1. À propos de l'analyse de risque
L'analyse de risque est un processus fondamental de la cybersécurité qui consiste à identifier les événements susceptibles d'affecter un système d'information, puis à évaluer leur probabilité et leurs conséquences.
Une organisation possède de nombreux éléments à protéger : ordinateurs, serveurs, applications, bases de données, comptes utilisateurs, documents, équipements réseau, services en ligne et informations confidentielles. Ces éléments sont généralement appelés des actifs.
Une menace est un événement ou un acteur susceptible de causer un dommage. Il peut s'agir, par exemple, d'un ransomware, d'un attaquant, d'une erreur humaine, d'une panne matérielle, d'un incendie ou d'une interruption électrique.
Une vulnérabilité est une faiblesse susceptible d'être exploitée ou de favoriser la réalisation d'une menace. Un logiciel non mis à jour, un mot de passe faible, une mauvaise configuration ou l'absence de sauvegarde constituent des exemples de vulnérabilités.
Le risque apparaît lorsqu'une menace peut exploiter une vulnérabilité et provoquer des conséquences sur un actif.
Exemple simple
- Actif : serveur contenant une base de données clients ;
- Menace : ransomware ;
- Vulnérabilité : système non mis à jour ;
- Conséquence : indisponibilité ou perte de données ;
- Risque : interruption du service et pertes financières.
L'objectif d'une analyse de risque est donc de répondre à plusieurs questions : que devons-nous protéger ? Contre quoi ? Quelles sont les faiblesses existantes ? Quelle est la probabilité qu'un incident se produise ? Quel serait son impact ? Quelles mesures faut-il mettre en place ?
Principales étapes
- Identifier les actifs.
- Identifier les menaces.
- Identifier les vulnérabilités.
- Évaluer la probabilité.
- Évaluer l'impact.
- Déterminer le niveau de risque.
- Choisir les mesures de traitement.
- Suivre et réévaluer les risques.
2. Identifier les actifs, menaces et vulnérabilités
La première étape d'une analyse de risque consiste à déterminer précisément ce que l'organisation souhaite protéger. Il est difficile d'évaluer correctement un risque sans connaître les actifs concernés et leur importance.
Identifier les actifs
Un actif est une ressource possédant une valeur pour l'organisation. Cette valeur n'est pas nécessairement financière.
- données personnelles ;
- documents confidentiels ;
- bases de données ;
- serveurs ;
- ordinateurs ;
- smartphones professionnels ;
- applications Web ;
- réseaux informatiques ;
- comptes administrateurs ;
- services hébergés dans le cloud ;
- réputation de l'organisation.
Identifier les menaces
Une menace est une cause potentielle d'incident pouvant porter atteinte à un actif. Les menaces peuvent être intentionnelles, accidentelles, techniques ou naturelles.
- phishing ;
- ransomware ;
- vol d'identifiants ;
- attaque informatique ;
- erreur humaine ;
- suppression accidentelle de données ;
- panne matérielle ;
- défaillance d'un fournisseur ;
- coupure électrique ;
- incendie ou dégât des eaux.
Identifier les vulnérabilités
Une vulnérabilité est une faiblesse pouvant faciliter la réalisation d'une menace.
- mot de passe faible ;
- logiciel obsolète ;
- absence d'authentification multifacteur ;
- droits d'accès excessifs ;
- mauvaise configuration d'un serveur ;
- absence de sauvegarde ;
- personnel insuffisamment sensibilisé au phishing ;
- absence de chiffrement des données sensibles.
Exemple d'identification d'un risque
Supposons qu'une entreprise possède un serveur Web accessible depuis Internet. Le serveur héberge une application contenant des informations importantes.
| Élément | Exemple |
|---|---|
| Actif | Serveur Web et base de données |
| Menace | Attaque informatique |
| Vulnérabilité | Application non mise à jour |
| Impact possible | Vol ou modification de données |
| Mesure possible | Mise à jour et correction de la vulnérabilité |
Cette étape permet de construire progressivement un registre des risques regroupant les scénarios qui devront ensuite être évalués.
