smsi:analyse_des_risques

Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Les deux révisions précédentes Révision précédente
Prochaine révision		 Révision précédente
smsi:analyse_des_risques [2026/10/15 07:48] – cardynalsmsi:analyse_des_risques [2026/10/25 13:37] (Version actuelle) – cardynal
Ligne 1: Ligne 1:
 +~~NOCACHE~~
 +====== Analyse des risques ======
 <data doc> <data doc>
-TypeDoc: PROC+TypeDoc*: POL, PROC
 Processus: RISK Processus: RISK
 </data> </data>
  
-====== Analyse des risques ======+<note warning> 
 +A réécrire dans le style d'une procédure 
 +</note> 
 + 
 +===== Politique d'analyse des risques ===== 
 +==== Objectifs ==== 
 +L'analyse des risques vise à déterminer les mesures à mettre en œuvre pour protéger les informations du domaine d'application du SMSI et à prioriser leurs actions de déploiement. 
 +==== Définitions ==== 
 +Dans le cadre de ce SMSI, on adopte les définitions suivantes: 
 +  * Critère de sécurité: l'une des objectifs de protection des informations: disponibilité, intégrité ou confidentialité. 
 +  * Classe d'information: ensemble d'informations à protéger homogène au regard des impacts qu'aurait la perte de l'un des critères de sécurité. Les classes d'information sont identifiées dans la [[déclaration de politique de sécurité#Classification|déclaration de politique de sécurité]]. 
 +  * Évènement redouté: perte d'un critère de sécurité sur une classe d'information. 
 +  * Gravité: appréciation de l'impact de l'événement redouté sur la tenue des objectifs de sécurité de l'Organisation. 
 +  * Risque: survenue d'un événement redouté, du fait d'un scénario. 
 +  * Scénario: séquence d'événement conduisant à la survenue d'un événement redouté. 
 +  * Vraisemblance du scénario: appréciation de la probabilité de survenue d'un scénario donné. 
 +  * Vraisemblance du risque: appréciation de la probabilité du risque, compte tenu de tous les scénarios qui peuvent y mener 
 +  * Mesure: disposition technique ou organisationnelle permettant de réduire la vraisemblance d'un ou plusieurs scénarios. 
 +==== Responsabilités ==== 
 +Le Coordinateur de la Sécurité de l'Information anime la démarche d'analyse des risques. Il organise et pilote les réunions d'évaluation et de planification, auxquelles participent les responsables opérationnels en fonction des thématiques retenues pour chaque réunion. Il consigne les évaluation et décisions dans le présent outil. 
 + 
 +La Directrice Générale appuie la démarche, et tranche en dernier recours en cas de difficulté à établir une décision de traitement. 
 +===== Procédure d'analyse des risques ===== 
 + 
 +==== Identification des événements redoutés ==== 
 +==== Recherche des scénarios ==== 
 +==== Évaluation des niveaux de risque ==== 
 +==== Décision de traitement ==== 
 +==== Identification des mesures ==== 
 +==== Contre-examen des mesures ==== 
 +==== Déclaration d'applicabilité ==== 
 +==== Planification des actions ==== 
 +==== Revue en COPIL SMSI ==== 
 +==== Revue en réunion de direction ==== 
 +===== Enregistrements ===== 
 + 
 + 
 + 
 + 
 + 
 + 
 + 
 + 
 + 
 + 
 + 
 + 
 ===== Méthode ===== ===== Méthode =====
 La méthode d'analyse des risques est dérivée de EBIOS 2010. La méthode d'analyse des risques est dérivée de EBIOS 2010.
Ligne 20: Ligne 69:
 on évalue l'impact sur les missions (et sur les personnes concernées, dans le cas de données personnelles) de la perte de ce critère sur chaque classe de données. Ces pertes sont les **événements redoutés**, et l'impact est coté selon une échelle de **gravité**. on évalue l'impact sur les missions (et sur les personnes concernées, dans le cas de données personnelles) de la perte de ce critère sur chaque classe de données. Ces pertes sont les **événements redoutés**, et l'impact est coté selon une échelle de **gravité**.
  
