Gestion des risques

Définition

La gestion des risques évalue les menaces qui pèsent sur les actifs de l'entreprise et décide quoi faire. Elle combine la valeur de l'actif, la probabilité qu'un incident arrive et l'impact s'il arrive. Le résultat guide les investissements de sécurité.

Évaluer un risque

Le risque se calcule comme la combinaison de trois facteurs : la valeur de l'actif, la probabilité de l'incident et l'impact. Un serveur de paiement a une valeur élevée. Une faille exploitée sur Internet a une probabilité élevée. La perte des données clients a un impact élevé.

Le classement des risques produit une liste : le risque le plus grave en tête. Une analyse qualitative utilise des niveaux (faible, moyen, élevé). Une analyse quantitative chiffre en euros : coût horaire d'interruption, valeur des données perdues.

Les quatre stratégies

Mitigation. Réduire la probabilité ou l'impact : appliquer des correctifs, cloisonner le réseau, sauvegarder. C'est la stratégie la plus courante.

Transfert. Déplacer le risque vers un tiers : assurance cyber, contrat avec un hébergeur qui assume les conséquences d'une panne.

Acceptation. Reconnaître le risque et décider de vivre avec, en le documentant. Un poste de démonstration isolé peut garder un risque faible accepté, avec une révision périodique.

Évitement. Supprimer l'activité risquée : arrêter un service non maîtrisé, refuser une connexion avec un partenaire non audité.

Une même organisation utilise les quatre stratégies en même temps, selon le risque et le coût des options.

L'analyse d'impact

L'analyse d'impact (BIA, business impact analysis) identifie les activités critiques et le coût de leur interruption. Elle alimente à la fois la gestion des risques et les plans de reprise. Un service qui coûte 10 000 euros par heure d'arrêt justifie des mesures plus coûteuses qu'un service à 100 euros par heure.

Exemple concret

Une PME évalue le risque de rançongiciel. L'actif principal est le serveur de fichiers, avec 200 000 euros de données clients. La probabilité est élevée, l'impact est élevé. L'entreprise choisit la mitigation : sauvegardes 3-2-1, correctifs, filtrage des pièces jointes. Elle ajoute un transfert : une assurance cyber couvre la perte d'exploitation. Le poste de démonstration isolé garde un risque accepté, documenté dans le registre.