert s'appuie sur lui bloque l'approbation de la déclaration.

Limites connues#

• La matrice par défaut ne se règle pas encore dans l'app.
• Le registre est « léger ». Les actifs d'un risque se rattachent à la main : aucun lien n'est déduit automatiquement.
• Les comptes inactifs ou introuvables ne peuvent être ni responsables ni accepteurs.
• La personne propriétaire d'un risque ne l'accepte pas et n'en enregistre pas l'acceptation : l'enregistrement est refusé avec « L’auteur ne peut pas approuver son propre travail ». Un administrateur le peut, et le journal le dit.