.png)
La gestion des risques est une expression courante dans les entreprises modernes. Toutefois, en l'absence de méthodes claires pour la mettre en œuvre et la relier au travail quotidien, la gestion des risques risque de rester une entité détachée et apparemment inutile pour l'entreprise.
La gestion des risques liés à la sécurité de l'information est un domaine de la gestion des risques dont l'importance ne cesse de croître. En particulier dans les organisations fortement numérisées, elle devrait être au premier plan de la gestion des risques.
L'idée de cet article est de fournir un modèle opérationnel clair pour la gestion des risques liés à la sécurité de l'information, qui va de l'identification des risques à leur élimination, en impliquant différentes personnes dans différents rôles, et en contrôlant les mesures décidées dans le cadre du traitement des risques.
Nous envisageons la question principalement sous l'angle des bonnes pratiques de la norme de sécurité de l'information ISO 27001.
En général, chaque norme de sécurité de l'information ou législation connexe met l'accent sur la gestion des risques. La norme ISO 27001 présente ses propres exigences, mais des éléments similaires figurent par exemple dans le NIST CSF.
La norme ISO 27001 énonce des exigences claires en matière de gestion des risques liés à la sécurité de l'information :
La première exigence guide l'organisation dans la mise en œuvre de la gestion des risques selon un ensemble de règles de base communes. Le fait que chacun évalue les risques à sa manière constitue déjà un risque important.
Le deuxième point exige de l'organisation qu'elle procède à un examen complet des contrôles énumérés dans la norme ISO 27002. La norme propose donc des bonnes pratiques plus concrètes pour réduire la probabilité ou l'impact des risques.
Le troisième point exige que l'organisation résume clairement son utilisation des contrôles : Parmi les contrôles énumérés dans la norme ISO 27002, quels sont ceux que nous avons mis en œuvre et pour quelles raisons en avons-nous laissé certains inappliqués ? La déclaration d'applicabilité permet d'obtenir une vue d'ensemble, même si le processus d'évaluation des risques est principalement mis en œuvre du point de vue d'un risque individuel.
Un processus de gestion des risques liés à la sécurité de l'information bien mis en œuvre :
Toutefois, il est important de comprendre que se lancer directement dans la gestion des risques n'est pas forcément conseillé si les principes fondamentaux de la cybersécurité ne sont pas en place au sein de l'organisation. Il devient difficile d'identifier et d'évaluer les risques lorsque l'organisation ne dispose pas de pratiques systématiques pour décrire son environnement de traitement des données, documenter les actifs nécessitant une protection par des mesures de sécurité et comprendre les mesures de sécurité existantes. C'est pourquoi Cyberday vise à fournir des cadres établis pour tous ces domaines et recommande de passer à la gestion des risques après avoir traité les aspects fondamentaux.
La mise en œuvre de la gestion des risques sur le site Cyberday est présentée ci-dessous étape par étape.
Les nouveaux risques peuvent être identifiés sur le site Cyberday de la manière suivante :
Identification automatisée des risques de cybersécurité par l'activation des tâches de sécurité de l'information.
Cyberday comprend des informations de base sur les risques pertinents pour chaque tâche. Lorsqu'une tâche est activée sur Cyberday, les risques associés sont automatiquement ajoutés au registre des risques.
Identification des risques par le traitement des incidents ou des changements. Les processus de l'organisme pour traiter les incidents de sécurité de l'information ou les changements significatifs ayant un impact sur la sécurité comprennent l'analyse des risques. L'objectif est d'identifier les risques associés à l'événement spécifique, puis de passer à la phase d'évaluation des risques. Ces risques peuvent être entièrement nouveaux ou nécessiter une réévaluation au cours de l'événement.
