La distinction à retenir
Elle permet de choisir des mesures proportionnées et d’expliciter les risques qui restent acceptés.
Une matrice de risque ne remplace pas une compréhension des mécanismes de défaillance ni un test des mesures.
Application à votre contexte
Commencez par nommer le problème que vous souhaitez résoudre. Comme un même terme peut désigner une pratique, un document ou un outil, indiquez explicitement le sens retenu dans votre organisation.
Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.
Remettre cette réponse dans son contexteAnalyse des risques cyber et scénarios de menace
Références pour approfondir
- NIST — NIST Cybersecurity Framework (nouvel onglet) Comprendre ce cadre
- ISO / IEC — ISO/IEC 27001 (nouvel onglet) Comprendre ce cadre
- Center for Internet Security — CIS Controls (nouvel onglet) Comprendre ce cadre
- OWASP — Application Security Verification Standard (nouvel onglet)
- ANSSI — EBIOS Risk Manager (nouvel onglet) Comprendre ce cadre
- DYNAMAP SI — Sécurité des systèmes d’information (nouvel onglet) Comprendre ce cadre