Comment créer un risque sur les actifs ?

Comment créer un risque sur les actifs ? 

Pour créer un risque sur les actifs, vous devez sélectionner la catégorie "Analyse des risques", accéder à la section "risque sur les actifs" et cliquer sur le bouton "+ Créer une nouvelle entrée".

Une fois tous les champs remplis, vous pouvez alors appuyer sur le bouton "Créer" situé en bas à droite. 

Description des champs  

1. Actifs de support concernés 

Ce champ sert à lister les actifs spécifiques qui sont liés ou affectés par le risque identifié. Il peut s'agir de ressources physiques (comme des équipements ou des locaux), d'actifs numériques (comme des bases de données ou des systèmes informatiques), ou d'autres types de support essentiels au fonctionnement de l'organisation.

2. Vulnérabilité(s)

3. Menace(s)

Ce champ sert à identifier et à décrire les menaces potentielles qui pourraient exploiter les vulnérabilités des actifs de support concernés. Les menaces peuvent provenir de diverses sources, telles que des cyberattaques, des catastrophes naturelles, des erreurs humaines, ou des défaillances techniques. 

4. Scénario de risque

Ce champ sert à décrire un scénario spécifique dans lequel les menaces identifiées exploitent les vulnérabilités des actifs de support, entraînant des conséquences négatives pour l'organisation. Le scénario de risque détaille les circonstances, la séquence des événements, et les impacts potentiels qui pourraient survenir si le risque se matérialisait. 

5. Propriétaire(s)

Ce champ sert à identifier la ou les personnes responsables de la gestion et de la protection des actifs de support concernés par le risque. Le propriétaire est chargé de veiller à ce que des mesures appropriées soient mises en place pour atténuer le risque, de suivre l'évolution des menaces, et de réagir en cas de matérialisation du risque.

6. Impact DIC

Ce champ sert à évaluer et à décrire l'impact potentiel du risque sur les trois piliers fondamentaux de la sécurité de l'information : la Disponibilité, l'Intégrité, et la Confidentialité.

• Disponibilité : Impact sur l'accès aux actifs de support, c'est-à-dire la capacité des utilisateurs à accéder aux services, données, ou systèmes concernés.
• Intégrité : Impact sur l'exactitude et la fiabilité des informations ou des systèmes, c'est-à-dire le risque de modification non autorisée des données.
• Confidentialité : Impact sur la protection des informations sensibles, c'est-à-dire le risque d'accès non autorisé aux données.

7. Documents de sécurité en place

Ce champ sert à répertorier et à fournir des liens ou des références vers les documents de sécurité existants qui sont applicables aux actifs de support concernés par le risque. Ces documents peuvent inclure des politiques de sécurité, des procédures opérationnelles, des plans de réponse aux incidents, ou des guides de bonnes pratiques. 

8. Mesures de sécurité en place

Ce champ sert à décrire les contrôles, dispositifs, et procédures de sécurité actuellement mis en œuvre pour protéger les actifs de support concernés par le risque. Cela peut inclure des mesures techniques (comme des pare-feu, des systèmes de sauvegarde), des mesures organisationnelles (comme des politiques de gestion des accès), et des mesures physiques (comme des systèmes de surveillance ou des dispositifs de verrouillage). 

9. Contrôles internes en place

Ce champ sert à identifier et à décrire les processus, procédures, et mécanismes internes de contrôle qui sont déjà en place pour surveiller et gérer les risques associés aux actifs de support concernés. Ces contrôles internes peuvent inclure des audits réguliers, des évaluations de conformité, des processus de gestion des accès, ou des mécanismes de détection des anomalies.

10. Vraisemblance réelle

Ce champ sert à évaluer la probabilité que le scénario de risque identifié se matérialise, en tenant compte des vulnérabilités, menaces, et mesures de sécurité en place ACTUELLES. La vraisemblance réelle représente une estimation réaliste de la fréquence ou de la chance que le risque se produise dans les conditions actuelles. 

