Chapitre2: La gestion des risques

Concepts et méthodes

« Les risques désignent un futur qu’il s’agit d’empêcher d’avenir »

Introduction

Concept de gestion des risques (risk management) : Les années 50 (USA) pour le domaine financier

Extension du concept vers d’autres domaines: environnement, gestion de projet, sécurité informatique

1.Définition et finalités

Définition: La gestion des risques est définie par l’ISO comme l’ensemble des activités coordonnées visant à diriger et piloter un organisme vis-à-vis du risque

Finalités

Améliorer la sécurisation des systèmes d’information.
Justifier le budget alloué à la sécurisation du système d’information.
Prouver la crédibilité du système d’information à l’aide des analyses effectuées.

2.Fondements

La gestion des risques se compose de trois blocs interdépendants :

Les assets

Les assets: biens, actifs, ressources ayant de la valeur pour l’organisme et nécessaires à son bon fonctionnement Asset business: principalement des informations (par exemple des numéros de carte bancaire) et des processus (comme la gestion des transactions ou l’administration des comptes) Asset system: les éléments techniques, tels les matériels, les logiciels et les réseaux, mais aussi l’environnement du système informatique, comme les utilisateurs ou les bâtiments

Les risques

On définit un risque à l’aide de ce que l’on nomme « l’équation du risque »

RISQUE = MENACE * VULNÉRABILITÉ * IMPACT la menace: la source du risque, l’attaque possible d’un élément dangereux pour les assets. C’est l’agent responsable du risque La vulnérabilité: la caractéristique d’un asset constituant une faiblesse ou une faille au regard de la sécurité L’impact: la conséquence du risque sur l’organisme et ses objectifs

Exigences de sécurité

Pour faire face à ces risques: Politique de traitement de risques

constituée d’exigences de sécurité permettant de répondre aux risques. Ces exigences de sécurité vont ensuite entraîner la mise en place de contrôles (ou contre-mesures) de sécurité à implémenter

Les contrôles sont de deux types : • Sur la menace ou la vulnérabilité, afin de limiter la cause du risque ; • Sur l’impact, afin de limiter la conséquence du risque.

# Les mesures de sécurité à mettre en place dépendent de l’activité, de l’organisation et de la réglementation et des contraintes de son écosystème.

4. Le processus de gestion des risques

Ce processus est presque toujours appliqué dans les méthodes pratiques de gestion des risques

# prendre connaissance de l’organisation, son environnement, son SI et de déterminer précisément les limites du système sur lequel va porter l’étude de gestion des risques. identifier les assets business constituant la valeur de l’organisation. Ensuite, le lien sera fait entre ces assets business et les assets système, sur lesquels on identifiera et corrigera les risques d’un point de vue technique et organisationnel.

La détermination des objectifs de sécurité vise à spécifier les besoins en termes de confidentialité, intégrité et disponibilité des assets L’analyse des risques : cœur de la démarche de gestion des risques Elle a pour finalité l’identification et l’estimation de chaque composante du risque (menace/vulnérabilité/impact), afin d’évaluer le risque et d’apprécier son niveau, dans le but de prendre des mesures adéquates

# 2 grandes écoles pour l’identification des risques Réaliser un audit du système et de ses différents acteurs Se baser sur les bases de connaissances

Pour l’estimation des risques, il est possible en théorie de les quantifier à l’aide de distributions de probabilités sur les menaces et les vulnérabilités, ainsi qu’en estimant les coûts occasionnés par les impacts

Notes:

• Les risques ayant une occurrence et un impact faible sont négligeables. • Les risques ayant une forte occurrence et un impact important ne doivent pas exister, autrement une remise en cause des activités de l’entreprise est nécessaire (on évite le risque, avoidance en anglais) • Les risques ayant une occurrence forte et un impact faible sont acceptés, leur coût est généralement inclus dans les coûts opérationnels de l’organisation (acceptation du risque). • Les risques ayant une occurrence faible et un impact lourd sont à transférer. Ils peuvent être couverts par une assurance ou un tiers (transfert du risque). • Enfin, les autres risques, en général majoritaires, sont traités au cas par cas et sont au centre du processus de gestion des risques ; l’objectif, étant de diminuer les risques en les rapprochant au maximum de l’origine de l’axe (mitigation du risque à l’aide de contrôles).

