Identification des risques

Techniques pour rassembler les informations

Pour rassembler les informations nécessaires à une analyse de risques, nous pourrons utiliser les moyens suivants :

Identification des actifs

Pour rappel, un actif est tout ce qui a de la valeur pour l’organisation et donc nécessite d’être protégé. Cela ne se limite pas aux matériels et aux logiciels, les informations en format papier sont aussi concernées, ainsi que les processus, les procédures, les employés, etc.

L’identification des actifs peut se limiter à ceux ayant la plus importante valeur pour l’organisation. La méthodologie OCTAVE (Operationally Critical Threat, Asset, And Vulnerability Evaluation, en français « évaluation des menaces, des actifs et des vulnérabilités opérationnellement critiques »), que nous étudierons dans le chapitre Étude de cas 1 - Mise en conformité, suggère de ne prendre en compte que 5 à 10 actifs. Cependant, le gestionnaire de risque retiendra autant d’actifs qu’il lui semblera nécessaire, en fonction du niveau de détail qu’il souhaite obtenir. Le processus de gestion des risques étant itératif, il sera tout à fait possible d’affiner le niveau de détail au cours des itérations.

De manière globale, chaque organisation devrait posséder et maintenir un inventaire des actifs. Pour des raisons de comptabilité, d’assurances, lors de la réalisation d’un audit, ou la réalisation d’une évaluation...

Identification des menaces

Une menace est une cause potentielle d’un évènement non désiré pouvant nuire à une organisation.

La clause 8.2.3 d’ISO/IEC 27005 nous éclaire sur l’origine des menaces. Celles-ci peuvent venir de l’intérieur ou de l’extérieur de l’organisation. Elles doivent donc être identifiées par type (accidentelles - en envoyant par erreur des informations confidentielles, délibérées - un pirate informatique s’introduit dans le système d’information, environnementales - un séisme fait s’écrouler le centre de données) et aucune d’entre elles ne doit être négligée.

N’oublions pas que certaines menaces peuvent affecter plusieurs actifs, mais l’impact ne sera pas nécessairement le même.

La norme ISO 27005 préconise d’effectuer cette étape en deux temps. Tout d’abord, une identification des menaces de manière générique, en se basant par exemple sur des listes de menaces déjà créées et disponibles sur Internet. La méthode EBIOS (qui sera décrite dans le chapitre Méthodes) propose un catalogue de menaces génériques.

Il est possible d’ajouter des colonnes à ce tableau, par exemple « Motivation » (vengeance d’un employé licencié)...

Identification des contrôles existants

Comme nous l’avons vu dans la partie précédente, l’analyse de l’existant est un point essentiel lors d’une analyse de risques. Certaines menaces peuvent être contrées efficacement à l’aide de mesures déjà en place au sein de l’organisation. Cela permet d’économiser du temps de mise en œuvre mais également des coûts.

La notion économique est un point très important et un problème récurrent en matière de sécurité du système d’information. La sécurité est en effet souvent jugée trop coûteuse et le bénéfice est très difficile à calculer car il s’agit d’estimer la perte financière dans l’éventualité où un incident de sécurité aurait lieu. C’est pourquoi l’administration peut parfois être réticente à l’idée d’investir dans ce domaine. Il faut donc particulièrement insister sur le fait qu’une organisation sécurisée au maximum bénéficiera d’une réputation sérieuse et d’une sérénité quant à la sauvegarde de ses informations confidentielles.

Quels sont donc les moyens à mettre en œuvre afin d’identifier ces mesures existantes ? Comme pour les parties précédentes, il s’agira de mener une revue documentaire (rapport d’audit, politique de sécurité du système d’information, procédures…). Si l’organisation documente correctement ses process, tous les contrôles devraient être disponibles et identifiés lors de cette revue.

Si toutefois la revue documentaire ne s’avère pas fructueuse...

Identification des vulnérabilités

La présence d’une vulnérabilité peut être identifiée dans différents domaines tels que l’organisation, les processus, les procédures, le personnel, le matériel, les logiciels, l’environnement, la configuration des éléments du système d’information ou encore des routines de gestion. Cette liste n’est pas exhaustive.

L’annexe D de la norme ISO/IEC 27005 présente un tableau regroupant un grand nombre de vulnérabilités. Il est important de s’en servir pour nous guider lors de cette phase d’identification.

Exemples de vulnérabilités tirés de l’annexe D de la norme ISO/IEC 27005 :

Identification des conséquences

Une conséquence peut se présenter sous la forme d’une perte d’activité ou d’efficacité, de dommages physiques ou virtuels, d’interruption de service, d’atteinte à la sécurité du personnel, d’une perte de réputation, etc. Ces conséquences peuvent être temporaires, s’il est possible de corriger ou réparer, ou définitives si l’actif a été volé ou détruit.

Les impacts sont classés selon les critères de sécurité, à savoir de disponibilité, d’intégrité et de confidentialité.

Le tableau ci-dessous donne des exemples d’impact selon les critères de sécurité.