Chapitre 8 — Concepts du Risque & Évaluation

La gestion du risque est le domaine le plus lourd de l'examen (28% pour les opérations). Ce module couvre l'analyse des risques, les indicateurs clés, et la gestion des vulnérabilités.

Analyse des Risques

Mémorisez ! Risque Inhérent = avant les contrôles. Risque Résiduel = après les contrôles. Appétit au risque = niveau de risque acceptable. Risk Tolerance = variation acceptable autour de l'appétit. Risk Capacity = risque maximum absorbable sans faillite.

Analyse Qualitative vs Quantitative

Approche	Méthode	Output	Avantage
Qualitative	Matrices de risque (Haut/Moyen/Faible), scores subjectifs	Priorité (Critique/Haut/Moyen/Faible)	Rapide, ne nécessite pas de données financières précises
Quantitative	AV, EF, SLE, ARO, ALE (calculs monétaires)	Valeurs en euros	Permet le ROI des contrôles, communication avec la direction

Termes clés du risque

Risque inhérent : risque brut avant application de contrôles.
Risque résiduel : risque restant après application des contrôles.
Appétit au risque : niveau de risque qu'une organisation est prête à accepter pour atteindre ses objectifs.
Tolérance au risque : variation acceptable autour de l'appétit.
Exposition au risque : niveau auquel l'organisation est exposée à un risque spécifique.
Risque de transfert : transférer le risque financier à un tiers (assurance).
Risque tierce partie : risque introduit par les fournisseurs, prestataires, et partenaires (supply chain).

Gestion des Vulnérabilités

Identification : inventaire des actifs, scan de vulnérabilités, audit de configuration.
Priorisation : CVSS (Common Vulnerability Scoring System) — score de 0 à 10. Contexte de l'organisation (exposé sur internet = priorité plus haute).
CVSS Scores : 0 = None, 0.1-3.9 = Low, 4.0-6.9 = Medium, 7.0-8.9 = High, 9.0-10.0 = Critical.
CVSS Métriques : Base (vecteur, complexité, privilèges requis, impact), Temporal (exploitabilité actuelle, patches disponibles), Environnemental (importance de l'actif pour l'organisation).
CVE (Common Vulnerabilities and Exposures) : identifiant unique pour chaque vulnérabilité connue. Format : CVE-ANNÉE-NUMÉRO (ex: CVE-2021-44228 = Log4Shell).
Patch Management : processus de test et déploiement des correctifs. Emergency patches vs scheduled patches.

Astuce Examen

CVSS score élevé ≠ toujours priorité absolue. Un CVSS 9.8 sur un système interne non exposé peut être moins urgent qu'un CVSS 7.5 sur un serveur web public. Le contexte organisationnel (exposition, criticité) doit être pris en compte pour la priorisation.

Gestion des Tierces Parties

SLA (Service Level Agreement) : accord de niveau de service — définit les performances et disponibilités attendues d'un fournisseur.
MOU (Memorandum of Understanding) : accord de coopération non contraignant entre deux organisations.
MOA (Memorandum of Agreement) : accord plus formel que MOU, avec engagements définis.
NDA (Non-Disclosure Agreement) : accord de confidentialité — protège les informations partagées avec les tiers.
MSA (Master Service Agreement) : accord-cadre définissant les termes généraux d'une relation fournisseur.
ISA (Interconnection Security Agreement) : accord définissant les exigences de sécurité pour les interconnexions de systèmes entre organisations.
BPA (Business Partnership Agreement) : accord de partenariat commercial avec clauses de sécurité.
Questionnaire de sécurité fournisseur : évaluation des pratiques de sécurité des tiers.

Quiz — Risque & Évaluation

1. Le "risque résiduel" est défini comme :

Le risque transféré à une compagnie d'assurance Le risque avant l'application de tout contrôle de sécurité Le risque restant après l'application de tous les contrôles de sécurité Le risque acceptable selon l'appétit au risque

Risque résiduel = risque inhérent − réduction apportée par les contrôles. Il est pratiquement impossible d'éliminer 100% du risque — il en reste toujours un résiduel. La direction doit accepter formellement le risque résiduel restant.

2. Une organisation identifie une vulnérabilité avec un score CVSS de 9.2 sur un serveur de test interne sans données sensibles. Une autre vulnérabilité a un score CVSS de 7.1 sur le site web public de paiement. Laquelle doit être patchée en priorité ?

La CVSS 9.2 car le score est plus élevé La CVSS 7.1 sur le site de paiement car elle est publiquement exposée et traite des données sensibles Les deux simultanément Aucune — les systèmes de test sont prioritaires car ils pourraient affecter la production

CVSS brut ≠ priorité absolue. Le contexte (exposition internet, criticité des données, exploitabilité réelle) doit être pris en compte. Un CVSS 7.1 sur un système public de paiement est plus urgent qu'un CVSS 9.2 sur un serveur de test isolé.

