Risk

Définition

En cybersécurité, le risque représente la probabilité qu'une menace exploite une vulnérabilité et l'impact potentiel résultant sur les actifs d'une organisation. La formule classique du risque — Risque = Probabilité × Impact × Vulnérabilité — synthétise la relation entre ces trois composantes fondamentales. La gestion des risques (Risk Management) est le processus structuré d'identification, d'analyse, d'évaluation et de traitement des risques de sécurité. Elle constitue le socle de toute stratégie de cybersécurité mature. Sans gestion formelle des risques, les investissements en sécurité sont souvent mal ciblés, dépensés sur des risques visibles mais non prioritaires plutôt que sur les menaces réelles les plus impactantes. Le processus de gestion des risques suit généralement les étapes suivantes : établissement du contexte (périmètre, objectifs, critères d'acceptation), identification des risques (actifs, menaces, vulnérabilités), analyse des risques (évaluation de la probabilité et de l'impact), évaluation des risques (comparaison avec les seuils d'acceptabilité), traitement des risques (accepter, réduire, transférer, éviter), et communication et surveillance continue. Les options de traitement des risques sont au nombre de quatre. L'acceptation du risque s'applique lorsque le coût du traitement dépasse le préjudice potentiel. La réduction du risque (mitigation) consiste à mettre en œuvre des contrôles de sécurité qui réduisent la probabilité ou l'impact. Le transfert du risque passe par l'assurance cyber ou la sous-traitance à un tiers. L'évitement du risque consiste à ne pas réaliser l'activité génératrice de risque. Les frameworks de gestion des risques incluent ISO 27005 (gestion des risques de sécurité de l'information), NIST SP 800-30 (guide de gestion des risques IT), EBIOS Risk Manager (méthode française de l'ANSSI), OCTAVE et FAIR (Factor Analysis of Information Risk) pour une quantification financière. La cyber-assurance est devenue un complément indispensable au transfert du risque résiduel. Les assureurs exigent désormais des preuves de contrôles de sécurité robustes — MFA, EDR, sauvegardes testées, plan de réponse aux incidents — avant de proposer une couverture, faisant de la souscription un levier indirect d'amélioration de la posture sécurité.