L'analyse de risques : les notions
Bien, menace, vulnérabilité, événement redouté, vraisemblance et gravité, matrice de risques, les quatre traitements, risque résiduel et cycle de la norme ISO 27005 : poser les bons mots sur un risque et décider quoi en faire.
- 24 cartes
- 5 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Mises en situation
- Comprendre
Quelques cartes du deck
Menace : de quoi s'agit-il ?
Voir la réponse
Cause potentielle d'un incident, qu'elle soit humaine ou naturelle, malveillante ou accidentelle, et qui peut nuire à un bien.
Une menace est extérieure au bien : un concurrent, un incendie, une erreur d'un administrateur. Elle ne nuit que si elle trouve une vulnérabilité à exploiter.
Un site de vente en ligne tourne sur un serveur dont la bibliothèque de paiement n'est pas à jour. Un groupe criminel scanne Internet à la recherche de cette faille. Quelle est la vulnérabilité ?
- La bibliothèque de paiement non mise à jour
- Le groupe criminel qui scanne Internet
- Les données de cartes bancaires des clients
- Le vol des données de cartes bancaires, avec ses conséquences
Voir la réponse
La bibliothèque de paiement non mise à jour
La faiblesse du serveur est la vulnérabilité. Le groupe est la menace, les données sont le bien à protéger, et le vol est l'événement redouté dont l'impact se chiffre.
Un risque se situe au croisement de sa … et de sa … sur la matrice de risques.
Voir la réponse
Un risque se situe au croisement de sa vraisemblance et de sa gravité sur la matrice de risques.
Les deux axes sont gradués en quelques niveaux (souvent quatre). Plus le point est haut et à droite, plus le risque est prioritaire à traiter.
Vulnérabilité : de quoi s'agit-il ?
Voir la réponse
Faiblesse d'un bien, d'un processus ou d'une mesure de protection qu'une menace peut exploiter.
Elle se corrige : un logiciel non mis à jour, un mot de passe partagé, une sauvegarde jamais testée. C'est, avec l'impact, l'élément du risque sur lequel on agit le plus directement.
Les disques des portables sont désormais chiffrés. Les vols de portables continuent au même rythme. Dans l'analyse du risque de fuite des données, qu'est-ce qui a baissé, et que faire du risque restant ?
- La gravité d'une fuite ; le risque résiduel disparaît puisque les données sont chiffrées
- La vraisemblance du vol ; le responsable sécurité signe seul l'acceptation du reste
- La menace, puisque les voleurs sont moins nombreux ; on cesse alors de suivre ce risque
- La vraisemblance de la fuite ; le risque résiduel est soumis à la direction pour acceptation
Voir la réponse
La vraisemblance de la fuite ; le risque résiduel est soumis à la direction pour acceptation
Le chiffrement agit sur la vulnérabilité : le vol arrive toujours, mais exploiter les données devient improbable, donc la vraisemblance de la fuite baisse ; si une fuite survenait, elle serait aussi grave. Lu sur le risque « vol de portable », le même effet se dit : sa gravité a baissé. Il reste un risque résiduel (clé mal protégée, mot de passe faible) que la direction accepte ou traite davantage, et que l'on continue de suivre.