Identifier les risques associés aux actifs critiques. Si on le souhaite, les risques peuvent être identifiés chaque fois que des actifs informationnels (tels qu'un système d'information, un référentiel de données ou un partenaire) sont classés comme "critiques" dans le système de gestion. Cette mise en œuvre peut être placée sous le contrôle du propriétaire du bien. Tous les risques identifiés sont liés à l'actif associé au moyen d'une fiche de documentation des risques.
Ateliers utilisant des exemples de risques tirés de Cyberday. Cyberday comprend une liste complète d'exemples de risques pour la sécurité de l'information. Cette liste permet d'identifier les menaces négligées et les nouveaux risques. Nous recommandons d'organiser de tels ateliers lorsque cela s'avère nécessaire, par exemple si les autres méthodes décrites ici n'ont pas été utilisées au cours des six derniers mois.
Une fois qu'un risque a été identifié, la première étape consiste à sélectionner un propriétaire du risque. Dans Cyberday, la sélection automatique par défaut pour les nouveaux risques est le propriétaire du thème Gestion des risques et leadership. Cette personne doit ensuite réassigner le risque au propriétaire de l'actif correspondant si le risque est clairement lié à cet actif, ou au propriétaire d'un autre thème de sécurité si le risque est clairement lié à ce thème. La délégation s'effectue en désignant l'utilisateur approprié comme propriétaire du risque sur la fiche de documentation.
Les actions initiales d'un propriétaire de risque
Lors de la phase d'évaluation du risque, une valeur numérique est attribuée au risque en fonction de son impact potentiel et de sa probabilité. L'organisation peut choisir d'utiliser une échelle d'évaluation plus étroite (1-3) ou plus large (1-5) en fonction de ses préférences.
Cyberday vise à faciliter l'évaluation des risques en apportant des réponses rapides lorsque la gravité ou la probabilité d'un risque n'est pas élevée. Le risque peut avoir une gravité réduite en raison de la nature des activités de l'organisation ou une probabilité réduite en raison de la mise en œuvre de pratiques efficaces de gestion des risques.
Sur la base de l'évaluation, le niveau de risque est automatiquement calculé pour chaque risque. L 'organisation peut définir son niveau de risque acceptable et tout risque dépassant ce niveau doit passer à la phase de traitement, au cours de laquelle diverses mesures sont mises en œuvre pour réduire le niveau de risque.
Le niveau de risque déterminé lors de l'évaluation indique si la gestion du risque doit être poursuivie.
Si le niveau de risque se situe dans une fourchette acceptable ou en dessous, le risque peut être accepté à ce stade.
Si nécessaire, la gestion des risques passe à la phase de traitement :
Le choix le plus courant consiste à réduire le risque en mettant en œuvre des tâches supplémentaires qui améliorent les pratiques de cybersécurité de l'organisation. À ce stade, il est essentiel de répertorier les tâches décidées dans le même système que celui utilisé pour la gestion des risques. Cela permet de s'assurer que la gestion des risques débouche sur des résultats concrets, qui sont automatiquement inclus dans le même processus de suivi.
La synthèse du traitement décidé au niveau de l'organisation est appelée plan de traitement des risques. Le propriétaire de chaque risque individuel doit accepter le plan de traitement créé pour le risque correspondant.
Lorsque le traitement prévu du risque a été mis en œuvre, c'est-à-dire que les propriétaires désignés ont confirmé que les tâches sont effectivement accomplies, le risque peut être clôturé. Le processus de gestion des risques se termine donc par un résultat clair.
Un risque peut être réévalué, par exemple lorsqu'un incident de sécurité se produit ou qu'un changement significatif dans les opérations de l'organisation a lieu et pourrait augmenter l'impact ou la probabilité du risque.
Voici quelques points forts qui peuvent vous aider à mettre en œuvre la gestion des risques dans votre organisation.
Si vous souhaitez en savoir plus sur la gestion des risques liés à la cybersécurité, participez à nos prochains webinaires ou choisissez un moment opportun pour une réunion d'équipe et nous pourrons poursuivre la discussion de manière plus personnalisée.
