Face aux menaces et attaques numériques, la question de savoir « comment se protéger » revient fréquemment dans les discussions sur la cybersécurité.
Il s’agit de définir les actions nécessaires pour assurer la sécurité et la conduite à tenir en cas de problème. Comment anticiper les cibles potentielles ? Pourquoi une organisation serait-elle attaquée ? Quel serait le coût d’une remise en état suite à une cyberattaque ?
Une analyse des risques de cybersécurité peut éclairer ces interrogations. Elle constitue donc un élément essentiel lors de l’élaboration d’une stratégie de cybersécurité.
Qu’est-ce qu’une évaluation des risques de cybersécurité ?
L’évaluation des risques de cybersécurité est un processus qui permet d’adapter le plan de cybersécurité d’une organisation à ses objectifs commerciaux. Elle facilite la compréhension des objectifs et l’évaluation des ressources disponibles ou nécessaires pour maintenir l’activité.
Le rapport d’évaluation examine de manière approfondie les différents aspects de la cybersécurité, et permet de renforcer la cyber-résilience de l’organisation.
Des types de menaces à la valeur des actifs, en passant par les assurances, ces informations sont cruciales pour permettre aux parties prenantes et à la direction de prendre des décisions éclairées face à une menace de cyberattaque (ou après un incident).
Pourquoi l’évaluation des risques est-elle importante en cybersécurité ?
L’évaluation des risques offre une vision claire des menaces, permettant d’estimer la probabilité d’une attaque, les motivations potentielles des acteurs malveillants et les dommages qui pourraient en résulter.
Elle ne se limite pas à identifier les types de menaces, mais permet de comprendre leur fonctionnement et leur impact potentiel sur l’organisation.
Ainsi, elle donne un aperçu des mesures à prendre en cas de cyberattaque réussie.
En d’autres termes, l’évaluation des risques de cybersécurité sensibilise au niveau de risque associé à une cyberattaque. Elle aide l’organisation, ses parties prenantes et tous les responsables à se préparer pour minimiser les risques et mettre en place un plan solide en cas d’incident.
Différents types d’évaluations des risques
Bien que les étapes d’une évaluation des risques de cybersécurité soient globalement standardisées, il existe différents types d’évaluations.
Le type d’évaluation choisi indique précisément sur quoi l’organisation doit se concentrer pour évaluer ses besoins de sécurité.
#1. Évaluation générique
Cette évaluation se base sur un questionnaire qui aborde des éléments simples mais efficaces pour réduire les risques de sécurité.
Par exemple, la politique de mots de passe, le type de pare-feu utilisé, les correctifs de sécurité réguliers et les politiques d’authentification/cryptage.
Bien que simple et rapide, elle peut ne pas convenir à toutes les organisations. Elle est plus adaptée à celles qui disposent de ressources limitées et de données peu sensibles.
#2. Évaluation qualitative des risques
L’évaluation qualitative des risques peut être perçue comme spéculative car elle dépend de l’analyse et du jugement d’un individu ou d’un groupe de personnes qui examinent les antécédents pour aborder des sujets tels que les violations de données et les risques financiers.
Elle ne se présente pas sous la forme d’un rapport détaillé, mais plutôt comme une séance de réflexion pour les hauts responsables de l’organisation.
#3. Évaluation quantitative des risques
L’évaluation quantitative s’appuie sur des données et des informations pour calculer le risque.
Elle est plus appropriée pour les grandes organisations où les risques financiers sont plus importants et où les données sont plus nombreuses et précieuses.
#4. Évaluation des risques spécifiques au site
Cette évaluation se concentre sur un cas d’utilisation unique, qu’il s’agisse d’une partie de l’organisation ou d’un emplacement spécifique. Il s’agit d’une évaluation ciblée.
Elle évalue uniquement un réseau particulier, une technologie spécifique ou des éléments statiques similaires. Ses résultats ne sont pas extrapolables au reste de l’organisation.
#5. Évaluation dynamique des risques
L’évaluation dynamique des risques traite des menaces qui évoluent en temps réel.
Pour être efficace, elle nécessite une surveillance constante des menaces et une réaction rapide dès qu’elles surviennent.
Étapes pour réaliser une évaluation des risques de cybersécurité
Les étapes d’une évaluation des risques varient selon l’organisation et ses ressources.
Bien que le processus soit globalement similaire, des ajustements peuvent être nécessaires. Par exemple, le nombre d’étapes, leur classification et leur hiérarchisation peuvent varier.
Nous présentons ici neuf étapes détaillées qui devraient vous aider à réaliser une évaluation des risques de cybersécurité efficace.
#1. Identifier vos actifs
L’identification des actifs de votre organisation est fondamentale et doit être une priorité.
Les actifs peuvent être matériels (ordinateurs portables, téléphones, clés USB), logiciels (gratuits ou sous licence), des fichiers, des documents PDF, l’infrastructure électrique ou des éléments physiques tels que des documents papier.
Il est parfois nécessaire d’inclure parmi les actifs les services en ligne dont dépend l’organisation, car ils influent directement ou indirectement sur son fonctionnement.
Par exemple, la solution de stockage en nuage que vous utilisez pour stocker vos documents.
#2. Identifier vos menaces
En fonction de vos actifs, vous pouvez identifier les menaces potentielles qui y sont associées.
Comment procéder ? Le plus simple est de suivre les tendances et l’actualité en matière de cybermenaces. Ainsi, l’organisation reste informée des dernières évolutions.
