Traitement des risques : accepter, transférer, atténuer, éviter

Après avoir identifié et analysé les risques, les entreprises doivent décider de la manière d'y répondre. Le traitement des risques est le processus qui consiste à sélectionner et à mettre en œuvre une réponse à chaque risque en fonction de sa probabilité, de son impact et du coût de sa correction. Il existe quatre options de traitement universellement reconnues : accepter, transférer, atténuer et éviter. Aucune option n'est toujours correcte : le bon choix dépend du contexte de l'entreprise, de son appétence au risque et des ressources disponibles.

L'atténuation des risques réduit la probabilité ou l'impact d'un risque par la mise en œuvre de contrôles de sécurité. Il s'agit de l'option de traitement la plus courante. Exemples : déployer un pare-feu pour réduire la probabilité d'une intrusion réseau, corriger les logiciels pour combler les vulnérabilités connues ou mettre en œuvre MFA pour réduire l'impact du vol d'identifiants. L'atténuation n'élimine pas entièrement le risque : elle produit un risque résiduel, qui doit être réévalué après l'application des contrôles.

Le transfert des risques déplace les conséquences financières d'un risque vers un tiers. L'assurance cyber en est l'exemple le plus courant : l'entreprise paie une prime et l'assureur couvre les pertes résultant des incidents couverts. Le risque peut également être transféré par contrat : les accords de niveau de service (SLA) conclus avec des fournisseurs infonuagiques peuvent attribuer au fournisseur la responsabilité des violations de données, et les clauses d'indemnisation des contrats peuvent transférer la responsabilité à des partenaires commerciaux. Il est important de noter que le transfert n'élimine pas le risque lui-même, mais uniquement la charge financière.

L'acceptation des risques signifie tolérer sciemment un risque sans mettre en œuvre de contrôles supplémentaires, parce que le coût de l'atténuation dépasse la perte attendue ou parce que le risque se situe sous le seuil de risque de l'entreprise. L'acceptation doit être une décision documentée et délibérée, prise par une autorité compétente (généralement un responsable du risque ou un cadre dirigeant). Une acceptation implicite et non documentée — ignorer un risque parce que personne n'a pris le temps de le corriger — ne constitue pas une acceptation formelle et entraîne des constatations d'audit.

L'évitement des risques élimine entièrement le risque en ne s'engageant pas dans l'activité qui le crée. Par exemple, une entreprise peut décider de ne pas stocker directement les données de cartes de paiement, évitant ainsi entièrement le périmètre PCI-DSS en confiant tout le traitement des cartes à un service de tokenisation tiers. L'évitement convient lorsque le risque est inacceptablement élevé et qu'aucune option d'atténuation ou de transfert rentable n'existe, mais il peut également signifier renoncer à une occasion commerciale.

La sélection d'une option de traitement consiste à comparer l'exposition au risque aux coûts de la réponse. Si ALE est de 50 000 $ et que l'atténuation coûte 10 000 $ par an, l'atténuation est clairement rentable. Si ALE est de 5 000 $ et que l'atténuation coûte 30 000 $ par an, l'acceptation ou le transfert peut être plus pertinent. Les entreprises prennent également en compte l'appétence au risque — le niveau de risque que la direction est disposée à tolérer — ainsi que la tolérance au risque, c'est-à-dire l'écart acceptable par rapport à l'appétence au risque pour des catégories de risques données.

L'appétence au risque est le niveau général et stratégique de risque qu'une entreprise est disposée à accepter pour atteindre ses objectifs, souvent défini par le conseil d'administration. La tolérance au risque est la variation acceptable autour de catégories de risques précises. Une entreprise peut avoir une faible appétence globale au risque, mais une tolérance plus élevée aux risques de réputation pour une gamme de produits donnée. Ces seuils déterminent quand l'acceptation du risque est appropriée et quand une escalade est nécessaire.

Lorsque le contrôle d'atténuation idéal ne peut pas être mis en œuvre — en raison de son coût, de contraintes techniques ou de systèmes existants — un contrôle compensatoire offre une autre manière de réduire le risque. Par exemple, si un ancien système ne prend pas en charge MFA, une surveillance accrue, l'isolation du réseau et une journalisation supplémentaire peuvent compenser cette absence. Les contrôles compensatoires sont officiellement reconnus dans PCI-DSS et d'autres référentiels comme un traitement des risques valide lorsqu'ils sont documentés avec une justification et approuvés par l'autorité compétente.

Après l'application d'un traitement des risques, une part de risque subsiste presque toujours. Le risque résiduel est ce qui reste une fois les contrôles en place. Il doit être officiellement reconnu et accepté par le responsable du risque. Si le risque résiduel dépasse encore le seuil acceptable, des contrôles supplémentaires sont nécessaires. Les décisions de traitement des risques et les niveaux de risque résiduel doivent être consignés dans le registre des risques et examinés à intervalles définis, en particulier lorsque le paysage des menaces évolue.

Les cadres de conformité limitent les options de traitement des risques qui sont acceptables. HIPAA n'autorise pas l'évitement du traitement des informations de santé protégées : les organisations doivent les atténuer ou les transférer. PCI-DSS impose des contrôles précis, quel que soit le résultat de l'analyse coûts-avantages. Comprendre ces contraintes permet d'éviter les situations où l'option de traitement privilégiée par une organisation, comme l'acceptation d'une lacune de contrôle, enfreint une exigence réglementaire susceptible d'entraîner des amendes ou la perte des privilèges de traitement des cartes.

Le traitement des risques s'applique également aux risques liés aux tiers et à la chaîne d'approvisionnement. Lorsque des fournisseurs ou des partenaires ont accès à vos systèmes ou à vos données, leur niveau de sécurité fait partie de votre profil de risque. Les options de traitement comprennent : des contrôles contractuels (transfert), des évaluations de la sécurité des fournisseurs (atténuation), le choix d'autres fournisseurs (évitement), ou l'acceptation officielle du risque avec des examens périodiques. Les compromissions de la chaîne d'approvisionnement (SolarWinds, XZ Utils) montrent pourquoi la gestion des risques liés aux tiers est une priorité de l'examen Security+.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que l'atténuation des risques réduit la probabilité ou l'impact au moyen de contrôles, que le transfert des risques déplace les conséquences financières vers des tiers tels que les assureurs, que l'acceptation des risques est une décision documentée de tolérer un risque, et que l'évitement des risques élimine le risque en n'effectuant pas l'activité concernée. Nous allons maintenant passer en revue les principaux cadres de sécurité : NIST RMF, ISO 27001 et CIS Controls.