Analyse des risques cyber et scénarios de menace

Comprendre l’enjeu et le périmètre

Elle permet de choisir des mesures proportionnées et d’expliciter les risques qui restent acceptés.

Couvrir activités critiques, actifs, écosystème, scénarios plausibles, mesures existantes et risque résiduel.

Passer à l’action

• Définir les événements redoutés et le périmètre
• Construire des scénarios avec les parties prenantes
• Choisir et suivre les mesures de traitement

Reliez chaque mesure à un scénario de risque et à un actif utile. La prévention, la détection, la réaction et la reprise se complètent. Un catalogue d'outils ne suffit pas : précisez qui traite une alerte, en combien de temps et avec quelle autorité.

Responsabilités et moyens

Les métiers qualifient les impacts, sécurité conduit l’analyse, et la direction accepte ou refuse le risque résiduel.

Inclure ateliers, expertise, collecte de preuves et maintien de l’analyse.

Produire et vérifier

Livrable utile

Un dossier de risques avec scénarios, hypothèses, responsables et décisions.

Preuve à rechercher

Confronter un scénario aux dépendances et contrôles réels, puis vérifier les preuves des mesures supposées efficaces.

Indicateur à interpréter

Suivre risques sans décision, mesures en retard et changements qui invalident les hypothèses.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.

Arbitrages et dépendances

Des cotations précises en apparence peuvent donner une fausse assurance lorsque les scénarios et informations de départ sont fragiles.

Les risques dépendent de la cartographie, des fournisseurs, des usages et de l’évolution des menaces.

Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.