ISO/IEC 27005 Risk Manager

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Domaine 1 : Principes et concepts fondamentaux

   L'association Solidarité Vosges emploie 12 salariés et gère les données de 8 000 donateurs. Elle souhaite structurer l'appréciation de ses risques liés à la sécurité de l'information. Son trésorier pense qu'ISO/IEC 27005 a été conçue pour les grandes entreprises dotées d'un SMSI certifié. Que devrait lui répondre le président ?

   1. Elle suppose un SMSI conforme à ISO/IEC 27001, même non certifié
   2. Elle s'applique à l'association, à condition de mettre en place un SMSI
   3. Elle s'applique à l'association comme à tout autre organisme
   4. Elle vise d'abord les organismes certifiés ; l'association suivra ISO 31000

2. Domaine 2 : Programme de gestion des risques

   Chez Transports Meunier, le RSSI relit la procédure d'appréciation du risque. Elle définit les critères de risque et décrit la méthode d'analyse ; le registre des risques comporte une colonne « propriétaire », que le RSSI remplit au cas par cas. Le rédacteur juge la procédure complète. Que devrait faire le RSSI ?

   1. La laisser telle quelle, le registre nommant les propriétaires
   2. Y ajouter la règle de désignation des propriétaires du risque
   3. Y ajouter la liste nominative des propriétaires de chaque risque
   4. La garder et faire confirmer par écrit chaque propriétaire lors de la revue annuelle

3. Domaine 3 : Cadre et processus ISO/IEC 27005

   Étude de cas 1 - Armor Prévoyance (5 questions) Armor Prévoyance est une mutuelle santé bretonne de 310 salariés qui protège 120 000 adhérents en Bretagne et en Pays de la Loire ; son siège déménagera à Rennes en 2027. Le service des risques a achevé sa première appréciation des risques liés à la sécurité de l'information et suit désormais leur traitement. Le tableau de suivi indique, pour chaque risque identifié, son niveau, son propriétaire et la mesure décidée ; il n'a pas été mis à jour depuis sa création. Le rapport sur les risques résiduels remis aux propriétaires du risque est rédigé dans un jargon technique ; la directrice des prestations, propriétaire de trois risques, l'a signé sur l'avis du RSSI sans pouvoir, dit-elle, en discuter le contenu, ce que le responsable de la conformité juge normal. Le service des risques transmet ses conclusions aux propriétaires par courriel et considère l'échange clos à l'envoi ; aucun propriétaire n'a d'ailleurs jamais demandé à réagir. Le plan de traitement liste 40 actions dans l'ordre du registre des risques, alors que trois risques dépassent nettement le seuil d'acceptation et que leurs propriétaires attendent une réponse rapide. Enfin, après un séminaire de direction, la direction générale décide de revoir pourquoi la mutuelle gère ses risques, en reliant cette gestion à son projet de développement. Question 1 sur 5 : Le responsable de la conformité juge le tableau suffisant, puisque chaque risque identifié y figure ; le RSSI envisage plutôt de relier chaque risque aux moyens de maîtrise de l'annexe A. Il veut savoir si le tableau de suivi couvre ce que recouvre la surveillance des risques. Quelle conclusion devrait-il en tirer ?

   1. Le tableau suffit, chaque risque identifié y figurant avec son niveau et son propriétaire
   2. Le tableau est incomplet, car il ne suit pas les risques résiduels
   3. Le tableau est incomplet, car il ne relie pas chaque risque aux moyens de l'annexe A
   4. Le tableau suffit, une réappréciation annuelle étant prévue

4. Domaine 4 : Autres méthodes d'appréciation des risques

   Un organisme public québécois conduit une évaluation selon la méthodologie harmonisée d'EMR. L'équipe vient d'achever la liste des biens avec leurs valeurs et leur énoncé de sensibilité. Le chef de projet propose de passer directement à l'évaluation des vulnérabilités des serveurs, et la directrice attend des recommandations rapides. Par quelle phase l'équipe devrait-elle poursuivre ?

   1. La phase d'appréciation du risque, qui détermine les vulnérabilités
   2. La phase de recommandations, qui choisit les mesures de protection
   3. La phase de préparation du projet
   4. La phase d'appréciation des menaces, qui en estime la gravité

5. Domaine 1 : Principes et concepts fondamentaux

   La politique du cabinet comptable Ferrand impose de changer de mot de passe tous les 90 jours. Le système n'applique pas cette règle et la plupart des collaborateurs n'ont jamais modifié le leur. En préparant le registre des risques, l'analyste doit qualifier cette situation. Le RSSI y voit une menace, puisque les collaborateurs agissent contre la politique ; l'auditeur interne, un incident de non-respect de la politique. Comment l'analyste devrait-il la classer ?

