Analyse et cartographie des risques

Une analyse de risques complete suit quatre etapes : 1) Inventaire des actifs (quoi proteger : donnees, systemes, processus), 2) Identification des menaces (qui peut attaquer, par quel moyen), 3) Evaluation des vulnerabilites (quelles failles exploitables), 4) Calcul du risque (probabilite x impact). Pour une PME, une approche simplifiee avec un tableur suffit. Des methodologies standardisees comme EBIOS RM (Anssi) ou le NIST Risk Management Framework offrent des cadres plus structures pour les organisations qui doivent se conformer a des referentiels.

Un registre des risques minimum contient : l'identifiant du risque, sa description, les actifs concernes, la probabilite (1-5), l'impact (1-5), le score de risque (P x I), le proprietaire du risque (qui est responsable de sa mitigation), les controles existants, le risque residuel apres controles, et la decision de traitement (mitiguer, transferer, accepter, eviter). Ce registre doit etre revise au moins deux fois par an et a chaque changement majeur d'infrastructure.

Une fois les risques identifies et scores, le plan d'action priorise les controles par ratio risque reduit / cout. Les 'quick wins' (controles peu couteux qui reduisent fortement le risque) doivent etre deployes en premier. Par exemple : activer le MFA sur les comptes privilegies (cout faible, impact fort) avant d'investir dans un SIEM (cout eleve, impact modere sans equipe pour le surveiller).

Votre progression est sauvegardée localement dans votre navigateur.