man:man_risk [SMSI-Demo]

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
====== Réalisation de l'analyse des risques ======

===== Méthode =====
L'analyse des risques s'appuie sur le modèle suivant.

<mermaid>
erDiagram
    RISQUE }|..|{ SCENARIO : causé_par
    SCENARIO }|..|{ MESURE : mesures_essentielles
    SCENARIO }|..|{ MESURE : mesures_principales
    SCENARIO }|..|{ MESURE : mesures_secondaires
    SCENARIO }|..|{ MESURE : autres_mesures           
    SCENARIO }|..|{ ACTIF : déclenché_via

    RISQUE {
     string label "Titre de la page"
     enum Critère "Critère DICA"
     enum* Classe_de_données "Selon classification"
     int Gravité "Impact de la perte du critère"
     enum Traitement "Indéfini|Accepter|Réduire|Transférer|Eviter"
    }
    SCENARIO {
        string label "Titre de la page"
        enum* Source "La cause du scénario"
        enum* Mode "Selon modes EBIOS"
        int V0 "Vraisemblance initiale"
        int VF1 "Vraisemblance après mesures essentielles"
        int VF2 "Vraisemblance après mesures principales"
        int VF3 "Vraisemblance après mesures secondaires"
    }
    MESURE {
        string label "Titre de la page"
        enum Statut "Initial|Programmée|Effective|Non retenue"
        string Justification "Justification d'inclusion ou d'exclusion"
        enum* Capacités "Selon ISO 27002"
        string Echéance "Sous la forme AATx, par exemple 26T3"
    }
    ACTIF {
        enum Propriétaire "Personne identifiée"
        enum Suppléant "Personne identifiée"
        enum* Classe_de_données "Selon classification"
    }
    
</mermaid>
Les entités figurant dans ce diagramme sont des pages du Wiki créées à partir de modèles, puis peuplées avec:
  * Les données structurées portées dans le diagramme et saisies comme des attributs Strata de la page.
  * Des textes descriptifs
  * Des données calculées avec des requêtes Strata ou par l'extension ISMSAddons.

Lorsque l'opération {{smsi:isms_icon.svg?30}} est sélectionnée dans la barre d'outils à droite de la page, les données supplémentaires suivantes sont calculées:
  * Pour les scénarios
    * ''stade'': le palier de mesures en cours de traitement: mesures1 (mesures essentielles), mesures2 (mesures principales) ou mesures3 (mesures secondaires).
    * ''Vc'': la vraisemblance courante, compte tenu des paliers de mesures déjà effectives.
    * ''Vf'': la vraisemblance future, atteinte lorsque toutes les mesures du palier en cours seront effectives
    * ''Vmin'': la vraisemblance finale, lorsque les mesures de tous les paliers seront effectives
    * ''mesures'': l'agrégat de toutes les mesures pertinentes, quel que soit leur palier.
    * 
  * Pour les risques
    * ''Vc'': Vraisemblance courante, soit la vraisemblance courante la plus élevée des scénarios associés au risque.
    * ''Vf'': Vraisemblance future, soit la prochaine vraisemblance atteignable en appliquant des mesures de sécurité aux scénarios les plus probables.
    * ''Vmin'': Vraisemblance finale, soit la vraisemblance atteignable lorsque toutes les mesures des trois paliers seront appliquées à tous les scénarios.
    * ''Echéance'': l'échéance à laquelle la vraisemblance ''Vf'' devrait être atteinte, ou XXX si elle ne peut être déterminée (mesures non planifiées).
    * ''NiveauRisque'': Le produit de la vraisemblance courante par la gravité
    * ''ClasseRisque'': la classe (selon le paramétrage actuel: prioritaire, à surveiller ou acceptable) associée au niveau de risque actuel
    * ''NiveauRisqueF'' et ''ClasseRisqueF'' pour la vraisemblance future
    * ''NiveauRisqueMin'' et ''ClassRisqueMin'' pour la vraisemblance finale.

