Menu
Giuseppe SansonneLa cybersécurité est un enjeu majeur pour toute organisation de nos jours. Elle nécessite de bien gérer les risques cyber pesant sur les systèmes d’information, qui constituent des actifs stratégiques. L’évaluation systématique des risques est le premier pilier d’un dispositif de sécurité robuste.
Mais comment évaluer un risque qui, par définition, n’est pas encore une réalité ? Qu’est-ce qu’un risque dans le monde de l’IT ? Et surtout, comment nous procédons chez REDSEN pour identifier, quantifier, évaluer l’impact potentiel, ou encore proposer un plan d’action ?
Malgré toute la palettes de méthodes que les spécialistes REDSEN utilisent chez nos clients, la logique de déroulement demeure toujours la même et nous vous livrons notre façon de procéder.
Le risque peut être défini de la manière suivante :
Risque cyber = Actif x Vulnérabilité x Menace
Non, ce n’est pas toujours chiffrable et non ce n’est pas une théorie mathématique abstraite !
Bien que le risque soit représenté par une formule mathématique, il s’agit en réalité d’un concept logique et qualitatif.
Prenons l’exemple d’une menace de piratage informatique visant un système spécifique. Si votre réseau présente de nombreuses failles de sécurité (absence de pare-feu, solution antivirus obsolète, etc.), ce qui constitue une vulnérabilité élevée, et que l’actif visé est critique, il faut considérer votre niveau de risque comme important.
À l’inverse, avec une protection périmétrique solide et une faible vulnérabilité, le risque pour un actif majeur est modéré.
Ainsi, la formule permet avant tout de qualifier et de comparer différents risques de manière pragmatique, en fonction du contexte technique et organisationnel.
Au-delà du concept, voici comment évaluer vos risques cyber IT étape par étape.
Étape 1 : Identifier et classer les actifs critiques
Cette première étape consiste à dresser l’inventaire exhaustif de tous les biens numériques importants pour l’entreprise. Il est nécessaire de mener une réflexion approfondie avec les utilisateurs finaux et la direction pour cerner avec précision quels sont les actifs dont la perte ou l’indisponibilité aurait un impact significatif. Il peut s’agir de bases de données clients, de secrets industriels, de logiciels métiers, d’infrastructures techniques etc.
Chaque actif doit ensuite être caractérisé selon divers critères (valeur financière et patrimoniale, importance opérationnelle, exigences légales et réglementaires…). Cela permettra de leur attribuer un niveau de criticité élevé, moyen ou faible. Cette classification est cruciale, elle guide l’évaluation en focalisant les efforts sur les biens les plus stratégiques.
Étape 2 : Répertorier les menaces
Avant tout, il convient d’identifier de manière exhaustive l’ensemble des dangers potentiels pouvant compromettre la sécurité des actifs précédemment identifiés. Outre les risques classiques liés à la cybercriminalité (malwares, attaques par déni de service, phishing…), il faut prendre en compte d’autres aléas tels que les catastrophes naturelles, les défaillances matérielles, les erreurs humaines involontaires, ou encore les agissements malveillants en interne.
L’objectif est de dresser une cartographie la plus complète possible des scénarios susceptibles d’affecter la confidentialité, l’intégrité ou la disponibilité des systèmes d’information.
Étape 3 : Répertorier les vulnérabilités
Il convient ensuite de passer au crible l’ensemble de l’infrastructure numérique pour recenser les faiblesses offrant des portes d’entrées aux menaces préalablement listées. Des analyses techniques approfondies (tests d’intrusion, audits de sécurité…) sont nécessaires pour identifier les failles logicielles, matérielles et organisationnelles.
Ce travail minutieux met en lumière les maillons faibles à renforcer en priorité pour réduire l’exposition aux risques cyber. Les vulnérabilités peuvent concerner des problèmes aussi variés que des mots de passe faibles, des données non chiffrées, des équipements obsolètes, des procédures de sauvegarde insuffisantes ou encore un niveau de protection physique inadéquat.
