Score de risque cyber

Définition

Le score de risque cyber est un indicateur synthétique qui traduit l'exposition d'une organisation aux menaces informatiques en une valeur chiffrée ou en une note qualitative. Il agrège plusieurs signaux : vulnérabilités techniques détectées, hygiène de sécurité du système d'information, historique d'incidents, posture de conformité aux référentiels comme ISO 27001 ou NIST CSF, et parfois données de threat intelligence externe sur la surface d'attaque exposée. Ce score sert d'abord d'outil de pilotage pour les RSSI et les comités de direction : il permet de comparer l'exposition de plusieurs filiales, de suivre une trajectoire de réduction du risque dans le temps, et de prioriser les investissements en cybersécurité selon un critère objectif. Certaines plateformes de notation externe, à la manière d'une agence de notation financière, calculent ce score sans accès interne, en s'appuyant uniquement sur des données observables depuis Internet comme les ports ouverts, les certificats expirés ou les fuites d'identifiants. Ce type de scoring est de plus en plus utilisé dans les due diligences fournisseurs, les négociations d'assurance cyber et le suivi de la chaîne d'approvisionnement numérique. Sa limite principale reste la qualité et la fraîcheur des données sous-jacentes, qui peuvent introduire des biais ou des faux positifs si elles ne sont pas contextualisées par une analyse humaine.