Méthode
Comment réaliser une analyse de risques en cybersécurité ?
Du cadrage du périmètre à la décision de traitement : une méthode pragmatique pour produire une analyse de risques utile, défendable en audit et réellement exploitée.
Cadrer le périmètre avant toute chose
Une analyse de risques ne s'applique jamais à « l'entreprise » en général. Elle porte sur un périmètre défini : un service, une application métier, un processus, un site. Ce cadrage conditionne tout le reste, car il détermine quels actifs seront étudiés et quels acteurs devront être interrogés.
Le cadrage inclut aussi les objectifs et les contraintes. Cherche-t-on à préparer une certification, à répondre à une exigence client, à préparer un déploiement d'outil d'intelligence artificielle ? De quelles ressources dispose-t-on, et à quelle échéance ? Une analyse conduite pour un audit dans trois mois ne se mène pas comme une analyse fondatrice destinée à durer trois ans.
Il est enfin utile d'écrire dès cette étape les critères d'acceptation du risque, c'est-à-dire le niveau au-delà duquel un risque devra obligatoirement être traité. Définir cette règle avant de coter évite les arbitrages de complaisance en fin d'exercice.
Identifier les actifs et les dépendances
L'inventaire commence par les actifs primaires : les informations et les processus métier dont dépend l'activité. Données personnelles, données de santé, contrats, dossiers usagers, propriété intellectuelle, chaîne de facturation. Pour chacun, on note ce qui compte réellement : la confidentialité, l'intégrité, la disponibilité, ou les trois à des degrés différents.
Viennent ensuite les actifs supports : applications, serveurs, postes de travail, hébergeurs, prestataires infogérance, mais aussi les personnes clés. Cette seconde liste révèle presque toujours des dépendances oubliées, notamment des services en ligne souscrits directement par des équipes métier sans passage par l'informatique.
L'exercice gagne beaucoup à être mené en atelier avec les responsables métier plutôt qu'en chambre. Ce sont eux qui savent ce qui bloquerait l'activité en cas d'indisponibilité, et leur participation crée l'adhésion nécessaire à la suite du projet.
Décrire des scénarios de menace crédibles
Un scénario utile raconte une histoire complète : une source de risque, un chemin d'attaque ou de défaillance, un événement redouté et ses conséquences concrètes. « Un rançongiciel chiffre le serveur de fichiers après compromission d'un compte à distance non protégé par authentification multifacteur, l'activité s'arrête cinq jours » est un scénario exploitable. « Risque de virus » ne l'est pas.
Il faut couvrir plusieurs familles : l'attaque externe opportuniste, l'attaque ciblée, l'erreur humaine, la malveillance interne, la défaillance d'un prestataire, la perte de disponibilité d'un service en nuage, et désormais les usages non maîtrisés d'outils d'intelligence artificielle. Une dizaine à une quinzaine de scénarios suffisent généralement à couvrir l'essentiel d'un périmètre bien délimité.
Les incidents réellement survenus dans l'organisation, ou chez des structures comparables, constituent la meilleure source d'inspiration. Ils ancrent l'analyse dans le réel et facilitent l'acceptation des mesures qui en découlent.
Coter, décider et tracer
La cotation croise une vraisemblance et une gravité, sur une échelle simple à quatre niveaux, définie par écrit pour que deux personnes différentes cotent de la même façon. La précision apparente d'une échelle à dix niveaux est illusoire et ralentit les ateliers.
Pour chaque risque, quatre décisions sont possibles : réduire par des mesures, transférer notamment par l'assurance ou le contrat, éviter en renonçant à l'usage concerné, ou accepter formellement. L'acceptation est une décision légitime, à condition d'être prise au bon niveau hiérarchique et d'être datée. C'est précisément ce qu'un auditeur vérifie.
Chaque risque traité doit porter une mesure, un responsable, une échéance et un risque résiduel estimé. Sans ces quatre informations, le plan de traitement reste une liste de bonnes intentions.
Le livrable et sa vie après l'atelier
Le livrable minimal se compose d'une note de cadrage, d'un inventaire des actifs, d'un tableau des scénarios cotés, d'un plan de traitement et d'un relevé de décisions signé par la direction. L'ensemble tient rarement en plus d'une trentaine de pages et doit rester lisible par un non-spécialiste.
Une analyse de risques n'a de valeur que si elle vit. Une revue annuelle, complétée par une mise à jour à chaque changement significatif, nouveau prestataire, nouvelle application, nouvel usage d'intelligence artificielle, incident majeur, suffit à la maintenir pertinente.
C'est ce document qui sert ensuite de socle commun au RGPD, à NIS2 et à ISO 27001. Le construire correctement une fois évite de recommencer trois fois le même travail sous trois formats différents.
Une question sur votre situation ?
Évaluez votre niveau de conformité en quelques minutes ou échangez directement avec nous.