Évaluations des risques de sécurité
Une évaluation des risques qui ne modifie pas la suite de vos actions n’a pas de raison d’être. J’ai vu trop d’évaluations des risques qui ne sont en réalité qu’un simple formalisme de conformité : un modèle générique rempli une fois par an, noté selon un référentiel, classé, puis oublié jusqu’au prochain cycle d’audit. Une véritable évaluation des risques doit vous indiquer précisément ce qui est le plus susceptible de vous nuire et comment y remédier, dans quel ordre.
Qu’est-ce qui rend une évaluation utile ?
Il faut commencer par comprendre ce que vous avez réellement à protéger et quelle est sa valeur réelle : quels sont les systèmes et les données les plus importants, quelles seraient les réelles conséquences pour l’entreprise si chacun d’entre eux était compromis, et qui ou quoi les menace réellement, compte tenu de votre secteur d’activité, de votre visibilité publique et des incidents passés. Une évaluation des risques fondée sur des listes génériques de menaces sectorielles plutôt que sur votre environnement réel aboutit à des conclusions génériques qui n’aident personne à prendre une décision concrète.
Comment j’en gère un
Je commence par recenser vos actifs et données critiques, puis j’étudie des scénarios de menaces réalistes les concernant — il ne s’agit pas d’un catalogue exhaustif de toutes les attaques théoriques, mais de celles qui correspondent réellement à votre environnement et au profil de vos attaquants. Pour chaque risque significatif, j’évalue conjointement la probabilité et l’impact, en tenant compte des contrôles dont vous disposez déjà et en déterminant en toute honnêteté si ces contrôles sont réellement efficaces ou s’ils sont simplement consignés comme tels. Le résultat n’est pas une carte thermique pour elle-même ; il s’agit d’une liste hiérarchisée des points à corriger en priorité, suffisamment précise pour que quelqu’un puisse réellement agir sans qu’une réunion de suivi soit nécessaire pour comprendre ce que j’ai voulu dire.
En fonction de vos besoins, cela peut s’inscrire dans un référentiel spécifique — NIST, ISO 27001 ou toute autre norme attendue par un client ou une autorité de régulation — ou constituer un exercice autonome visant uniquement à réduire votre risque réel, indépendamment de toute mise en conformité. Je vous indiquerai en toute honnêteté quelle approche correspond le mieux à votre situation, plutôt que d’opter par défaut pour celle qui me semble la plus facile à mettre en œuvre.
À qui s'adresse ce document ?
Les organisations qui n’ont pas procédé à une analyse honnête de leurs risques depuis des années, les entreprises sur le point de prendre une décision majeure — une acquisition, un nouveau produit, un nouveau marché — et qui souhaitent d’abord en comprendre les implications en matière de sécurité, ainsi que toute personne pour qui la dernière évaluation des risques s’est davantage ressemblée à une formalité qu’à une véritable analyse.
Si vous souhaitez obtenir un aperçu honnête de votre situation réelle, contactez-moi.