Gestion des risques cyber Mis à jour : Juin 2026

Un risque cyber n'est pas simplement "une attaque possible". C'est une combinaison précise de trois éléments :

• Menace : l'acteur ou l'événement qui pourrait causer un dommage (groupe ransomware, employé malveillant, erreur humaine, panne matérielle).
• Vulnérabilité : la faiblesse qui permettrait à la menace de se matérialiser (VPN sans MFA, logiciel non mis à jour, employé non formé).
• Impact : les conséquences si l'événement se produit (interruption d'activité, perte de données, amende réglementaire, atteinte à la réputation).

Risque = Menace × Vulnérabilité × Impact

Cette formule a une conséquence pratique importante : on peut réduire un risque en agissant sur n'importe lequel des trois éléments. Réduire la vulnérabilité (MFA) est souvent plus facile que d'éliminer la menace (les attaquants existent) ou de supprimer l'impact (les données clients existent).

On ne peut pas protéger ce qu'on ne connaît pas. L'inventaire des actifs est la première étape — et souvent la plus négligée — de toute démarche de gestion des risques.

4 catégories d'actifs à inventorier :

• Données : données clients, données financières, propriété intellectuelle, secrets d'affaires, données RH. C'est souvent l'actif le plus précieux et le plus ciblé.
• Systèmes et applications : ERP, CRM, messagerie, système de paie, outils de production, infrastructure cloud.
• Processus : facturation, production, logistique, communication clients — les processus qui s'arrêtent coûtent de l'argent.
• Personnes : employés avec accès privilégiés, prestataires avec accès aux systèmes, compétences clés difficiles à remplacer.

Chaque actif doit avoir un propriétaire désigné — la personne responsable de sa protection et de signaler les changements. Sans propriétaire, l'actif sera négligé.

EBIOS Risk Manager (Expression des Besoins et Identification des Objectifs de Sécurité) est la méthode officielle de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Elle est compatible ISO 27001 et particulièrement adaptée aux organisations qui veulent raisonner en termes de scénarios d'attaque réalistes plutôt qu'en listes de vulnérabilités abstraites.

Pour une PME : une analyse EBIOS complète prend 2 à 5 jours de travail, souvent répartis sur 6-8 semaines. Un vCISO ou consultant peut faciliter les ateliers. L'objectif n'est pas la perfection mais d'identifier les 5-10 risques prioritaires sur lesquels agir.

La matrice de risques est l'outil le plus simple pour visualiser et prioriser. On évalue chaque risque sur deux axes : probabilité (1=rare à 4=presque certain) et impact (1=négligeable à 4=catastrophique). Le produit donne un score de 1 à 16.

Ces scores sont indicatifs — votre matrice doit être calibrée sur votre secteur et votre historique. Un transporteur aura un score ransomware plus élevé qu'un cabinet comptable, et vice versa pour la fraude BEC.

Face à chaque risque identifié, vous avez exactement 4 options. Il n'existe pas d'autre choix. Le travail du CISO est de choisir la bonne combinaison et de la documenter formellement.

Règle importante : l'option "Accepter" n'est pas une décision par défaut ou par négligence — c'est une décision formelle, documentée, signée par le propriétaire du risque et validée par la direction. Un risque "accepté" non documenté est un risque non géré.

Le registre des risques est le document central de votre gestion des risques. C'est un tableau vivant — pas un rapport annuel. Il doit être mis à jour trimestriellement et présenté au comité de sécurité.

La clé est de distinguer le risque brut (sans contrôles) du risque résiduel (avec contrôles). Cette distinction montre la valeur réelle de vos investissements sécurité — et les risques qui restent à traiter.

Vous ne pouvez pas traiter tous les risques en même temps. Le plan de traitement doit être réaliste, priorisé et séquencé selon les ressources disponibles.

Critères de priorisation en 3 dimensions :

• Score de risque résiduel : les risques rouges (12-16) sont traités en premier, quelle que soit la complexité.
• Rapport coût/efficacité : préférer les mesures qui réduisent plusieurs risques simultanément (ex : MFA réduit ransomware, BEC et vol de compte).
• Quick wins : identifier les mesures à fort impact et faible coût qui peuvent être déployées en moins de 30 jours — elles améliorent immédiatement la posture et montrent de la valeur à la direction.

L'assurance cyber est l'outil "Transférer" par excellence. Mais toutes les polices ne se valent pas, et les exclusions peuvent vous laisser sans couverture précisément quand vous en avez besoin.

Comment réduire votre prime : les assureurs évaluent votre niveau de risque lors de la souscription. Montrez que vous avez : MFA déployé, sauvegardes testées, PSSI à jour, formation annuelle des employés, EDR sur tous les postes. Ces éléments peuvent réduire la prime de 20 à 40%.

Le registre des risques ne doit pas être lu intégralement en réunion. Il doit être préparé et filtré pour que le comité puisse décider, pas s'informer pendant 2 heures.

Format de présentation au comité (20 minutes) :

1. Vue d'ensemble (3 min) : combien de risques rouges, orange, verts. Tendance vs trimestre précédent. Le nombre de risques rouges doit diminuer.
2. Risques traités ce trimestre (5 min) : pour chaque risque clôturé, quel était le score brut, quel est le risque résiduel, quelle mesure a été déployée.
3. Risques prioritaires en cours (7 min) : les 3-5 risques rouges ou orange les plus critiques, état d'avancement du plan de traitement, blocages éventuels.
4. Décisions requises (5 min) : nouveaux risques nécessitant un arbitrage budgétaire ou une décision formelle d'acceptation de la direction.

Contexte : LogiService Inc. — 90 employés, services logistiques, 60% en télétravail via VPN, données clients (adresses, historique de livraison), ERP hébergé on-premise.

Ce type d'analyse transforme une décision technique en décision financière claire pour la direction : "Investir 11 000 $ pour éviter une perte attendue de 144 000 $." C'est le langage qui débloque les budgets.