Gestion des Risques

Pourquoi C'est Important

Les ressources de sécurité sont finies, les menaces non. La gestion des risques traduit menaces et vulnérabilités en décisions métier : où investir, quoi accepter, quoi remonter au management. Sans elle, les équipes courent après l'alerte la plus bruyante au lieu du risque le plus conséquent.

Les conseils attendent désormais un reporting cyber en termes de risque, aligné sur les obligations de conformité (SEC, NIS2, DORA). Les assureurs exigent des programmes structurés. Les régulateurs jugent la maturité par la rigueur du processus, pas par le nombre de contrôles installés.

Le Cycle de Gestion des Risques

1. Identifier

Catalogue les risques via inventaires d'actifs, modélisation des menaces (EBIOS RM), évaluations de vulnérabilités, pentests, threat intelligence, audits, incidents et revues de processus. Tient un registre central.

2. Évaluer

Estime probabilité et impact :

3. Prioriser

Classe les risques face aux seuils de tolérance. Une heat map croise probabilité et impact ; le quadrant haut-droit traite en premier. FAIR priorise par perte annualisée attendue.

4. Traiter

Eviter     - Cesser totalement l'activite
Attenuer   - Controles pour reduire probabilite ou impact
Transferer - Assurance, indemnisation contractuelle, externalisation
Accepter   - Documenter l'approbation et accepter le residuel

Chaque risque traité a propriétaire, plan, échéance et budget.

5. Surveiller

Les risques évoluent avec les menaces, vulnérabilités, contrôles et le contexte. Revues planifiées, après incidents et changements majeurs.

6. Communiquer

Adapter le message : détail technique pour les ingénieurs, impact financier pour les exécutifs, exposition réglementaire pour le juridique, implications stratégiques pour le conseil.

Cadres Majeurs

• NIST RMF (SP 800-37) : cycle fédéral
• NIST CSF 2.0 : fonctions de haut niveau
• ISO 31000 : norme internationale
• ISO 27005 : risque sécurité de l'information
• EBIOS Risk Manager : méthode ANSSI
• FAIR : analyse quantitative

Quantitatif vs Qualitatif

Construire un Programme

1. Définir l'appétit avec la direction.
2. Adopter un cadre (NIST RMF, ISO 31000 ou EBIOS RM).
3. Gouvernance avec comité de risque et escalades.
4. Registre vivant intégré aux vulnérabilités et incidents.
5. Évaluations régulières, au moins annuelles.
6. Quantifier les risques majeurs avec FAIR.
7. Valider les contrôles par pentest et red team.
8. Reporter dans des tableaux de bord alignés au métier.

Pièges Courants

• Conformité-case à cocher au lieu d'aide à la décision
• Notations subjectives sans définitions
• Registres figés
• Confusion probabilité/fréquence sans base statistique
• Ignorer le risque tiers et supply chain
• Pas de propriétaire ni de suivi

Concepts Connexes

• Conformité
• Évaluation des Vulnérabilités
• Modélisation de Menaces
• Cadre de Sécurité