Ce document de type Politique, Procédure s'applique au processus Gestion des risques
Sa diffusion est limitée à PILOTAGE SMSI.
L'analyse des risques vise à déterminer les mesures à mettre en œuvre pour protéger les informations du domaine d'application du SMSI et à prioriser leurs actions de déploiement.
Dans le cadre de ce SMSI, on adopte les définitions suivantes:
Le Coordinateur de la Sécurité de l'Information anime la démarche d'analyse des risques. Il organise et pilote les réunions d'évaluation et de planification, auxquelles participent les responsables opérationnels en fonction des thématiques retenues pour chaque réunion. Il consigne les évaluation et décisions dans le présent outil.
La Directrice Générale appuie la démarche, et tranche en dernier recours en cas de difficulté à établir une décision de traitement.
La méthode d'analyse des risques est dérivée de EBIOS 2010.
S'agissant d'un système de management de la sécurité de l'information, on commence à identifier les informations que l'on cherche à protéger. Ces informations sont regroupées en classes homogènes en fonction des impacts que leur altération ou leur divulgation pourrait avoir sur les missions de l'organisme. Par exemple, on pourrait caractériser les données personnelles non sensibles, les données personnelles sensibles, les données financières, les paramétrages, les données sauvegardées, etc.
En terminologie EBIOS, ces données sont les biens essentiels.
Pour chacun des critères traditionnels de la sécurité de l'information :
on évalue l'impact sur les missions (et sur les personnes concernées, dans le cas de données personnelles) de la perte de ce critère sur chaque classe de données. Ces pertes sont les événements redoutés, et l'impact est coté selon une échelle de gravité.
La question est alors, pour chaque événement redouté, d'évaluer sa vraisemblance. Pour cela, on va considérer un certain nombre de scénarios pouvant conduire à la survenue d'événements redoutés.
Pour aider à l'identification de scénario, on s'appuie sur des listes élaborées a priori :
Ces listes permettent de guider la recherche, mais aussi a posteriori de retrouver lors d'un incident si un scénario similaire a celui qui s'est produit avait été envisagé dans l'analyse, et de la réactualiser au besoin.
Un équilibre doit être trouvé dans la description des scénarios : trop précis ils deviennent innombrables, trop généraux ils n'ont plus de signification. Le mieux est de pouvoir avoir une description assez générale illustrée par un ou plusieurs exemples concrets.
Un risque est un événement redouté associé à un ou plusieurs scénarios.
La vraisemblance du risque est estimée à partir de la vraisemblance des scénarios. Plusieurs méthodes de calcul existent, notamment pour aggraver la vraisemblance d'un risque comportant de nombreux scénarios de survenue, mais en définitive le simple choix de prendre la vraisemblance maximum parmi tous les scénarios suffit en pratique à identifier les risques à traiter en priorité.
Pour chaque scénario, on liste les mesures permettant de réduire sa vraisemblance, hiérarchisées selon trois paliers : essentielles, principales et secondaires. La mise en œuvre de l'ensemble des mesures d'un palier réduit la vraisemblance du scénario à un niveau défini dans la description du scénario.
Le niveau de risque s'obtient en multipliant le rang de la gravité par celui de la vraisemblance pour obtenir un indicateur chiffré. On le complète par des seuils de niveau qui permettent d'orienter la décision de traitement comme décrit dans la Déclaration de politique de sécurité.
Quatre options sont possible pour le traitement d'un risque :
L'analyse des risques est révisée au moins une fois par an à l'occasion du COPIL SMSI de septembre.
Elle est également actualisée :
Compte-tenu de la petite taille de l'équipe et de la participation de l'ensemble des responsables opérationnels au COPIL SMSI, il est collectivement propriétaire de chaque risque identifié, c'est à dire apte à prendre toute décision de traitement, y compris l'acceptation. En cas de désaccord, le responsable du Centre de Calcul est décisionnaire.
Les risques de niveau Prioritaire ne sont pas acceptables et doivent faire l'objet d'une autre décision de traitement.
Les risques de niveau A surveiller peuvent être acceptés pour l'instant. Ce critère pourra être durci au titre de l'amélioration continue lors de chaque COPIL SMSI de septembre.
La décision de traitement est consignée dans la fiche du risque (attribut Traitement et récapitulée dans la déclaration d'applicabilité. Si la décision de traitement est de réduire le risque, alors les mesures programmées contribuant à cette réduction sont récapitulées.
Conformément à la procédure de gestion des actions, toute mesure programmée peut être une action par elle-même, ou référencer des actions de traitement plus élémentaires.
A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée. Elle est matérialisée par la date d'échéance des actions de traitement, elles-mêmes hiérarchisées dans la justification des vraisemblances de chaque scénario.
Toutes les actions de traitement sont inscrites au plan unique des actions et suivies conformément à la procédure de gestion des actions.
Le Tableau des risques résume le niveau des risques résiduels. Il est actualisé et archivé à l'issue de chaque réunion trimestrielle du Comité de Pilotage. Voir Comptes-rendus des réunions du COPIL SMSI.~
Il est basé sur les éléments suivants:
Un plan de traitement est actualisé et archivé à l'issue de chaque réunion trimestrielle du Comité de Pilotage. Voir Comptes-rendus des réunions du COPIL SMSI.
Il récapitule pour chaque risque:
Les niveaux de risque résiduel pour chaque critère sont consultables [indicateurs|ici]].