Étape 4 : Évaluer les dispositifs de sécurité
Il s’agit d’analyser les mesures de contrôle actuellement mises en œuvre pour contrer les menaces au sein du système d’information. Il est nécessaire de porter une attention particulière à l’efficacité réelle des solutions déployées au regard des failles préalablement identifiées.
Cette revue concerne tant les dispositifs techniques (pare-feu, antivirus, authentification forte…) que les mesures organisationnelles (charte sécurité, plans de continuité, gestion des accès…). Elle vise à objectiver le niveau de protection fourni et à cibler les éventuels correctifs nécessaires.
Étape 5 : Évaluer la probabilité d’incident
Sur la base des vulnérabilités recensées et du niveau d’efficacité des contrôles existants, il convient d’estimer le risque de concrétisation de chaque menace. Des grilles qualitatives (faible, moyen, élevé) permettent d’apprécier la vraisemblance qu’une faille donnée soit effectivement exploitée de manière intentionnelle ou accidentelle.
Cette analyse probabiliste doit être affinée en fonction du contexte sensibles (données médicales vs administratives), de l’environnement sectoriel (banque vs BTP), mais également de facteurs contingents tels que l’évolution des techniques criminelles.
Étape 6 : Mesurer l’impact potentiel
En plus de la probabilité, il est essentiel de quantifier l’impact potentiel qu’aurait la concrétisation d’une menace sur l’activité. C’est pourquoi, sont pris en compte des critères aussi variés que les conséquences financières et juridiques, les répercussions sur la réputation, la continuité d’activité, la satisfaction clients ou encore la productivité.
D’autre part, une échelle qualitative simple (faible, moyen, élevé) permet d’établir le niveau de criticité associé aux enjeux opérationnels, stratégiques et patrimoniaux de l’organisation.
Étape 7 : Cartographier les risques cyber
En croisant la probabilité d’incident avec le niveau d’impact potentiel pour chaque couple menace/vulnérabilité, il faut évaluer les risques. Des matrices de risques présentent de façon synthétique et visuelle les résultats de cette analyse multicritère.
Cette cartographie permet de hiérarchiser clairement les dangers en fonction de leur niveau de criticité (élevé, moyen, faible). Les risques les plus importants requièrent des plans d’actions correctives immédiats.
Étape 8 : Formuler des recommandations
En se basant sur la cartographie précédente, il faut émettre des préconisations circonstanciées pour renforcer efficacement la maîtrise des risques les plus critiques.
Il peut s’agir de mesures organisationnelles (charte sécurité, plans de formation), techniques (renouvellement d’équipements, déploiement de solutions de protection) ou encore contractuelles (accord de niveau de service, assurance cyber).
C’est pourquoi, l’optimisation des budgets et des ressources est au cœur de ces propositions qui doivent cibler en priorité les vulnérabilités les plus exploitables.
Étape 9 : Documenter le processus
Un rapport formalise l’ensemble du processus et des résultats obtenus. Destiné à la direction et aux décideurs, il vise à orienter la politique de sécurité sur le moyen/long terme en fonction du risque résiduel. Pour maintenir un niveau de protection adapté à un environnement numérique en constante évolution, sa mise à jour périodique est essentielle.
L’évaluation structurée et continue des risques est le gage d’une sécurité des systèmes d’information robuste et réactive face aux menaces. En effet, elle permet d’allouer de façon optimale les moyens de protection aux enjeux les plus critiques pour l’organisation.
Longtemps sous-estimée, notamment dans les petites et moyennes entreprises, la cybersécurité défraye régulièrement la chronique.
En effet, la seule question qui se pose ensuite est de savoir combien coûtera un incident de sécurité en matière financière, mais aussi en matière d’image pour l’entreprise et ses clients.
Finalement, il y a une façon de l’évaluer et les équipes de REDSEN peuvent vous y aider !
Retrouvez nos autres articles sur la transformation digitale :
Dialogue compétitif : quelle stratégie d’achat adopter pour le réaliser ? – Redsen
Accessibilité site Web : comment respecter le RGAA 4.1 – Redsen
