Le scénario à examiner
Le catalogue dépend des sources, du glossaire, des responsabilités et des règles de classification.
Décrire le scénario : ce qui peut se produire, l’activité affectée, les protections existantes et ce qui reste supporté par l’organisation. La priorité dépend de l’impact, de l’exposition et de l’efficacité réelle des mesures, pas du seul nom de la menace.
Commencer par les données effectivement utilisées pour décider. Un inventaire volumineux sans usages reste difficile à maintenir.
Application à votre contexte
Reliez une cause ou une menace à un événement et à une conséquence sur une activité. Distinguez le risque initial, les mesures existantes et le risque résiduel accepté ou à traiter.
La qualité attendue dépend de l'usage. Une donnée peut suffire pour une tendance statistique et être inacceptable pour facturer ou autoriser un accès. Faites valider les seuils, les exceptions tolérées et la procédure de correction par les responsables concernés.