Critères de base pour l'analyse des risques

En quelques mots

Lors de la définition du contexte dans lequel s’effectuera la gestion des risques, il s’agira d’établir des critères de base, qui serviront aussi bien à analyser les risques de l’organisme, que de proposer les solutions de traitements.

Les menaces

Un des moyens pour définir les critères de base au niveau des menaces est de définir une échelle de probabilités qui dépendra du contexte dont voici un exemple :

Critères de base des menaces:

Niveau Commentaire Périodicité
1 Très improbable : jamais arrivé, nécessité d'un haut niveau d'expertise, ou très coûteux à mettre en oeuvre. > 30 ans
2 Improbable : Peut déjà être survenu, phénomène rare ou nécessitée d'un bon niveau d'expertise ou coûteux à mettre en oeuvre. > 10 ans
3 Peut arriver de temps à autre > 5 ans
4 Très probable facile à mettre en œuvre, pas d'investissement ou d'expertise particulière au moins tous les ans

Les vulnérabilités

En définissant les critères de base des vulnérabilités, on détermine l’aisance d’exploitation des vulnérabilités par des menaces.

Critères de base des vulnérabilités:

Niveau Commentaire
0 Faible vulnérabilité, des mesures efficaces sont en place
1 Vulnérabilité moyenne, des mesures sont en places mais peuvent être insuffisantes
2 Vulnérabilité élevée, pas de mesure de protection efficace en place, ou elles sont mal adaptées

Les impacts

Quant aux critères de base qui définissent les impacts, on se sert des différents niveaux d’impact. Ces critères peuvent aussi être déterminés selon l’objectif de sécurité, c’est à dire par rapport à la confidentialité, à l’intégrité ou encore par rapport à la disponibilité des actifs d’un organisme. Voir aussi les critères de classification des actifs avec des échelles différentes. C’est à l’organisme de choisir son approche dans l’analyse des risques. Plus la maturité de l’organisme sera grande, plus les échelles utilisées pourront être détaillées.

Critères de base pour impacts:

Niveau Libellé Pertes financières (k€) juridique Perte sur l'image social, vie privée Commentaire
1 Impact insignifiant < 1 Sanctions internes à l’organisation Plaintes occasionnelles Divulgation de données personnelles peu sensibles Engage quelques frais dérisoires, ou ne sera pas remarqué extérieurement
2 Impact mineur 1 - 10 Actions en justice Critiques occasionnelles dans les médias Atteinte passagère à la réputation Engage des frais notoires, visible d'un point de vue externe
3 Impact sérieux 10 - 100 Condamnation de l’Autorité Critiques graves dans les médias Atteinte sérieuse à l’intégrité ou à la réputation Des frais conséquents sont à engager pour relever la situation
4 Impact vital > 100 Condamnation internationale de l’Autorité Altération définitive Perte de vie humaine / Atteinte grave à la réputation Perturbation majeure pour le citoyen, mais il n'y a pas péril à la survie de l'organisme

Le risque

Les critères de base du risque :

   Menace + Vulnérabilité
    1 2 3 4 5 6
I
M
P
A
C
T
S 		1 1 2 3 4 5 6
2 2 4 6 8 10 12
3 3 6 9 12 15 18
4 4 8 12 16 20 24

Ici nous définissons le risque important comme celui dont la valeur est entre 6 et 11 (zone orange). Ce sont des risques qui devraient être adressés.

Les risques critiques dont la valeur est supérieure à 12 (zone rouge), doivent être adressés. S’il s’avère qu’une organisation présente des niveaux d’acceptation de risques différents concernant la confidentialité, l’intégrité ou la disponibilité, elle peut définir pour objectif de sécurité un tableau spécifique et déterminer des seuils différents.