Comprendre le processus de gestion des risques Cyber

Introduction

Les risques et les questions liées à la sécurité représentent une préoccupation constante des entreprises ainsi que du domaine de la cybersécurité, mais bien trop souvent, les organisations ne parviennent pas à gérer les risques de manière proactive.

L’évaluation et l’analyse des risques devraient être un exercice continu et complet dans toute organisation. En tant que RSSI ou membre de l’équipe de sécurité d’une organisation, vous travaillerez à l’évaluation, à l’analyse, à l’atténuation, à la correction et à la communication des risques.

Il existe de nombreux cadres et modèles utilisés pour faciliter le processus de gestion des risques, et chaque organisation, en fonction de son activité, détermine elle-même ce qui constitue un risque et le niveau de risque qu’elle est prête à accepter.

Cependant, il existe des points communs entre les termes, les concepts et les compétences nécessaires pour mesurer et gérer les risques.

Premièrement, une définition du risque est une mesure de la mesure dans laquelle une entité est menacée par une circonstance ou un événement potentiel. Il est souvent exprimé comme une combinaison de :

les répercussions négatives qui découleraient si la circonstance ou l’événement se produisait ;
la probabilité d’occurrence

Le risque lié à la sécurité de l’information reflète les répercussions négatives potentielles qui résultent de la possibilité d’un accès, d’une utilisation, d’une divulgation, d’une perturbation, d’une modification ou d’une destruction non autorisés de l’information ou des systèmes d’information.

Cette définition représente que le risque est associé aux menaces, à l’impact et à la probabilité, et elle indique également que le risque informatique est un sous-ensemble du risque métier.

Terminologie de la gestion des risques

Les professionnels de la sécurité utilisent leurs connaissances et leurs compétences pour examiner la gestion des risques opérationnels, déterminer comment utiliser efficacement les données sur les risques, travailler de manière inter fonctionnelle et communiquer des informations et des résultats exploitables aux parties prenantes concernées.

Des termes tels que menaces, vulnérabilités et actifs sont familiers à la plupart des professionnels de la cybersécurité.

Un actif est quelque chose qui a besoin d’être protégé.
Une vulnérabilité est une lacune ou une faiblesse dans ces efforts de protection.
Une menace est une personne ou une chose qui prend des mesures pour exploiter (ou utiliser) les vulnérabilités du système d’une organisation cible, dans le cadre de l’atteinte ou de la poursuite de son ou de ses objectifs.

Identification des Risques

Comment identifier les risques ?

Quand vous Marchez dans la rue en faisant attention à la circulation et à la recherche de flaques d’eau sur le sol ? Peut-être avez-vous remarqué des fils lâches sur votre bureau ou de l’eau sur le sol du bureau ? Si vous êtes déjà à l’affût des risques, vous serez en contact avec d’autres professionnels de la sécurité qui savent qu’il est nécessaire de creuser plus profondément pour trouver d’éventuels problèmes.

Dans le monde de la cybersécurité, l’identification des risques n’est pas une activité ponctuelle. Il s’agit d’un processus récurrent qui consiste à identifier les différents risques possibles, à les caractériser puis à estimer leur potentiel de perturbation de l’organisation.  
Il s’agit d’examiner votre entreprise unique et d’analyser sa situation unique. Les professionnels de la sécurité connaissent les plans stratégiques, tactiques et opérationnels de leur organisation.

Points à retenir au sujet de l’identification des risques :

Identifiez les risques pour les communiquer clairement.
Les employés de tous les niveaux de l’organisation sont responsables de l’identification des risques.
Identifiez les risques pour vous en protéger.

En tant que professionnel de la sécurité, vous êtes susceptible de participer à l’évaluation des risques au niveau du système, en vous concentrant sur les processus, le contrôle, la surveillance ou les activités de réponse aux incidents et de récupération.

Si vous travaillez avec une petite organisation ou une organisation qui ne dispose d’aucun plan et programme de gestion et d’atténuation des risques, vous aurez peut-être l’occasion d’aider à combler ce vide en matière de planification.

Priorités en matière de risques

Lorsque les risques ont été identifiés, il est temps de hiérarchiser et d’analyser les risques de base au moyen d’une analyse qualitative des risques et/ou d’une analyse quantitative des risques.

Cela est nécessaire pour déterminer la cause profonde et réduire les risques apparents et les risques principaux.

Les professionnels de la sécurité travaillent avec leurs équipes pour effectuer des analyses qualitatives et quantitatives.

Comprendre la mission globale de l’organisation et les fonctions qui soutiennent la mission aide à situer les risques dans leur contexte, à déterminer les causes profondes et à prioriser l’évaluation et l’analyse de ces éléments.

Dans la plupart des cas, la direction fournira des directives pour l’utilisation des résultats de l’évaluation des risques afin de déterminer un ensemble de mesures d’intervention prioritaires en cas de risque.

Une méthode efficace pour hiérarchiser les risques consiste à utiliser une matrice des risques, qui permet d’identifier la priorité comme l’intersection de la probabilité d’occurrence et de l’impact.

Cela donne également à l’équipe un langage commun à utiliser avec la direction pour déterminer les priorités finales.

Par exemple, une faible probabilité et un impact faible peuvent entraîner une priorité faible, tandis qu’un incident avec une probabilité élevée et un impact élevé entraînera une priorité élevée.

L’attribution d’un ordre de priorité peut être liée aux priorités de l’entreprise, au coût de l’atténuation d’un risque ou au risque de perte en cas d’incident.