QCM Jour 2: Gestion des risques et conformité (ISO 27005)

Quel est l’objectif principal de la norme ISO/IEC 27005:2022 ?

• Décrire les mesures de sauvegarde réseau

• Établir une méthode de gestion des risques SSI

• Lister les contrôles techniques à appliquer

• Mesurer la performance financière du SI

Answer explanation

L'objectif principal de la norme ISO/IEC 27005:2022 est d'établir une méthode de gestion des risques en matière de sécurité de l'information (SSI), ce qui en fait la réponse correcte.

Quelle est la première étape de la démarche ISO 27005 ?

• Traitement du risque

• Suivi et réévaluation

• Établissement du contexte

• Évaluation du risque

Answer explanation

La première étape de la démarche ISO 27005 est l'établissement du contexte, qui permet de définir les objectifs, les enjeux et les limites du processus de gestion des risques avant de procéder aux autres étapes.

Dans la méthode ISO 27005, le niveau de risque est déterminé en combinant :

• Gravité × coût de la mesure

• Impact × vraisemblance

• Nombre d’incidents × durée d’arrêt

• Disponibilité × intégrité

Answer explanation

Dans la méthode ISO 27005, le niveau de risque est calculé en multipliant l'impact d'un événement par sa vraisemblance d'occurrence. Cela permet d'évaluer le risque de manière précise, contrairement aux autres options proposées.

Quelle action correspond à la réduction du risque ?

• Transférer la responsabilité à un prestataire

• Supprimer la cause du risque

• Mettre en place un contrôle ou une mesure de sécurité

• Accepter le risque sans rien faire

Answer explanation

Mettre en place un contrôle ou une mesure de sécurité permet de réduire le risque en atténuant ses effets ou en empêchant sa réalisation, contrairement aux autres options qui ne réduisent pas activement le risque.

La PSSI (Politique de Sécurité des Systèmes d’Information) repose sur les résultats de :

• L’audit financier

• L’analyse de risques ISO 27005

• La cartographie réseau

• L’étude de conformité ISO 9001

Answer explanation

La PSSI s'appuie sur l'analyse de risques ISO 27005, qui permet d'identifier et d'évaluer les menaces et vulnérabilités des systèmes d'information, contrairement aux autres options qui ne sont pas directement liées à la sécurité des systèmes.

Quel élément n’est pas une composante d’un risque SSI selon ISO 27005 ?

• La menace

• L’actif

• Le pare-feu

• La vulnérabilité

Answer explanation

Le pare-feu n'est pas une composante d'un risque SSI selon ISO 27005. Les composantes incluent la menace, l'actif et la vulnérabilité, tandis que le pare-feu est un outil de sécurité, pas un élément de risque.

Lorsqu’un risque est trop coûteux à réduire mais que son impact est acceptable, on choisit de :

• Le transférer

• L’accepter

• Le supprimer

• Le reporter

Answer explanation

Lorsqu'un risque est trop coûteux à réduire mais que son impact est acceptable, il est logique de l'accepter. Cela signifie que l'on choisit de vivre avec le risque plutôt que de dépenser des ressources pour le réduire.

Quel document centralise tous les risques identifiés, leur gravité et les actions prévues ?

• Registre des vulnérabilités

• Tableau de bord SSI

• Registre des risques

• Plan de continuité d’activité

Answer explanation

Le registre des risques centralise tous les risques identifiés, leur gravité et les actions prévues pour les gérer, ce qui en fait le document clé pour la gestion des risques.

Parmi les choix suivants, lequel est un exemple de traitement du risque ?

• Faire une sauvegarde déportée et testée

• Ignorer les alertes de sécurité

• Désactiver les antivirus pour accélérer le réseau

• Supprimer tous les comptes utilisateurs

Answer explanation

Faire une sauvegarde déportée et testée est un exemple de traitement du risque car cela permet de protéger les données contre la perte. Les autres options, comme ignorer les alertes ou désactiver les antivirus, augmentent le risque.

Quelle est la valeur ajoutée de la gestion des risques SSI pour la CANAM Mali ?

• Diminuer les coûts du personnel

• Identifier les menaces et prioriser les actions de sécurité

• Augmenter le stockage de données

• Simplifier la communication interne

Answer explanation

La gestion des risques SSI permet d'identifier les menaces potentielles et de prioriser les actions de sécurité, ce qui est essentiel pour protéger les actifs de la CANAM Mali et garantir la continuité des opérations.