-La question est alors, pour chaque événement redouté, d'évaluer sa **vraisemblance**. Pour cela, on va considérer un certain nombre de scénarios, et pour chacun d'entre eux : +La question est alors, pour chaque événement redouté, d'évaluer sa **vraisemblance**. Pour cela, on va considérer un certain nombre de scénarios pouvant conduire à la survenue d'événements redoutés.
-  * Les événements redoutés qui peuvent en découler. +
-  * La vraisemblance de ce scénario, estimée dans trois contextes : +
-    * De manière théorique, en l'absence de toute mesure destinée à éviter sa survenue : ** vraisemblance initiale **. +
-    * Compte tenu des mesures actuellement en vigueur : ** vraisemblance courante ** +
-    * Compte tenu de mesures planifiées : ** vraisemblance future **+
  
 Pour aider à l'identification de scénario, on s'appuie sur des listes élaborées a priori : Pour aider à l'identification de scénario, on s'appuie sur des listes élaborées a priori :
Ligne 40: Ligne 84:
 La vraisemblance du risque est estimée à partir de la vraisemblance des scénarios. Plusieurs méthodes de calcul existent, notamment pour aggraver la vraisemblance d'un risque comportant de nombreux scénarios de survenue, mais en définitive le simple choix de prendre la vraisemblance maximum parmi tous les scénarios suffit en pratique à identifier les risques à traiter en priorité. La vraisemblance du risque est estimée à partir de la vraisemblance des scénarios. Plusieurs méthodes de calcul existent, notamment pour aggraver la vraisemblance d'un risque comportant de nombreux scénarios de survenue, mais en définitive le simple choix de prendre la vraisemblance maximum parmi tous les scénarios suffit en pratique à identifier les risques à traiter en priorité.
  
-Pour chaque scénario, on liste les mesures permettant de réduire sa vraisemblance, hiérarchisées selon trois paliers : essentielles, principales et secondaires. La mise en œuvre de l'ensemble des mesures d'un palier réduit la vraisemblance du scénario.+Pour chaque scénario, on liste les mesures permettant de réduire sa vraisemblance, hiérarchisées selon trois paliers : essentielles, principales et secondaires. La mise en œuvre de l'ensemble des mesures d'un palier réduit la vraisemblance du scénario à un niveau défini dans la description du scénario.
  
 Le **niveau de risque** s'obtient en multipliant le rang de la gravité par celui de la vraisemblance pour obtenir un indicateur chiffré. On le complète par des seuils de niveau qui permettent d'orienter la décision de traitement comme décrit dans la [[Déclaration de politique de sécurité]]. Le **niveau de risque** s'obtient en multipliant le rang de la gravité par celui de la vraisemblance pour obtenir un indicateur chiffré. On le complète par des seuils de niveau qui permettent d'orienter la décision de traitement comme décrit dans la [[Déclaration de politique de sécurité]].
Ligne 49: Ligne 93:
   * le **report contractuel**, que ce soit vers un client (protection des mots de passe)ou un sous-traitant (recours à un hébergeur extérieur).   * le **report contractuel**, que ce soit vers un client (protection des mots de passe)ou un sous-traitant (recours à un hébergeur extérieur).
   * l'**évitement**, c'est à dire l'abandon du traitement ou de l'usage dans lequel ce risque pourrait se manifester.   * l'**évitement**, c'est à dire l'abandon du traitement ou de l'usage dans lequel ce risque pourrait se manifester.
- 
 ===== Déroulement ===== ===== Déroulement =====
 L'analyse des risques est révisée au moins une fois par an à l'occasion du [[organisation_et_gouvernance#les_reunions_du_copil_smsi|COPIL SMSI]] de septembre. L'analyse des risques est révisée au moins une fois par an à l'occasion du [[organisation_et_gouvernance#les_reunions_du_copil_smsi|COPIL SMSI]] de septembre.
Ligne 88: Ligne 131:
 Les niveaux de risque résiduel pour chaque critère sont consultables [indicateurs|ici]]. Les niveaux de risque résiduel pour chaque critère sont consultables [indicateurs|ici]].
  
-===== Documents ===== +===== Enregistrements ===== 
-  * Plans de traitement archivés +  * Les pages des risques, scénarios et mesures 
-  * Plan unique des actions+  * Les présentations en réunion trimestrielle du Comité de Pilotage: tableau des risques, plan de traitement.
  
  • smsi/analyse_des_risques.1792050483.txt.gz
  • Dernière modification : 2026/10/15 07:48
  • de cardynal