Identification des risques et registre des risques

Le Risk est la possibilité de subir une perte ou un préjudice lorsqu’une menace exploite une vulnérabilité. En sécurité de l’information, le Risk s’exprime comme la combinaison de la probabilité (la vraisemblance de l’événement) et de l’impact (la gravité des dommages). Comprendre le Risk permet aux organisations de prendre des décisions de sécurité éclairées et rentables, plutôt que d’essayer d’éliminer toutes les menaces possibles.

L’identification du Risk commence par trois éléments fondamentaux. Un actif est tout ce qui a de la valeur : serveurs, bases de données, propriété intellectuelle ou réputation. Une menace est tout événement potentiel susceptible de nuire à un actif, comme une attaque par rançongiciel ou un employé mécontent. Une vulnérabilité est une faiblesse qu’une menace peut exploiter, comme un système auquel les correctifs font défaut ou une politique de mots de passe faible. Le Risk existe lorsque des menaces rencontrent des actifs non protégés.

L’identification systématique du Risk suit un processus structuré : d’abord, l’inventaire des actifs recense tout ce qui a de la valeur ; ensuite, la modélisation des menaces identifie qui pourrait attaquer et comment ; puis l’évaluation des vulnérabilités recherche les faiblesses des systèmes et des processus. Enfin, les analystes associent les menaces aux vulnérabilités afin de déterminer quels actifs sont réellement exposés. Ce processus est généralement répété chaque année ou après des changements importants.

L’attribution d’une valeur aux actifs permet de définir les priorités. Les actifs corporels (matériel, licences logicielles) ont une valeur marchande claire. Les actifs incorporels (réputation de la marque, données clients) nécessitent une appréciation ; les autorités de réglementation peuvent attribuer une valeur par enregistrement aux PII. La méthode du coût de remplacement consiste à déterminer combien coûterait la recréation de l’actif ; l’impact métier évalue la perte de revenus si l’actif est indisponible pendant 1 heure, 1 jour ou 1 semaine.

Un registre des risques est un document évolutif qui consigne tous les risques identifiés dans un format structuré et interrogeable. Chaque entrée comprend généralement : la description du risque, les actifs concernés, la source de la menace, la vulnérabilité exploitée, l’évaluation de la probabilité, l’évaluation de l’impact, le score de risque, les contrôles actuels et le responsable du risque désigné. Les registres des risques servent de référence centrale pour les activités de gouvernance, d’audit et de suivi de la remédiation.

La colonne de probabilité évalue la vraisemblance de l’exploitation (1 = rare à 5 = presque certaine). La colonne d’impact évalue les conséquences en termes de pertes financières, de sanctions réglementaires ou d’interruption opérationnelle (1 = négligeable à 5 = catastrophique). La multiplication de ces valeurs produit un score de risque utilisé pour établir les priorités. Le champ du risque résiduel consigne le risque restant après l’application des contrôles, afin que rien ne soit supposé atteindre zéro.

Chaque Risk du registre doit avoir un responsable du risque nommé, généralement un responsable métier ou un propriétaire de système, et non l’équipe de sécurité. Le responsable du risque doit veiller à la mise en œuvre des contrôles et au maintien du risque résiduel dans des limites acceptables. L’équipe de sécurité conseille et surveille, mais ne peut pas être responsable de tous les risques, car cela créerait une responsabilité centralisée impossible à étendre à toute l’entreprise.

Plusieurs cadres permettent de structurer l’identification des menaces. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) catégorise les menaces visant chaque composant du système. PASTA (Process for Attack Simulation and Threat Analysis) est une méthodologie axée sur le Risk qui cartographie les objectifs de l’attaquant. DREAD évalue les menaces selon les critères Damage, Reproducibility, Exploitability, Affected users et Discoverability, bien que DREAD soit moins courant dans les pratiques modernes.

Les risques ne peuvent pas être identifiés sans rechercher d’abord les vulnérabilités. Les principales sources comprennent : les scanners de vulnérabilités (Nessus, OpenVAS), qui testent les systèmes par rapport aux CVE connues ; les rapports de tests d’intrusion, qui valident la possibilité d’exploitation ; les audits de configuration, qui comparent les paramètres aux référentiels CIS ; et les flux de veille sur les menaces, qui mettent en évidence les faiblesses activement exploitées. Les rapports d’audit interne et les autoévaluations révèlent également des vulnérabilités au niveau des processus que les analyses techniques ne détectent pas.

Les registres des risques doivent prendre en compte à la fois les menaces internes (employés, sous-traitants, systèmes mal configurés) et les menaces externes (pirates, acteurs étatiques, compromissions de la chaîne d’approvisionnement). Les menaces internes ont souvent un impact plus élevé, car les personnes internes disposent déjà d’un accès : un employé mécontent peut exfiltrer des données sans déclencher les contrôles périmétriques. Les programmes de lutte contre les menaces internes, qui surveillent les anomalies comportementales, traitent une catégorie de risques que les seuls contrôles techniques ne peuvent pas atténuer.

Un registre des risques n'est pas un livrable ponctuel : il doit être examiné et mis à jour chaque fois que des changements importants surviennent : nouveaux déploiements de systèmes, réorganisation de l'entreprise, nouveaux CVE divulgués ou conclusions tirées après un incident. La plupart des entreprises associent les examens formels du registre des risques aux examens annuels de la sécurité, aux processus de gestion des changements et aux audits de conformité. Des registres des risques obsolètes donnent une fausse impression de confiance et peuvent entraîner une exposition non prise en charge lors de changements rapides de l'infrastructure.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : le risque combine la probabilité et l'impact pour hiérarchiser les décisions de sécurité, que les registres des risques documentent les actifs, les menaces, les vulnérabilités, les scores, les responsables et le risque résiduel, et que les techniques de modélisation des menaces comme STRIDE aident à identifier systématiquement ce qui pourrait mal tourner. Nous allons maintenant examiner les méthodes d'analyse des risques qualitatives et quantitatives.