Les données initiales et calculées sont utilisées dans les pages des différentes entités et dans des pages de synthèse: matrice des risques, déclaration d'applicabilité et plan de traitement.
===== Pages de synthèse =====
==== Tableau des risques ====
Le [[smsi:tableau des risques]] représente les niveaux courants, futurs et finaux des risques, ainsi que leur classification.

Il est obtenu par une macro spécifique ''%%~~RISKTABLE~~%%'' exposée par l'extension ISMSAddons. Une variante ''%%~RISKTABLE:blank~~%%'' permet d'obtenir un tableau vierge, utilisé dans la [[smsi:déclaration de politique de sécurité]].

Il est complété par une table Strata comportant les mêmes données sous forme de texte, complétées par l'échéance de baisse du niveau de risque.

==== Déclaration d'applicabilité ====
La [[smsi:déclaration d'applicabilité]] est obtenue par une simple requête Strata qui liste l'ensemble des mesures, leur libellé, leur statut, et leur justification.

Par convention, lorsque le texte de justification est "Traitement des risques", la ligne est complétée avec la liste des risques traités par la mesure.

Une requête complémentaire fournit le comptage des mesures par statut. En l'absence de mesures spécifiques additionnelles, le total doit être égal à 93, correspondant aux 93 mesures de l'annexe A.

==== Plan de traitement ====
Le [[smsi:plan de traitement]] est présenté de manière à identifier les mesures prioritaires, c'est à dire celles appartenant au prochain palier pour les scénarios les plus vraisemblables pour chaque risque et qui ne sont pas encore effectives.

Il est constitué de plusieurs requêtes Strata.
=== Mesures prioritaires, classées par risque ===
Pour obtenir ce résultat, on considère pour chaque risque:
  * Si sa décision de traitement est de le réduire
  * Si c'est le cas, les scénarios dont la vraisemblance courante est identique à la vraisemblance courante du risque, 
  * et pour chacun de ces scénarios uniquement les mesures programmées appartenant au palier en cours. 

=== Mesures prioritaires, classées par mesure ===
Une seconde table présente les mêmes informations, mais par mesure prioritaire, et en assignant à chaque mesure un poids de priorisation égal à la somme des niveaux des risques impactés.
L'information est complétée avec l'échéance à laquelle l'ensemble des mesures prioritaires devront être effectives.

=== Toutes les mesures programmées ===
Enfin, une dernière table reprend l'ensemble des mesures programmées contribuant à réduire un risque, qu'elles soient prioritaires ou pas.

===== Pages des entités =====
==== Risque ====
La page d'un risque commence par une table d'en-tête (modèle [[template:risk_tpl#header]]) récapitulant sa gravité, sa vraisemblance, sa classe et la décision de traitement.

On a ensuite des sections textuelles:
  * **Atteinte** pour le détail du risque
  * **Impacts possibles** pour la justification de sa gravité

Puis une section **Scénarios liés** (modèle [[template:risk_tpl#scenarios]]) récapitulant les scénarios, classés par ordre décroissant de vraisemblance courante.

En bas de page, le bloc de données à saisir pour les attributs et les scénarios.

==== Scénario ====
La page d'un scénario commence par une table d'en-tête (modèle [[template:scn_tpl#header]]) rappelant ses vraisemblances actuelle, future et finale, ainsi que l'échéance de la prochaine réduction de vraisemblance.

Suivant deux sections textuelles:
  * **Description**, pour préciser la signification du scénario
  * **Exemples**, qui permet de donner des exemples concrets propres au domaine d'application

Puis des sections calculées:
  * **Niveaux de vraisemblance** (modèle [[template:scn_tpl#paliers]]) qui rappelle les vraisemblances atteignables aux trois paliers de mesures.
  * **Mesures** (modèle [[template:scn_tpl#mesures]]) qui liste les mesures triées par palier, leur statut et, pour les mesures programmées, leur échéance.
  * **Risques liés** (modèle [[template:scn_tpl#risques]]) qui liste les risques pour lesquels on a saisi que ce scénario était pertinent.