La définition des exigences de sécurité, de par son importance et sa complexité, est souvent effectuée de manière incrémentale et par raffinement successif (réduire les risques identifiés) . Référentiels ou experts
Sélection des contrôles Les contrôles sont l’instanciation des exigences de bas niveau pour le système cible étudié. Ici sont définis les choix techniques des solutions de sécurité, influencés par le système déjà en place, les compétences disponibles, les coûts de mise en oeuvre…
Implémentation des contrôles, test et évaluation

5. Les méthodes de gestion des risques

Plus de 200 méthodes de gestion/analyse des risques sont déclinées actuellement à travers le monde
Les plus connues:

EBIOS MEHARI MARION OCTAVE

# EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) DCSSI (Direction Centrale de la Sécurité des Systèmes d’Information) en 1995 (gratuite) composée de cinq guides (Introduction, Démarche, Techniques, Outillages pour l’appréciation des risques et Outillages pour le traitement des risques) et d’un logiciel support

une prise en compte du contexte de l’organisation cible, en privilégiant le périmètre du SI, les éléments essentiels, les fonctions et les informations (correspondant aux assets business), et enfin les entités (assets système) dégager les besoins via une grille des services souhaités de sécurité (respect des critères « Confidentialité, Intégrité, Disponibilité »). la prise en compte relative des vulnérabilités et des menaces s’appliquant sur les assets et jugées critiques →la définition des exigences de sécurité de haut-niveau (appelées ici « objectifs ») puis de bas-niveau (appelées « exigences ») La sélection des bonnes contremesures strictement adaptées aux besoins de l’organisation.

# MARION ( Méthodologie d’Analyse et de Réduction des risques Informatiques Optimisés par Niveau) développée par le CLUSIF Repose sur des questionnaires relatifs à 6 domaines Sécurité organisationnelle Sécurité physique Continuité Organisation informatique Sécurité logique et exploitation Sécurité des applications Avec 27 indicateurs répartis selon les 6 domaines

# Le déroulement Phase0: Définition des objectifs de sécurité et du champ d’action Phase1: Audit des vulnérabilités (questionnaires) →Rosace

# Phase2: Analyse des risques répartir les risques en majeurs (RM) et simples (RS). Phase3:Elaboration du plan d’action Décision du degré d'amélioration à apporter pour réduire ces risques et idéalement atteindre la note globale de 3. Définition des moyens

# MEHARI(Méthode Harmonisée d’Analyse de RIsques) Parmi les méthodes les plus utilisées (CLUSIF) Le logiciel RISICARE développé par la société BUC SA est un outil de gestion des risques basé sur la méthode Mehari.

1. Phase Préparatoire

Cette phase consiste à étudier le contexte et le périmètre de l’étude. Il s’agit d’identifier les événements pouvant impacter le fonctionnement du SI . Il s’agit également de recenser et de classifier l’ensemble des actifs du SI. fixer les objectifs de sécurité, c’est-à-dire le niveau de sécurité requis en termes de confidentialité, d’intégrité et de disponibilité pour chaque actif identifié.

2. La phase d’analyse du risque

Identifier les situations susceptibles de remettre en cause un des objectifs de sécurité de l’entreprise.

Il s’agit d’élaborer des scénarios de risque et d’effectuer un diagnostic des services de sécurité. Une évaluation des risques (probabilité, impact) est réalisée, permettant par la suite d’exprimer les besoins de sécurité, et les mesures nécessaires au traitement du risque.

La phase de planification du traitement des risques

Cette phase consiste à analyser les scénarios de risque identifiés afin de décider du traitement à adopter :

• accepter le risque tel quel, • réduire le risque, c’est-à-dire prendre des mesures pour réduire l’impact ou la potentialité du risque, • éviter le risque, c’est-à-dire supprimer l’origine du risque par des mesures structurelles ou organisationnelles, • transférer le risque http://infoqualite.accordance.fr/dossiers/dossiers.php?id_dossier=176