Aller au contenu

Analyse et gestion des risques cyber

Cartographie des risques, analyse des scénarios de menace, évaluation des impacts et élaboration des plans de traitement.

Une analyse de risques sert à décider : où porter l'effort, quelles mesures financer en premier, quels risques accepter en connaissance de cause. Elle n'a de valeur que si elle part de vos activités et de ce qui compterait réellement en cas d'incident.

Nous la conduisons avec les responsables métier, et pas seulement avec l'informatique, afin que les scénarios étudiés et les niveaux d'impact retenus soient ceux de l'entreprise.

Les situations auxquelles nous répondons

  • Vous devez justifier vos priorités de sécurité auprès de la direction ou d'un auditeur.
  • Une norme ou un règlement vous impose une analyse de risques.
  • Votre analyse existante est un tableur que personne ne met à jour.
  • Vous lancez un projet sensible et voulez intégrer la sécurité dès la conception.

Les étapes de l'analyse

  1. Cadrer

    Périmètre, échelles de gravité et de vraisemblance, critères d'acceptation du risque.

  2. Cartographier

    Activités essentielles, informations, systèmes et prestataires dont elles dépendent.

  3. Construire les scénarios

    Sources de menace, événements redoutés et chemins d'attaque plausibles dans votre contexte.

  4. Évaluer

    Impacts métier, vraisemblance et niveau de risque, avec les responsables concernés.

  5. Traiter

    Plan d'action, risques résiduels et validation par la direction.

Livrables possibles

Les livrables sont arrêtés avec vous avant le démarrage, en fonction de votre besoin et de ce qui existe déjà.

  • Cartographie des activités et des actifs essentiels
  • Registre des risques
  • Matrice des risques avant et après traitement
  • Plan de traitement priorisé
  • Synthèse de décision pour la direction

Méthodes et formats

Nous utilisons ISO/IEC 27005 ou EBIOS Risk Manager selon vos obligations, et une approche allégée lorsque le contexte s'y prête. Pour un premier diagnostic, la formule R³ propose une mesure de maturité, une identification des risques et un plan d'action dans un format court.

Questions fréquentes

À quelle fréquence faut-il revoir une analyse de risques ?

Au moins une fois par an, et à chaque changement significatif : nouveau système, nouvelle activité, incident, évolution réglementaire. Une analyse tenue à jour demande peu d'effort ; une analyse abandonnée doit être refaite.

Un outil peut-il réaliser l'analyse à notre place ?

Un outil aide à structurer et à tenir à jour l'analyse. Il ne remplace pas la connaissance de vos activités ni les arbitrages de la direction, qui en font la valeur.