3. Un CVE est :

Un score de sévérité des vulnérabilités de 0 à 10 Un framework de gestion du risque Un type d'attaque cryptographique Un identifiant unique standardisé pour chaque vulnérabilité de sécurité connue

CVE (Common Vulnerabilities and Exposures) = identifiant unique pour chaque vulnérabilité. Ex: CVE-2021-44228 = Log4Shell, CVE-2017-0144 = EternalBlue/WannaCry. CVSS = score de sévérité. NVD (National Vulnerability Database) = base de données NIST des CVEs.

4. Un accord SLA (Service Level Agreement) avec un fournisseur cloud définit principalement :

Les niveaux de service garantis (disponibilité, temps de réponse) et les pénalités en cas de non-respect Les conditions de confidentialité pour les données partagées Les procédures de réponse aux incidents du fournisseur Les exigences de sécurité pour les connexions inter-systèmes

SLA = engagement contractuel sur les niveaux de service. Pour le cloud : uptime garanti (ex: 99.99% = 52min/an de downtime max), temps de réponse support, RTO/RPO en cas d'incident, pénalités financières si les engagements ne sont pas tenus.

5. Un NDA (Non-Disclosure Agreement) est principalement utilisé pour :

Définir les niveaux de service d'un fournisseur Établir un partenariat commercial entre deux entreprises Protéger les informations confidentielles partagées avec des tiers Définir les procédures de réponse aux incidents

NDA (accord de confidentialité) = engagement légal de ne pas divulguer les informations confidentielles d'une autre partie. Signé avant de partager des données sensibles avec des fournisseurs, prestataires, partenaires ou candidats à un recrutement.

6. L'analyse de risque qualitative diffère de l'analyse quantitative en ce qu'elle :

Utilise des formules mathématiques précises (ALE, SLE) Classe les risques en catégories (Haut/Moyen/Faible) plutôt qu'en valeurs monétaires Est plus précise et donc toujours préférable Ne peut pas identifier les risques prioritaires

Qualitative = subjectif, rapide, catégories (Critique/Haut/Moyen/Faible). Quantitative = objectif, valeurs monétaires (ALE en €), nécessite des données précises. La quantitative est plus précise mais plus longue. La qualitative suffit souvent pour prioriser les risques rapidement.

7. Un ISA (Interconnection Security Agreement) est utilisé quand :

Une organisation veut assurer ses risques cyber Deux organisations signent un partenariat commercial Un prestataire s'engage à respecter les délais de livraison Deux organisations interconnectent leurs systèmes et doivent définir les exigences de sécurité mutuelles pour cette connexion

ISA = document technique qui définit les contrôles de sécurité requis pour une connexion réseau entre deux organisations. Spécifie : protocoles autorisés, chiffrement requis, mécanismes d'authentification, journalisation, responsabilités en cas d'incident.

8. Le "risque tierce partie" (Third-Party Risk) représente : Les risques de sécurité introduits par les fournisseurs, prestataires et partenaires qui ont accès aux systèmes ou données de l'organisation Les risques liés aux utilisateurs tiers invités sur le réseau Wi-Fi Les risques juridiques de tiers qui poursuivent l'organisation Les risques des applications tierces gratuites utilisées en interne

Third-Party Risk = risque supply chain. La compromission de SolarWinds (2020) a illustré ce risque : les attaquants ont compromis un fournisseur de logiciels de monitoring pour accéder à des milliers d'organisations clientes. Contre-mesure : évaluation des fournisseurs, contrats avec clauses sécurité, audits.

9. Qu'est-ce que l'"appétit au risque" (Risk Appetite) d'une organisation ? Le coût total des incidents de sécurité de l'année La capacité maximale de pertes qu'une organisation peut absorber Le niveau de risque qu'une organisation est prête à accepter pour atteindre ses objectifs stratégiques Le budget annuel alloué à la cybersécurité

Risk Appetite = décision stratégique de la direction sur le niveau de risque acceptable. Une startup tech peut avoir un appétit élevé (innover rapidement, accepter plus de risques). Un hôpital aura un appétit très faible (vies en jeu). Guide les décisions d'investissement en sécurité.

10. Un CVSS score de 9.8 correspond à une sévérité : High Critical Medium Maximum possible

Echelle CVSS : 0 = None, 0.1-3.9 = Low, 4.0-6.9 = Medium, 7.0-8.9 = High, 9.0-10.0 = Critical. 9.8 = Critical. Le score maximum est 10.0 (ex: accès réseau, sans privilèges, sans interaction utilisateur, impact total sur CIA). Log4Shell (CVE-2021-44228) avait un score de 10.0.