Identification et évaluation des risques
Construire une méthode d'appréciation du risque : actifs, menaces, vraisemblance, impact et matrice de criticité.
À retenir
- L'appréciation du risque combine actifs, menaces/vulnérabilités et scénarios concrets.
- La matrice vraisemblance × impact permet de hiérarchiser les risques de façon lisible.
- L'impact ne se limite pas au coût financier : conformité, image et contrats comptent aussi.
- La direction valide les critères d'acceptation du risque, elle seule engage l'organisation.
Pourquoi une méthode plutôt qu'une intuition
Apprécier un risque de sécurité de l'information ne consiste pas à lister « ce qui pourrait mal tourner » de mémoire. L'ISO/IEC 27005 propose un cadre de référence pour structurer cette démarche, sans imposer une méthode figée : chaque organisation peut s'appuyer sur EBIOS Risk Manager (ANSSI), sur une grille maison, ou sur les principes plus généraux du management du risque décrits par l'ISO 31000. L'essentiel est que la méthode soit documentée, répétable et comprise par les mêmes personnes d'une revue à l'autre.
Les trois briques de l'appréciation
- Les actifs : ce qui a de la valeur pour l'organisation — données clients, code source, contrats, mais aussi des actifs supports comme un serveur, un lien réseau ou une compétence rare.
- Les menaces et vulnérabilités : un événement redouté (panne, intrusion, erreur humaine, catastrophe naturelle) qui exploite une faiblesse (absence de sauvegarde testée, mot de passe partagé, climatisation non redondée).
- Le scénario de risque : la combinaison actif + menace + vulnérabilité, formulée de façon concrète, par exemple « perte de disponibilité de la messagerie suite à une attaque par rançongiciel exploitant un poste administrateur non patché ».
Point clé
un scénario de risque bien écrit se lit comme une phrase compréhensible par un dirigeant non technique — s'il faut un glossaire pour le comprendre, il est probablement mal formulé.
La matrice vraisemblance / impact
La vraisemblance (probabilité que le scénario se produise) et l'impact (conséquences si il se produit) sont notés séparément, en général sur une échelle de 1 à 4 ou 1 à 5, puis croisés dans une matrice.
| Vraisemblance \ Impact | Faible | Modéré | Élevé | Critique |
|---|---|---|---|---|
| Rare | Faible | Faible | Modéré | Modéré |
| Possible | Faible | Modéré | Élevé | Élevé |
| Probable | Modéré | Élevé | Élevé | Critique |
| Quasi certaine | Modéré | Élevé | Critique | Critique |
Exemple rempli pour un data center : « Coupure électrique prolongée sans bascule groupe électrogène » — vraisemblance possible, impact critique (arrêt total de service) → niveau de risque Élevé, à traiter en priorité.
Attention
une erreur fréquente est de fixer l'impact uniquement en euros. Il faut aussi considérer l'impact sur la conformité réglementaire, l'image et la continuité contractuelle (pénalités SLA), qui pèsent souvent plus lourd que le coût technique immédiat.
Qui évalue, et avec quelles données
L'évaluation ne doit pas être menée seul dans un bureau : elle croise les retours des équipes opérationnelles (exploitation, sécurité), des données d'incidents passés et, si disponible, des statistiques sectorielles. La direction valide ensuite les critères d'acceptation du risque, car eux seuls engagent l'organisation sur ce qu'elle juge tolérable.
Sur le terrain
sur un site d'hébergement, les ateliers d'appréciation du risque réunissent souvent le RSSI, le responsable exploitation et un représentant de la direction technique, pour éviter qu'un risque « invisible » du bureau (ex. vieillissement d'un onduleur) ne soit oublié.
Astuce
conservez un registre des risques unique et daté, avec une colonne « dernière revue », plutôt que des fichiers Excel dispersés par service — c'est le premier document qu'un auditeur demande.