Analyse des risques et management des risques
Analyse de risques
Pour qu'une organisation soit en mesure de se protéger contre d'éventuels dommages futurs liés à l'information, il faut commencer par effectuer une analyse des risques.
L'analyse des risques est un procédé systématique d'identification des menaces qui sont ensuite évaluées en fonction de leurs probabilités et de leurs conséquences.
L'information est l'un des actifs les plus importants de l'organisation. Ces actifs informationnels doivent être protégés contre les menaces afin qu'ils ne soient pas détruits ou ne tombent pas entre de mauvaises mains.
Une menace est un incident potentiel. Le risque que l'incident se produise dépend de la probabilité de la menace et de la conséquence de la menace. Plus la probabilité qu'un certain incident se produise et plus les conséquences d'un tel incident sont importantes, plus le risque est élevé.
Les risques doivent être gérés pour minimiser les dommages potentiels, mais il faut d'abord les analyser.
Probabilité
L'évaluation des probabilités peut être difficile en raison de la nature évolutive de la sécurité de l'information. Il ne suffit pas de partir de sa propre expérience et de celle des autres, de ce qui s'est passé auparavant, c'est-à-dire des probabilités connues. Afin de procéder à une évaluation plus réaliste des probabilités, vous devez essayer d'interpréter les développements et les tendances au sein de la société et de votre propre secteur d'activité et procéder à une évaluation aussi réaliste que possible des probabilités futures.
La probabilité d'un événement peut être classée en :
Peu probable
Potentiel
Probable
Très probable
Consequence
L'évaluation des conséquences n'est pas non plus facile. Il peut être difficile d'évaluer les dommages et les coûts d'un incident qui s'est déjà produit. Il est, bien sûr, encore plus difficile d'évaluer les conséquences d'un éventuel incident qui ne s'est pas encore produit, et c'est ce que vous devez essayer de faire dans une analyse des risques.
La conséquence d'un événement peut être évaluée en :
Faible
Moderé
Considérable
Critique
L'analyse des risques peut être associée à de grandes difficultés, mais dans le travail d'analyse, l'organisation doit, tant avec ses propres ressources et connaissances qu'avec une aide extérieure, essayer de faire une analyse des risques aussi réaliste que possible. L'objectif de l'analyse des risques est de fournir un support pour les mesures de sécurité à mettre en place.
La base de toute l'analyse des risques consiste à identifier les scénarios de menace. En effet, ce sont ces derniers qui doivent ensuite être évalués en termes de probabilité et de conséquences.
Si une menace importante n'est pas identifiée, elle ne sera pas un risque connu qui doit être traité par des mesures de sécurité.
La surveillance du paysage des menaces doit se faire en continu.
Gestion des risques
Une fois que les risques ont été analysés, ils doivent être gérés, c'est-à-dire que vous devez planifier les mesures à prendre pour minimiser les risques.
Il est important de trouver un bon équilibre et le bon niveau de sécurité et de pouvoir justifier les mesures, les investissements et les efforts nécessaires.
La gestion des risques est un moyen méthodique de protéger les ressources d'une entreprise contre les risques de dommages afin que les objectifs de l'entreprise puissent être atteints avec un minimum de perturbations.
L'équilibre entre la probabilité et les conséquences d'un événement donne une valeur que nous appelons le facteur de risque.
Le facteur de risque peut servir de base à la gestion du risque.
Le facteur de risque et la gestion du risque peuvent être évalués comme suit:
Risque négligeable - accepter
Risque faible - contrôler
Risque moyen – planifier une action de réduction des risques
Risque Élevé – action immédiate
Les risques inacceptables doivent être éliminés ou réduits à un niveau acceptable au moyen de mesures de sécurité. Les mesures de sécurité peuvent être préventives ou réparatrices.
La protection préventive vise à réduire la probabilité d'une blessure.
Les protections réparatrices visent à réduire les conséquences ou les dommages.