Risk Assessment
generalDéfinition
Processus structuré d'identification, d'analyse et de hiérarchisation des risques de cybersécurité, pierre angulaire de toute stratégie de sécurité basée sur les risques.
Processus en cinq étapes
Identification des actifs à protéger, identification des menaces, identification des vulnérabilités exploitables, analyse du risque (probabilité x impact), et traitement du risque (réduction, transfert, acceptation, évitement). Ce processus doit être cyclique et continu.
Méthodologies
EBIOS RM (méthode ANSSI), ISO 27005 (norme internationale), et FAIR (Factor Analysis of Information Risk) pour la quantification financière. La quantification en termes financiers permet de communiquer avec la direction et de justifier les investissements de sécurité.
Processus continu
L'évaluation doit être mise à jour au minimum annuellement ou lors de changements significatifs. Les outils GRC automatisent le suivi des risques et la génération des rapports. L'approche risk-based guide l'allocation des ressources de sécurité vers les risques les plus critiques.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis