Une seule évaluation des risques pour ISO 27001, SOC 2 et HIPAA
ISO 27001, SOC 2 et HIPAA partent tous d'une évaluation des risques. Une seule suffit, si elle est conçue pour répondre aux trois auditeurs.
Cet article couvre les 11 référentiels que ControlMapping avait mis en correspondance au moment de sa rédaction. Depuis, DORA, CPS 234, Cyber Essentials ont été ajoutés le 2026-10-27 ; leurs pages et la matrice de couverture les intègrent.
L'évaluation des risques est le point de départ de trois des référentiels les plus courants. ISO 27001 repose entièrement sur elle (clause 6.1.2). SOC 2 y consacre une section de ses critères communs (CC3.1 à CC3.4). La HIPAA Security Rule en fait la première spécification de mise en œuvre obligatoire, l'analyse des risques (§164.308(a)(1)(ii)(A)), et c'est le premier document que demandent les enquêteurs du HHS. Beaucoup d'organisations en réalisent trois. Une seule suffit.
Ce que vérifie chaque référentiel
- ISO 27001 exige une méthode définie et reproductible, avec des critères d'acceptation ; des risques identifiés pour la confidentialité, l'intégrité et la disponibilité ; des propriétaires ; une analyse de la vraisemblance et des conséquences ; et un lien avec le traitement des risques et la Déclaration d'applicabilité.
- SOC 2 exige des objectifs suffisamment précis pour identifier les risques (CC3.1), des risques identifiés et analysés à l'échelle de l'entité (CC3.2), la prise en compte du risque de fraude (CC3.3) et l'évaluation des changements (CC3.4).
- HIPAA exige une évaluation exacte et complète des risques et des vulnérabilités pesant sur les ePHI, où qu'ils soient créés, reçus, conservés ou transmis, tenue à jour et suivie d'une gestion des risques (§164.308(a)(1)(ii)(B)).
Dans nos données, ces exigences sont directement liées :
| Référentiel | Évaluation des risques | Lien |
|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | Définition du sujet |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | Correspondance |
| CIS v8.1 | — | Aucune correspondance dans nos données |
| SOC 2 | CC3.2CC3.4CC3.3 | Éditorial |
| PCI DSS | 12.3.1 | Correspondance |
| CMMC | RA.L2-3.11.1 | Correspondance |
| 800-53 | RA-3RA-7 | Correspondance |
| HIPAA | §164.308(a)(1)(ii)(A) | Correspondance |
| GDPR | Art.35(1)Art.35(7) | Éditorial |
| NIS2 | 2.1 | Correspondance |
| Essential Eight | — | Aucune correspondance dans nos données |
Détail complet et raison de chaque lien : Évaluation des risques dans les référentiels →
Concevoir une évaluation unique pour les trois
- Définir un périmètre qui couvre tout : le périmètre du SMSI, le système SOC 2 et chaque lieu où se trouvent des ePHI. Consigner quels actifs relèvent de quel référentiel.
- Utiliser une seule méthode : fondée sur les actifs ou sur les scénarios, avec une échelle de vraisemblance et d'impact, des critères d'acceptation et des propriétaires. Les exigences de l'ISO concernant une méthode documentée et reproductible sont les plus strictes : il faut donc les respecter.
- Ajouter les questions propres à chaque référentiel : risque de fraude (SOC 2 CC3.3), menaces et vulnérabilités spécifiques aux ePHI (HIPAA), ainsi que risques juridiques et contractuels.
- Relier chaque risque à son traitement : mesures retenues, risque résiduel, acceptation par le propriétaire. Ce tableau unique alimente la Déclaration d'applicabilité ISO, les activités de contrôle SOC 2 et la gestion des risques HIPAA.
Livrables qui satisfont les trois auditeurs
- La méthode, approuvée.
- Un registre des risques avec propriétaires, scores et décisions de traitement.
- Un plan de traitement des risques assorti de dates.
- L'acceptation du risque résiduel par les propriétaires.
- Des preuves de revue au moins annuelle et après tout changement significatif.
Un format simple de registre des risques
Une ligne par risque convient aux trois référentiels :
| Champ | Exemple |
|---|---|
| Risque | Le rançongiciel chiffre la base de données de production |
| Actifs | Base de production, sauvegardes, entrepôt d'ePHI |
| Référentiels | ISO 27001, SOC 2, HIPAA |
| Vraisemblance et impact | Possible, grave |
| Mesures existantes | MFA, EDR, sauvegardes nocturnes |
| Traitement | Isoler les sauvegardes ; tester les restaurations chaque trimestre |
| Propriétaire | Responsable de l'infrastructure |
| Risque résiduel et acceptation | Moyen, accepté par le directeur technique |
| Date de revue | Trimestre suivant |
La colonne des référentiels fait toute la différence : elle permet à un seul registre de répondre à trois auditeurs sans trois tableurs.
Points clés
- Une méthode et un registre uniques peuvent satisfaire ISO 27001, SOC 2 et HIPAA.
- Ajouter les questions propres à chaque référentiel : risque de fraude et lieux des ePHI.
- Revoir au moins annuellement et après tout changement significatif.
Constats fréquents
- Risques génériques (« pirates », « fuite de données ») sans lien avec des actifs ou mesures précis.
- Absence de propriétaires, ou équipe sécurité propriétaire de tous les risques.
- Lieux des ePHI oubliés : exports, sauvegardes, messagerie, systèmes de test.
- Obsolescence : évaluation réalisée une fois pour le premier audit, jamais reprise.
Pour en savoir plus sur les liens entre ces référentiels, consultez la comparaison ISO 27001 vs HIPAA et le sujet Évaluation des risques. L'analyse d'écarts présente toutes les correspondances entre deux référentiels quelconques.
Questions
L'analyse des risques HIPAA est-elle la même chose qu'une évaluation des risques ISO 27001 ?
Les deux se recoupent largement. HIPAA exige une évaluation exacte et complète des risques pesant sur la confidentialité, l'intégrité et la disponibilité des ePHI ; une évaluation des risques ISO 27001 qui inclut les ePHI dans son périmètre et consigne les éléments propres à HIPAA peut servir aux deux.
À quelle fréquence une évaluation des risques doit-elle être réalisée ?
ISO 27001 exige des évaluations des risques à intervalles planifiés et après tout changement significatif. Les auditeurs SOC 2 attendent généralement une évaluation au moins annuelle. HIPAA exige que l'analyse des risques soit maintenue à jour.
L'évaluation des risques doit-elle être qualitative ou quantitative ?
Les deux conviennent aux trois référentiels, à condition que la méthode soit définie, appliquée de façon cohérente et produise des résultats comparables. La plupart des organisations commencent par une approche qualitative et ajoutent des chiffres là où les décisions en ont besoin.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-13Exigences MFA comparées dans 11 référentiels de sécuritéQuels référentiels imposent le MFA, à qui et avec quelle rigueur : PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 et HIPAA, comparés côte à côte.
Analyse · 2026-09-29Règle de sécurité HIPAA sous l'angle du NIST CSF 2.0Un programme NIST CSF 2.0 correspond à presque chaque exigence de la Règle de sécurité HIPAA. Ce qui se transpose, les deux exigences qui ne correspondent pas, et ce que le CSF apporte en plus de HIPAA.