Quatre mots, un seul enchaînement
Le vocabulaire du risque est le plus maltraité de la sécurité de l'information. Dans une même réunion, on entend « on a un risque de rançongiciel », « le risque, c'est que le serveur tombe » et « notre plus gros risque, c'est l'humain ». Trois phrases, trois confusions différentes. Ce n'est pas une question de pédanterie : tant que les quatre mots ne sont pas à leur place, le registre de risques ne sert à rien et les arbitrages de budget se font à l'intuition.
Quatre termes, définis proprement.
- Actif. Tout ce qui a de la valeur pour l'organisation : une information, un procédé, une machine, une personne, une réputation. Le module 1 a posé cette notion pour l'information et pour sa classification.
- Menace. Une cause potentielle d'un événement indésirable. Un groupe criminel, un incendie, une erreur de manipulation, une panne de disque. La menace existe que vous soyez là ou non, et vous n'avez aucune prise dessus.
- Vulnérabilité. Une faiblesse d'un actif, d'un procédé ou d'une mesure, qui permet à une menace de produire son effet. Un accès à distance sans second facteur, un employé jamais formé, une salle de serveurs sous une toiture plate. La vulnérabilité, elle, vous appartient.
- Risque. La combinaison de la vraisemblance qu'une menace exploite une vulnérabilité et de l'impact qui en résulte. C'est une grandeur composée, pas un objet du monde.
L'enchaînement se lit dans un seul sens : une menace exploite une vulnérabilité d'un actif et produit un impact. Le risque est ce que l'on obtient en qualifiant deux choses à la fois, la vraisemblance de l'enchaînement et l'ampleur de l'impact. Retirez un maillon et il n'y a plus de risque : une menace sans vulnérabilité correspondante ne produit rien, une vulnérabilité qu'aucune menace ne vise ne produit rien non plus, et un actif sans valeur ne mérite pas la dépense.
| Terme | Ce que c'est | À qui il appartient | Exemple filé : une commission scolaire |
|---|---|---|---|
| Actif | Ce qui a de la valeur | À vous | Les dossiers des élèves dans l'application de gestion scolaire |
| Menace | Cause potentielle d'un événement indésirable | Au monde | Un groupe criminel qui chiffre des serveurs contre rançon |
| Vulnérabilité | Faiblesse exploitable | À vous | Accès d'administration ouvert depuis internet, sans second facteur |
| Impact | Ce que l'on subit si cela arrive | À vous | Rentrée repoussée, dossiers indisponibles, notification à l'autorité de protection |
| Vraisemblance | Chance que l'enchaînement se produise | S'estime | Le mode opératoire vise ce secteur et la faiblesse se voit de l'extérieur |
| Risque | Combinaison des deux dernières lignes | Se décide | Interruption prolongée de la rentrée par chiffrement des serveurs |
La conséquence pratique justifie à elle seule tout ce vocabulaire : vous n'agissez jamais sur la menace, vous agissez sur la vulnérabilité et sur l'impact. Aucune décision d'une direction générale ne fera disparaître les groupes criminels ni les orages. Fermer l'accès d'administration, exiger un second facteur et tester la restauration des sauvegardes, en revanche, vous appartiennent. Une organisation qui discute des menaces sans jamais nommer ses vulnérabilités tourne à vide.
Écrire un énoncé de risque qui tient debout
« Risque de rançongiciel » n'est pas un risque. C'est une menace à laquelle on a collé le mot risque. On ne peut rien en faire : la phrase ne dit ni ce qui est touché, ni par quelle faiblesse, ni ce que l'organisation perdrait. Elle ne permet donc aucune décision, et c'est le seul test qui compte.
Un énoncé de risque utilisable tient en une phrase construite sur quatre appuis.
Une source de menace exploitant une vulnérabilité sur un actif, entraînant un impact sur un objectif de l'organisation.
