Analyse de Risques

Définition

L'Analyse de Risques, dans son acception cybersécurité, est le processus systématique par lequel une organisation identifie les actifs informationnels critiques, les menaces susceptibles de les affecter, les vulnérabilités exploitables et les impacts potentiels, afin d'évaluer et de hiérarchiser les risques de sécurité de l'information pesant sur son activité. La norme ISO 27001, dans sa clause 6.1.2, impose explicitement la définition d'une méthodologie d'appréciation des risques documentée et reproductible, généralement structurée autour d'une estimation croisant la vraisemblance d'occurrence d'un scénario de menace et la gravité de son impact potentiel, produisant un niveau de risque exploitable pour prioriser les traitements. En France, la méthode EBIOS Risk Manager de l'ANSSI constitue la référence méthodologique la plus répandue, structurant l'analyse autour de cinq ateliers successifs : cadrage du socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels et traitement du risque. Chaque risque identifié fait ensuite l'objet d'une décision de traitement, réduction par un contrôle de sécurité, transfert par assurance, évitement en supprimant l'activité concernée, ou acceptation formelle et documentée par la direction lorsque le niveau résiduel est jugé tolérable. L'analyse de risques n'est pas un exercice ponctuel mais un processus itératif, révisé périodiquement et lors de tout changement significatif du système d'information, condition centrale de conformité pour ISO 27001, NIS2 et de nombreux référentiels sectoriels.