3. Évaluer la probabilité et l'impact d'un risque
Une fois le risque identifié, il faut déterminer son importance. Une méthode courante consiste à évaluer deux paramètres : la probabilité et l'impact.
Évaluer la probabilité
La probabilité représente la possibilité qu'un événement se produise. Une échelle de 1 à 5 peut par exemple être utilisée.
| Valeur | Probabilité |
|---|---|
| 1 | Très faible |
| 2 | Faible |
| 3 | Moyenne |
| 4 | Élevée |
| 5 | Très élevée |
Évaluer l'impact
L'impact représente la gravité des conséquences si le risque se réalise. Une échelle similaire peut être utilisée.
| Valeur | Impact |
|---|---|
| 1 | Négligeable |
| 2 | Faible |
| 3 | Modéré |
| 4 | Important |
| 5 | Critique |
L'impact ne doit pas être étudié uniquement sous l'angle technique. Une cyberattaque peut avoir des conséquences financières, juridiques, opérationnelles ou réputationnelles.
Exemple d'évaluation
Supposons qu'une organisation identifie un risque de phishing. Les employés reçoivent régulièrement des messages frauduleux et certains comptes donnent accès à des données sensibles.
- Probabilité : 4, car les tentatives de phishing sont fréquentes ;
- Impact : 5, car la compromission d'un compte critique pourrait avoir des conséquences importantes.
Le risque devra donc être considéré comme prioritaire par rapport à un événement ayant une faible probabilité et un faible impact.
4. Calculer et classer les risques
Une méthode pédagogique simple consiste à calculer un score de risque en multipliant la probabilité par l'impact :
1 | Risque = Probabilité × Impact |
Sortie :
1 | Le score obtenu est compris entre 1 et 25. |
Cette formule constitue une méthode simplifiée. Dans une analyse professionnelle, la méthode choisie peut intégrer davantage de critères et doit être définie de manière cohérente pour l'organisation.
Exemple de calcul
Si la probabilité d'un incident est évaluée à 4 et son impact à 5, le score de risque est égal à 20. Le programme Python suivant effectue automatiquement ce calcul.
1 2 3 4 | probabilite = 4 impact = 5 risque = probabilite * impact print("Score de risque :", risque) |
Sortie :
1 | Score de risque : 20 |
Déterminer le niveau du risque
Le score peut ensuite être associé à une catégorie afin de faciliter la priorisation. Les seuils ci-dessous constituent un exemple pédagogique et doivent être adaptés à la méthode de gestion des risques de l'organisation.
| Score | Niveau |
|---|---|
| 1 à 4 | Faible |
| 5 à 9 | Modéré |
| 10 à 16 | Élevé |
| 17 à 25 | Critique |
Le programme suivant calcule le score et détermine automatiquement sa catégorie selon cette grille.
1 2 3 4 5 6 7 8 9 10 11 12 13 | probabilite = 4 impact = 5 score = probabilite * impact if score <= 4: niveau = "Faible" elif score <= 9: niveau = "Modéré" elif score <= 16: niveau = "Élevé" else: niveau = "Critique" print("Score :", score) print("Niveau :", niveau) |
Sortie :
1 2 | Score : 20 Niveau : Critique |
Comparer plusieurs risques
Python peut également être utilisé pour comparer plusieurs risques. L'exemple suivant évalue quatre scénarios et calcule leur score afin d'aider à identifier les priorités.
1 2 3 4 5 6 7 8 9 | risques = [ ("Phishing", 4, 5), ("Panne serveur", 3, 4), ("Vol ordinateur", 2, 4), ("Ransomware", 4, 5) ] for nom, probabilite, impact in risques: score = probabilite * impact print(nom, ":", score) |
Sortie :
1 2 3 4 | Phishing : 20 Panne serveur : 12 Vol ordinateur : 8 Ransomware : 20 |
Dans cet exemple simplifié, le phishing et le ransomware obtiennent les scores les plus élevés. Ils devraient donc faire l'objet d'une attention prioritaire, tout en tenant compte du contexte réel de l'organisation.
