ISO 27001 : mythe vs réalité – Mythe 2 : l’évaluation des risques n’est qu’un point d’audit formel
Dans de nombreuses entreprises, l’idée que l’évaluation des risques selon la norme ISO 27001 est avant tout un élément formel de la certification est tenace. Certaines organisations considèrent l’analyse des risques comme une tâche obligatoire unique qui doit être accomplie avant l’audit pour obtenir la certification. Une fois le certificat obtenu, le sujet perd souvent de son intérêt dans la pratique. Or, ce mythe entraîne d’importantes erreurs d’interprétation de la norme et peut nuire à l’efficacité de l’ensemble du système de gestion de la sécurité de l’information.
