Échelle de vraisemblance et de gravité (ISO 27005)

Définition

L'échelle de vraisemblance et de gravité est l'outil méthodologique utilisé dans le cadre de l'appréciation des risques de sécurité de l'information, conformément aux principes de la norme ISO 27005, permettant de qualifier chaque risque identifié selon deux dimensions distinctes et complémentaires : la vraisemblance, qui exprime la probabilité qu'un scénario de risque se réalise effectivement compte tenu du contexte de l'organisation et des menaces identifiées, et la gravité, également appelée impact, qui exprime l'ampleur des conséquences si ce scénario venait à se matérialiser, en tenant compte de critères comme l'impact financier, l'impact sur la réputation, l'impact réglementaire ou l'impact sur la continuité des activités. Ces deux dimensions sont généralement graduées sur des échelles à plusieurs niveaux, fréquemment de trois à cinq échelons allant de faible à très élevé, définis avec des critères objectifs et documentés pour limiter la part de subjectivité dans leur application par différents évaluateurs au sein de l'organisation. Le croisement de ces deux échelles, matérialisé sous forme d'une matrice de risque, permet d'obtenir un niveau de risque global pour chaque scénario identifié, servant de base à la comparaison avec les critères d'acceptation du risque définis par l'organisation et à la priorisation des mesures de traitement à mettre en œuvre en priorité sur les risques jugés les plus critiques.