5. Traiter et suivre les risques
Identifier un risque ne suffit pas. L'organisation doit décider de la manière dont elle souhaite le traiter. Plusieurs stratégies sont possibles selon le contexte, le coût des mesures de sécurité et le niveau de risque acceptable.
Réduire le risque
La réduction consiste à mettre en place des mesures permettant de diminuer la probabilité ou l'impact du risque.
Exemples :
- installer les mises à jour de sécurité ;
- activer l'authentification multifacteur ;
- effectuer des sauvegardes régulières ;
- segmenter le réseau ;
- former les utilisateurs contre le phishing ;
- chiffrer les données sensibles ;
- appliquer le principe du moindre privilège.
Éviter le risque
L'évitement consiste à supprimer l'activité ou la situation à l'origine du risque. Une organisation peut, par exemple, décider de ne plus utiliser une application ancienne qui ne peut plus être sécurisée correctement.
Transférer ou partager le risque
Le transfert consiste à transférer ou partager certaines conséquences financières ou opérationnelles avec un tiers, par exemple au moyen d'un contrat ou d'une assurance adaptée. Cela ne supprime cependant pas nécessairement le risque technique lui-même.
Accepter le risque
L'acceptation signifie que l'organisation décide de conserver le risque lorsqu'il est compatible avec son niveau de tolérance, notamment lorsque le coût d'une mesure supplémentaire serait disproportionné par rapport aux conséquences attendues.
Risque brut et risque résiduel
Le risque brut ou risque inhérent correspond au niveau de risque avant la prise en compte de certaines mesures de sécurité. Le risque résiduel correspond au risque qui subsiste après la mise en place des contrôles.
Supposons qu'un risque possède initialement une probabilité de 4 et un impact de 5. Son score initial est donc de 20. Après l'activation de l'authentification multifacteur et une campagne de sensibilisation, la probabilité est réévaluée à 2 tandis que l'impact reste à 5. Le programme suivant compare les deux situations.
1 2 3 4 | risque_initial = 4 * 5 risque_residuel = 2 * 5 print("Risque initial :", risque_initial) print("Risque résiduel :", risque_residuel) |
Sortie :
1 2 | Risque initial : 20 Risque résiduel : 10 |
L'analyse de risque est donc un processus continu. Les risques doivent être réévalués lorsque l'environnement évolue : nouvelle application, nouvelle menace, découverte d'une vulnérabilité, modification de l'infrastructure ou apparition de nouvelles obligations.
Le registre des risques
Les résultats peuvent être consignés dans un registre des risques contenant notamment l'actif concerné, la menace, la vulnérabilité, la probabilité, l'impact, le niveau de risque, les mesures prévues, le responsable et l'état du traitement.
6. À retenir
L'analyse de risque est un processus permettant d'identifier, d'évaluer, de hiérarchiser et de traiter les risques susceptibles d'affecter les systèmes d'information d'une organisation.
Elle commence par l'identification des actifs, des menaces et des vulnérabilités. La probabilité de réalisation d'un événement et son impact potentiel sont ensuite évalués afin de déterminer le niveau de risque.
Une méthode pédagogique simple consiste à utiliser la relation Risque = Probabilité × Impact. Cette approche permet de construire une matrice de risques et de comparer différents scénarios, mais les organisations peuvent utiliser des méthodes d'évaluation plus élaborées.
Une fois le risque évalué, plusieurs stratégies sont possibles : le réduire, l'éviter, le transférer ou l'accepter. Les mesures mises en place réduisent généralement le risque sans nécessairement le supprimer complètement. Le risque restant est appelé risque résiduel.
Enfin, une analyse de risque ne doit pas être considérée comme une opération effectuée une seule fois. Les technologies, les vulnérabilités, les menaces et les activités de l'organisation évoluent continuellement. Une réévaluation régulière est donc indispensable.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