Il est aussi possible d’utiliser des bibliothèques de menaces, des bases de connaissances et des ressources gouvernementales ou des agences de sécurité pour se renseigner sur les différentes cybermenaces.
Enfin, vous pouvez également vous référer à des cadres d’analyse, tel que la chaîne de destruction cybernétique, pour évaluer les mesures nécessaires pour protéger vos actifs contre ces menaces.
#3. Évaluer vos vulnérabilités
Maintenant que vous connaissez vos actifs et les menaces potentielles, comment un attaquant peut-il y accéder ?
Les vulnérabilités d’un appareil, d’un réseau ou de tout autre actif peuvent être exploitées par un acteur malveillant pour obtenir un accès non autorisé.
Les vulnérabilités peuvent provenir d’un système d’exploitation sur un ordinateur portable, un téléphone, un site Web ou un compte en ligne. Tout peut être une porte d’entrée. Même un mot de passe facile à deviner est une vulnérabilité.
Vous pouvez consulter le catalogue des vulnérabilités exploitées par le gouvernement pour en savoir plus.
Globalement, les vulnérabilités peuvent se trouver n’importe où, à l’intérieur ou à l’extérieur du système. Il est donc essentiel de prendre des mesures pour éliminer les vulnérabilités courantes ou connues.
#4. Calculer votre risque
Le risque se calcule en fonction de la menace, de la vulnérabilité et de la valeur de l’actif.
Risque = Menace x Vulnérabilité x Valeur
L’évaluation du risque fait référence à la probabilité qu’une menace affecte l’organisation.
Il est évident que plus la probabilité est élevée, plus le risque est élevé. Il est impossible de le prédire avec précision car le paysage des menaces évolue constamment.
Il convient donc de calculer le niveau de risque, qui indique l’importance du risque. Pour cela, il faut identifier l’actif le plus précieux et déterminer l’impact sur l’organisation s’il est compromis ou volé.
L’évaluation peut varier d’une organisation à l’autre. Par exemple, un fichier PDF peut être une information publique pour une entreprise, mais hautement confidentielle pour une autre.
#5. Hiérarchiser vos risques
Une fois les niveaux de risque mesurés, il est plus simple de les hiérarchiser.
Il faut se concentrer en priorité sur les attaques les plus susceptibles de se produire et celles qui causeraient le plus de dégâts.
La hiérarchisation peut être subjective, mais il est possible de classer les risques pour les prioriser.
Voici quelques options possibles :
- Hiérarchiser les risques en fonction de leur valeur.
- Filtrer les risques en fonction du matériel, des logiciels ou de facteurs externes (fournisseurs, services d’expédition, etc.).
- Filtrer les risques en fonction du plan d’action à mettre en œuvre si un risque se réalise.
Pour clarifier ces trois points :
Si un risque est estimé à 1 million d’euros et un autre à 1 milliard d’euros, le second sera prioritaire.
De même, si les objectifs commerciaux dépendent davantage du matériel que de facteurs externes, celui-ci sera privilégié.
Enfin, un risque qui nécessiterait une réponse importante de l’organisation sera priorisé.
#6. Mettre en place des contrôles
Les contrôles sont des mesures de sécurité qui permettent de gérer les risques.
Ils contribuent à réduire, voire à éliminer les risques.
Qu’il s’agisse d’un contrôle d’accès, d’une politique stricte de mots de passe ou d’un pare-feu, chaque mesure aide à gérer les risques.
#7. Surveiller et améliorer
Tous les actifs, les correctifs de vulnérabilité et les risques potentiels doivent être surveillés pour identifier les marges d’amélioration.
Étant donné que les menaces évoluent et peuvent déjouer une stratégie de sécurité solide, il est essentiel de réévaluer régulièrement toute la préparation.
Les audits de sécurité sont utiles, mais la surveillance ne doit pas s’arrêter après des résultats positifs.
Ne pas surveiller, c’est baisser sa garde face aux cybermenaces.
#8. Conformité et réglementations
Une évaluation de la cybersécurité amène naturellement l’organisation à respecter certaines normes et lois, il est donc important de s’y intéresser de plus près.
L’évaluation ne doit pas être effectuée uniquement pour répondre à des exigences de conformité. Il est préférable de commencer par réaliser l’évaluation, puis de procéder aux ajustements nécessaires pour se conformer aux lois et normes en vigueur.
Par exemple, la conformité HIPAA est obligatoire si votre organisation traite des informations de santé aux États-Unis.
Il est conseillé d’explorer les exigences réglementaires applicables à la zone géographique de votre entreprise et de les mettre en œuvre.
#9. Amélioration continue
Quelle que soit la qualité des mesures mises en place, des contrôles effectués et des recherches sur les menaces, il est essentiel de toujours s’efforcer de les améliorer.
Si une organisation ne révise pas, n’améliore pas ou n’apporte pas des modifications, même mineures, pour renforcer sa sécurité, sa stratégie de cybersécurité risque d’échouer plus tôt que prévu.
L’évaluation des risques de cybersécurité est essentielle
L’évaluation des risques de cybersécurité est cruciale pour toutes les organisations.
Qu’elle soit grande ou petite, qu’elle dépende de peu ou de nombreux services en ligne, elle est indispensable. L’évaluation aide la direction, les parties prenantes ou les fournisseurs à identifier les ressources nécessaires pour assurer la sécurité et à se préparer à minimiser les dommages en cas de cyberattaque.
Vous pouvez également consulter la liste de vérification de la cybersécurité pour les petites et moyennes entreprises.