   1. Comme une vulnérabilité, liée à un moyen de maîtrise non appliqué
   2. Comme une menace, liée au comportement des collaborateurs
   3. Comme un risque, lié à la compromission possible des comptes
   4. Comme un incident, lié au non-respect de la politique interne

6. Domaine 2 : Programme de gestion des risques

   À la coopérative agricole Terres d'Aunis, la politique de gestion des risques a été rédigée et signée par le RSSI, puis publiée sur l'intranet ; le directeur général en a reçu copie pour information, sans l'examiner, et le comité de sécurité propose d'en assurer la revue annuelle. L'auditeur interne demande de régulariser la situation. Que devrait faire le RSSI ?

   1. La faire adopter par la direction générale de la coopérative
   2. La maintenir telle quelle, le RSSI étant compétent pour la signer
   3. La maintenir et la soumettre pour avis au comité de sécurité de la coopérative
   4. La requalifier en charte de sécurité validée par le comité informatique

7. Domaine 3 : Cadre et processus ISO/IEC 27005

   Étude de cas 1 - Armor Prévoyance (5 questions) Armor Prévoyance est une mutuelle santé bretonne de 310 salariés qui protège 120 000 adhérents en Bretagne et en Pays de la Loire ; son siège déménagera à Rennes en 2027. Le service des risques a achevé sa première appréciation des risques liés à la sécurité de l'information et suit désormais leur traitement. Le tableau de suivi indique, pour chaque risque identifié, son niveau, son propriétaire et la mesure décidée ; il n'a pas été mis à jour depuis sa création. Le rapport sur les risques résiduels remis aux propriétaires du risque est rédigé dans un jargon technique ; la directrice des prestations, propriétaire de trois risques, l'a signé sur l'avis du RSSI sans pouvoir, dit-elle, en discuter le contenu, ce que le responsable de la conformité juge normal. Le service des risques transmet ses conclusions aux propriétaires par courriel et considère l'échange clos à l'envoi ; aucun propriétaire n'a d'ailleurs jamais demandé à réagir. Le plan de traitement liste 40 actions dans l'ordre du registre des risques, alors que trois risques dépassent nettement le seuil d'acceptation et que leurs propriétaires attendent une réponse rapide. Enfin, après un séminaire de direction, la direction générale décide de revoir pourquoi la mutuelle gère ses risques, en reliant cette gestion à son projet de développement. Question 2 sur 5 : Comment le service des risques devrait-il traiter le rapport sur les risques résiduels ?

   1. Le reformuler pour que la directrice puisse en juger elle-même
   2. Le conserver et faire signer les propriétaires sur l'avis du RSSI
   3. Le conserver et le soumettre au comité d'audit pour la décision
   4. Le faire approuver par la direction générale, à la place des propriétaires

8. Domaine 4 : Autres méthodes d'appréciation des risques

   L'équipe EBIOS Risk Manager d'un éditeur de logiciels de paie a recensé les valeurs métier et les biens supports, décrit les événements redoutés avec leur gravité et listé les référentiels applicables avec leurs écarts justifiés. Le chef de projet doit indiquer, dans son rapport d'avancement, l'atelier qui vient d'être réalisé. Lequel est-ce ?

   1. L'atelier 2, sources de risque
   2. L'atelier 3, scénarios stratégiques
   3. L'atelier 5, traitement du risque
   4. L'atelier 1, cadrage et socle de sécurité

9. Domaine 1 : Principes et concepts fondamentaux

   La chaîne de supermarchés Primeval prépare son atelier d'identification des risques. Seule l'équipe informatique y participera ; la logistique et les ventes, en pleine période de pointe, recevront les résultats par courriel, le directeur informatique estimant que les métiers ralentiraient l'atelier. Le directeur des risques s'appuie sur les principes d'ISO 31000 pour revoir cette organisation. Que devrait-il recommander ?

   1. Associer la logistique et les ventes à l'atelier lui-même
   2. Garder l'atelier informatique, qui connaît le mieux les menaces techniques
   3. Faire signer les résultats de l'atelier par la logistique et les ventes
   4. Remplacer l'atelier par une revue des incidents des dernières années

10. Domaine 2 : Programme de gestion des risques

    Lors de l'établissement du contexte, l'équipe des risques de l'assureur Mutalis écarte la question du fournisseur unique de services en nuage, situé hors de l'Union européenne, dont dépend toute son activité : le DSI la juge « technique » et propose de la voir lors de l'identification des vulnérabilités, et le responsable des achats rappelle qu'il gère déjà le contrat. Que devrait faire le responsable des risques ?

    1. L'analyser maintenant, comme vulnérabilité du système d'information
    2. L'analyser maintenant, au titre du contexte externe
    3. Inscrire d'emblée un risque élevé au registre des risques
    4. Confier la question au responsable des achats, qui gère le contrat

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.