Article 19. Gestion de la sécurité fondée sur les risques et analyse et gestion des risques

Article 19. Gestion de la sécurité fondée sur les risques et analyse et gestion des risques

1. L'analyse et la gestion des risques constituent une partie essentielle du processus de sécurité et doivent être une activité continue et mise à jour en permanence.

2. La gestion des risques permet de maintenir un environnement contrôlé et de réduire les risques à des niveaux acceptables. La réduction à ces niveaux doit être réalisée au moyen d'une application appropriée de mesures de sécurité, de manière équilibrée et proportionnée à la nature des informations traitées, des services à fournir et des risques auxquels ils sont exposés.

3. Tous les systèmes concernés par la présente politique de sécurité et tous les traitements de données personnelles doivent faire l'objet d'une analyse des risques, en évaluant les menaces et les risques auxquels ils sont exposés. Cette analyse doit être réalisée :

a) Régulièrement, au moins une fois par an.

b) Lorsque les services fournis ou les informations traitées changent de manière significative.

c) Lorsque survient un incident grave de sécurité ou que des vulnérabilités graves sont détectées.

4. Le délégué à la sécurité de l'information est chargé de faire réaliser l'analyse des risques, ainsi que d'identifier les lacunes et les faiblesses et de les porter à la connaissance du Comité de sécurité de l'information.

5. Cette gestion est effectuée au moyen de l'analyse et du traitement des risques auxquels le système est exposé. Une méthodologie reconnue internationalement doit être employée. Les mesures adoptées pour atténuer ou supprimer les risques doivent être justifiées et, en tout état de cause, il doit exister une proportionnalité entre les mesures et les risques.