Qu’est-ce qu’une évaluation des risques de cybersécurité ?

Déterminer la portée de l’évaluation

• Définir le champ d'application, qui peut concerner l'ensemble de l'organisation ou une unité, un site ou un processus spécifique.
  
• Assurez-vous du soutien des parties prenantes et familiarisez chacun avec la terminologie de l'évaluation et les normes pertinentes.

Identifier et hiérarchiser les actifs

• Réalisez un audit des données afin de dresser un inventaire complet et à jour des actifs informatiques (matériel, logiciels, données, réseaux).
  
• Classez ces actifs selon leur valeur, leur statut juridique et leur importance pour l'entreprise. Identifier les actifs critiques.
  
• Créez un schéma d'architecture réseau pour visualiser l'interconnectivité des actifs et les points d'entrée.

Identifier les cybermenaces et les vulnérabilités

•  Identifiez les vulnérabilités, telles que les mauvaises configurations informatiques, les systèmes non mis à jour et les mots de passe faibles.
  
•  Identifiez les menaces, comme les logiciels malveillants, le hameçonnage, les menaces internes et les catastrophes naturelles.
  
•  Utilisez des cadres de référence tels que MITRE ATT&CK et la Base nationale de données sur les vulnérabilités.

Évaluer et analyser les risques

• Réalisez une analyse des risques en évaluant la probabilité que chaque menace exploite une vulnérabilité et son impact potentiel sur l'organisation.
  
• Utilisez une matrice de risques pour hiérarchiser les risques en fonction de leur probabilité et de leur impact.
  
• Tenez compte de facteurs tels que la facilité de détection, l'exploitabilité et la reproductibilité des vulnérabilités.

Calculer la probabilité et l’impact des risques

• Déterminez la probabilité d'une attaque et son impact sur la confidentialité, l'intégrité et la disponibilité des données.
  
• Élaborez un outil d'évaluation cohérent pour quantifier l'impact des vulnérabilités et des menaces.
  
• Traduisez ces évaluations en termes de pertes financières, de coûts de récupération, d'amendes ainsi que dommages à la réputation.

Prioriser les risques sur la base d'une analyse coûts-avantages

• Examinez les vulnérabilités et classez-les par ordre de priorité en fonction de leur niveau de risque et de leur impact potentiel sur le budget.
  
• Élaborez un plan de traitement, comprenant des mesures préventives, pour atténuer les risques les plus critiques.
  
• Prenez en compte les politiques organisationnelles, la faisabilité, les réglementations et l'attitude de l'organisation vis-à-vis du risque.

Mettre en place des contrôles de sécurité

• Atténuez les risques identifiés en développant et en mettant en œuvre des contrôles de sécurité.
• Ces contrôles peuvent être techniques (pare-feu, chiffrement) ou non techniques (politiques, mesures de sécurité physique).
  
• Veillez à ce que les contrôles préventifs et de détection soient correctement configurés et intégrés.

Surveiller et documenter les résultats

• Surveillez en permanence l'efficacité des contrôles mis en place et effectuez régulièrement des audits et évaluations.
  
• Documentez l'ensemble du processus, y compris les scénarios de risque, les résultats de l'évaluation, les actions correctives et l'état d'avancement.
  
• Préparez des rapports détaillés pour les parties prenantes et mettez régulièrement à jour le registre des risques.

Amélioration de la posture de sécurité

Une évaluation des risques de cybersécurité renforce la sécurité globale de l'environnement informatique en :

• augmentant la visibilité des actifs informatiques et des applications ;
• créant un inventaire complet des privilèges utilisateur, des activités Active Directory et des identités ;
• identifiant les faiblesses au niveau des appareils, des applications et des identités des utilisateurs ;
• mettant en lumière des vulnérabilités spécifiques susceptibles d'être exploitées par des cybercriminels ;
• facilitant le développement de plans robustes de réponse aux incidents et de reprise après sinistre.

Amélioration de la disponibilité

Optimise la disponibilité des applications et services en réduisant les temps d'arrêt causés par des incidents de sécurité.

Réduction du risque réglementaire

Garantit une conformité plus fiable aux exigences de protection des données et aux normes réglementaires.

Optimisation des ressources

Permet d'identifier les activités prioritaires selon le niveau de risque et d'impact, pour une allocation plus efficace des ressources en matière de sécurité.

Réduction des coûts

Contribue à réduire les coûts en en corrigeant rapidement les vulnérabilités et en prévenant les attaques avant qu'elles ne se produisent.