11. Impact réel

Ce champ sert à évaluer les conséquences concrètes et mesurables si le scénario de risque identifié venait à se matérialiser, en tenant compte des actifs affectés et des mesures de sécurité ACTUELLES. L'impact réel représente une estimation de l'ampleur des dommages, des perturbations, ou des pertes que le risque pourrait causer à l'organisation, que ce soit en termes financiers, opérationnels, ou réputationnels.

12. Choix d'option de traitement de risque

Ce champ sert à spécifier la stratégie choisie pour traiter le risque identifié, en fonction de son impact et de sa vraisemblance réelle. Les options disponibles incluent :

• Acceptation : Le risque est reconnu et accepté tel quel, souvent parce que son impact ou sa probabilité est jugé acceptable ou trop coûteux à traiter autrement.
• Évitement : Des mesures sont prises pour modifier les plans ou les activités afin d'éliminer complètement le risque ou de le rendre inapplicable.
• Partage : Le risque est transféré à une autre partie, par exemple, par le biais d’assurances ou de partenariats.
• Réduction : Des actions sont mises en place pour diminuer la probabilité de survenue du risque ou atténuer ses impacts, comme la mise en œuvre de contrôles supplémentaires ou l'amélioration des processus.

13. Action(s) de sécurité liée(s)

Ce champ sert à décrire les mesures spécifiques de sécurité qui seront mises en œuvre pour traiter le risque identifié, en fonction de l'option de traitement choisie (acceptation, évitement, partage, réduction). Les actions de sécurité peuvent inclure des interventions telles que la mise en place de contrôles techniques, des modifications de procédures, des formations pour le personnel, ou des améliorations dans les systèmes de surveillance. 

14. Dérogation

Ce champ sert à documenter toute autorisation formelle pour ne pas appliquer certaines mesures de sécurité ou contrôles normalement requis en raison du risque identifié. Une dérogation peut être accordée lorsqu'une exemption est justifiée par des raisons spécifiques, comme des contraintes opérationnelles, des coûts excessifs, ou des situations exceptionnelles. 

15. Vraisemblance résiduelle

Ce champ sert à évaluer la probabilité restante que le scénario de risque se matérialise APRÈS la mise en œuvre des actions de sécurité et des mesures de traitement du risque. La vraisemblance résiduelle représente l'estimation du risque qui persiste malgré les contrôles et les mesures correctives en place.

16. Impact résiduel

Ce champ sert à évaluer les conséquences potentielles qui demeurent si le scénario de risque se matérialise APRÈS la mise en œuvre des actions de sécurité et des mesures de traitement du risque. L'impact résiduel représente l'ampleur des dommages ou perturbations qui pourraient encore affecter l'organisation, même après avoir appliqué les mesures de réduction ou de mitigation.

17. Prochaine date de revue

Ce champ sert à indiquer la date à laquelle le risque sera réévalué et examiné à nouveau. Il marque le moment où l'efficacité des mesures de traitement mises en place sera vérifiée, et où les changements dans le contexte, les vulnérabilités, les menaces, ou les conditions des actifs seront pris en compte.

18. Etiquette

Ce champ sert à attribuer une étiquette ou une classification au risque pour faciliter son suivi, sa gestion, et son reporting. Les étiquettes peuvent inclure des catégories telles que « critique », « élevé », « modéré », ou « faible », ou encore des codes spécifiques permettant de regrouper et d'identifier les risques selon des critères définis. 

19. Incident(s) lié(s)

Ce champ sert à identifier et à lister les incidents qui sont associés au risque évalué. Les incidents liés peuvent être des événements passés ou en cours qui illustrent la matérialisation du risque ou qui ont eu un impact sur les actifs concernés. En répertoriant ces incidents, ce champ permet de comprendre le contexte historique ou actuel du risque, d'analyser les causes et les conséquences, et de mettre en place des mesures de prévention ou de réponse basées sur des expériences concrètes.