En bas de page, le bloc de données permet de saisir les attributs du scénario, les listes des mesures des trois paliers et la liste des actifs dont la défaillance pourrait provoquer le scénario.
==== Mesure ====
Les mesures programmées sont des pages avec deux types: ce sont des mesures et des actions. L'échéance est liée à la notion d'action.

La page d'une mesure commence par un tableau d'en-tête (modèle [[template:mes_tpl#header]]) rappelant son statut, et si c'est une mesure programmée son échéance.

On a ensuite trois sections textuelles:
  * **Attendus** rappelle quels sont les attendus typiques pour la mise en œuvre de cette mesure. C'est une aide qui synthétise les points essentiels de la 27002.
  * **Mise en œuvre** expose les grandes lignes de mise en œuvre de la mesure dans le SMSI. C'est un résumé d'informations qui doivent obligatoirement se retrouver dans des politiques, procédures ou modes opératoires.
  * **Preuves** est une série de renvois aux preuves de définition (procédures) et d'exécution (enregistrements) de la mesure.

Puis deux sections calculées:
  * **Scénarios liés** (modèle [[template:mes_tpl#scenarios]])
  * **Risques traités** (modèle [[template:mes_tpl#risques]])

Enfin, le bloc de données de la mesure (statut, justification, capacités) et, s'il s'agit d'une mesure programmée, le bloc de données de l'action (statut, échéance, pilote, avancement).

==== Actif ====
La page d'un actif comporte principalement des sections documentaires sur les procédures d'exploitation.

On y trouve toutefois une table calculée d'impact potentiel de l'actif sur les critères. Cet impact est calculé en considérant tous les scénarios liés à l'actif, puis les risques induits par ces scénarios et portant sur une classe de données associée à l'actif. Cette restriction par les classes de données est nécessaire car un scénario générique, comme par exemple la panne d'un matériel, peut concerner plusieurs actifs pourtant porteurs de données de sensibilités différentes.

Pour permettre cela, le bloc de données en bas de page liste les classes de données portées ou impactées par l'actif.
===== Paramétrage =====
Les paramètres de l'analyse des risques sont rassemblés pour ce site dans la page [[param:risk|param:risk]].

Ils se présentent sous la forme d'énumérés Strata, c'est à dire de blocs de données associant un libellé et un code. Les noms de ces blocs de données sont utilisés dans les requêtes et dans l'extension ISMSAddons, et ne doivent donc pas être modifiés.

^ Nom     ^ Rôle                ^ Commentaire ^
^ Critère | Critères de risques |  Typiquement Disponibilité (D), Intégrité (I), Confidentialité (C), éventuellement Auditabilité (A) ou Preuve (P) |
^ DataClass | Catégories de données | Selon la classification établie dans la [[smsi:Déclaration de politique de sécurité]] |
^ Gravité | Gravité des événements redoutés | Valeur numérique, échelle à documenter pour assurer l'homogénéité des évaluations |
^ Vraisemblance | Vraisemblance des scénarios | Valeur numérique, échelle à documenter pour assurer l'homogénéité des évaluations |
^ NiveauRisque | Seuils de catégorisation des niveaux | La valeur est le seuil haut pour le produit Gravité x Vraisemblance |
^ CouleurRisque | Codes couleurs pour la matrice des risques | Codes RVB pour le tableau des risques, avec les mêmes libellés que NiveauRisque |
^ Traitement des risques | Décision de traitement | Valeurs à ne pas modifier, Réduire (R) est utilisé dans plusieurs requêtes |
^ NivMes | Niveaux des mesures | Libellés pour les niveaux de Mesures1 à Mesures4 |
^ Mode | Mode de défaillance | Issus d'EBIOS, permettent de caractériser des scénarios |
^ Source | Source de défaillance | Origine de la défaillance pouvant toucher un ou plusieurs actifs, permet de caractériser des scénarios |