Risk Assessment (Évaluation des Risques)

Définition

Le Risk Assessment (évaluation des risques) est le processus structuré d'identification, d'analyse et de hiérarchisation des risques de cybersécurité auxquels une organisation est exposée, constituant le fondement méthodologique de toute stratégie de sécurité pilotée par les risques plutôt que par une conformité purement déclarative déconnectée du contexte réel de l'organisation. La démarche débute par l'identification des actifs critiques — systèmes d'information, données sensibles, processus métiers essentiels — et des menaces susceptibles de les affecter, suivie de l'évaluation de leur niveau de vulnérabilité et de la probabilité d'occurrence de chaque scénario de risque envisagé, généralement exprimé comme le produit de cette probabilité et de l'impact potentiel associé. Plusieurs méthodologies encadrent cette démarche : EBIOS Risk Manager, développée par l'ANSSI et privilégiant une approche par scénarios centrés sur les sources de risque ; l'ISO 27005, cadre international complémentaire à l'ISO 27001 ; ou FAIR, offrant une approche quantitative exprimant le risque en termes financiers. Les résultats obtenus permettent de prioriser objectivement les investissements de sécurité vers les risques les plus critiques et de décider d'un traitement approprié pour chacun : réduction par des mesures de sécurité, transfert via une cyber-assurance, évitement, ou acceptation formelle documentée. Ce processus n'est jamais figé mais réévalué périodiquement, notamment lors de changements technologiques ou d'incidents révélant de nouvelles expositions.