Trois réécritures, tirées de ce qu'on lit vraiment dans les registres.
| Ce qui est écrit | Ce que cela devrait dire |
|---|---|
| Risque de rançongiciel | Un groupe criminel chiffre les serveurs de production en passant par un accès distant sans second facteur, et interrompt la facturation pendant plusieurs semaines |
| Risque humain | Un employé des achats vire des fonds à un faux fournisseur après un courriel usurpant l'identité du dirigeant, faute de contre-appel obligatoire au-delà d'un seuil |
| Risque de non-conformité | L'absence de registre des incidents de confidentialité empêche de notifier dans les délais prévus par la Loi 25, et expose à une sanction administrative |
Ces phrases sont longues. C'est voulu. Un énoncé de risque court est presque toujours un énoncé creux, parce qu'on ne le raccourcit qu'en supprimant l'un des quatre appuis. Le gain est concret : la colonne de droite se traite, la colonne de gauche se commente.
Le risque n'est pas l'incident. Le risque se conjugue au futur et il est probabiliste : il décrit quelque chose qui peut arriver. L'incident est au passé et il est certain : il décrit quelque chose qui est arrivé. Un risque qui se réalise cesse d'être un risque, il devient un incident, et il change de processus, de responsable et de rythme. Le module 4 suit ce passage de l'événement à l'incident déclaré.
Deux erreurs symétriques en découlent. La première consiste à remplir un registre de risques avec des incidents déjà survenus, ce qui donne un journal de bord sous un mauvais titre. La seconde consiste à juger la qualité d'une analyse à l'aune des incidents de l'année : un incident survenu ne prouve pas que l'estimation était fausse, et une année tranquille ne prouve pas qu'elle était juste. Une estimation de vraisemblance porte sur une population d'occasions, pas sur un tirage.
Appétit, tolérance, risque inhérent et risque résiduel
Deux couples de notions décident de ce que l'on fait des résultats d'une analyse. On les confond souvent, et cela se paie au moment d'arbitrer.
L'appétit pour le risque est la quantité de risque que l'organisation accepte de prendre pour atteindre ses objectifs. C'est une position, pas un chiffre : une coopérative agricole qui veut ouvrir un portail client en six semaines exprime, par ce calendrier, un appétit. La tolérance est l'écart admis autour de cette position, exprimé en seuils opérationnels : jusqu'à quatre heures d'interruption de la prise de commandes, aucune divulgation de renseignement personnel, pas plus d'une journée de saisie perdue.
L'appétit appartient à la direction. Ni au responsable de la sécurité, ni au comité de gestion des risques, qui ne peuvent que l'écrire et le faire confirmer. Le test est simple : un appétit qui n'a jamais servi à refuser un projet, ni à en autoriser un malgré un avis défavorable, n'existe pas. C'est un paragraphe de politique.
Le risque inhérent est le niveau de risque avant les mesures. Le risque résiduel est celui qui subsiste une fois les mesures en place et réellement efficaces. Les deux ne servent pas à la même chose. L'inhérent sert à hiérarchiser et à montrer ce que les mesures apportent. Le résiduel sert à décider : c'est lui, et lui seul, que l'on compare au critère d'acceptation, et c'est lui que quelqu'un approuve en y mettant son nom.
Deux pièges, dans les deux sens. Le premier consiste à calculer un risque inhérent comme si l'organisation n'avait ni serrure, ni sauvegarde, ni comptable : la fiction est si loin du réel que le chiffre ne veut plus rien dire. Le second consiste à ne présenter que le résiduel, ce qui rend les mesures invisibles et les désigne comme les premières à sauter au prochain exercice budgétaire.
Entre les deux se glisse la question qui fâche, et elle est toujours la même : les mesures que vous décomptez fonctionnent-elles ? Un pare-feu mal configuré, une sauvegarde jamais restaurée et une politique que personne n'a lue ne réduisent rien du tout, même si elles figurent dans un inventaire. Le module 3 revient sur ce qu'une mesure doit démontrer, et le module 6 sur la façon dont ISO/IEC 27001 ordonne l'appréciation, le traitement et l'acceptation.