Réalisation de l'analyse des risques

L'analyse des risques s'appuie sur le modèle suivant.

• Les données structurées portées dans le diagramme et saisies comme des attributs Strata de la page.
• Des textes descriptifs
• Des données calculées avec des requêtes Strata ou par l'extension ISMSAddons.

Lorsque l'opération est sélectionnée dans la barre d'outils à droite de la page, les données supplémentaires suivantes sont calculées:

• Pour les scénarios
  • stade: le palier de mesures en cours de traitement: mesures1 (mesures essentielles), mesures2 (mesures principales) ou mesures3 (mesures secondaires).
  • Vc: la vraisemblance courante, compte tenu des paliers de mesures déjà effectives.
  • Vf: la vraisemblance future, atteinte lorsque toutes les mesures du palier en cours seront effectives
  • Vmin: la vraisemblance finale, lorsque les mesures de tous les paliers seront effectives
  • mesures: l'agrégat de toutes les mesures pertinentes, quel que soit leur palier.
• Pour les risques
  • Vc: Vraisemblance courante, soit la vraisemblance courante la plus élevée des scénarios associés au risque.
  • Vf: Vraisemblance future, soit la prochaine vraisemblance atteignable en appliquant des mesures de sécurité aux scénarios les plus probables.
  • Vmin: Vraisemblance finale, soit la vraisemblance atteignable lorsque toutes les mesures des trois paliers seront appliquées à tous les scénarios.
  • Echéance: l'échéance à laquelle la vraisemblance Vf devrait être atteinte, ou XXX si elle ne peut être déterminée (mesures non planifiées).
  • NiveauRisque: Le produit de la vraisemblance courante par la gravité
  • ClasseRisque: la classe (selon le paramétrage actuel: prioritaire, à surveiller ou acceptable) associée au niveau de risque actuel
  • NiveauRisqueF et ClasseRisqueF pour la vraisemblance future
  • NiveauRisqueMin et ClassRisqueMin pour la vraisemblance finale.

Les données initiales et calculées sont utilisées dans les pages des différentes entités et dans des pages de synthèse: matrice des risques, déclaration d'applicabilité et plan de traitement.

Le tableau des risques représente les niveaux courants, futurs et finaux des risques, ainsi que leur classification.

Il est obtenu par une macro spécifique ~~RISKTABLE~~ exposée par l'extension ISMSAddons. Une variante ~RISKTABLE:blank~~ permet d'obtenir un tableau vierge, utilisé dans la déclaration de politique de sécurité.

Il est complété par une table Strata comportant les mêmes données sous forme de texte, complétées par l'échéance de baisse du niveau de risque.

La déclaration d'applicabilité est obtenue par une simple requête Strata qui liste l'ensemble des mesures, leur libellé, leur statut, et leur justification.

Par convention, lorsque le texte de justification est “Traitement des risques”, la ligne est complétée avec la liste des risques traités par la mesure.

Une requête complémentaire fournit le comptage des mesures par statut. En l'absence de mesures spécifiques additionnelles, le total doit être égal à 93, correspondant aux 93 mesures de l'annexe A.

Le plan de traitement est présenté de manière à identifier les mesures prioritaires, c'est à dire celles appartenant au prochain palier pour les scénarios les plus vraisemblables pour chaque risque et qui ne sont pas encore effectives.

Il est constitué de plusieurs requêtes Strata.

Pour obtenir ce résultat, on considère pour chaque risque:

• Si sa décision de traitement est de le réduire
• Si c'est le cas, les scénarios dont la vraisemblance courante est identique à la vraisemblance courante du risque,
• et pour chacun de ces scénarios uniquement les mesures programmées appartenant au palier en cours.

Une seconde table présente les mêmes informations, mais par mesure prioritaire, et en assignant à chaque mesure un poids de priorisation égal à la somme des niveaux des risques impactés. L'information est complétée avec l'échéance à laquelle l'ensemble des mesures prioritaires devront être effectives.

Enfin, une dernière table reprend l'ensemble des mesures programmées contribuant à réduire un risque, qu'elles soient prioritaires ou pas.

La page d'un risque commence par une table d'en-tête (modèle header) récapitulant sa gravité, sa vraisemblance, sa classe et la décision de traitement.

On a ensuite des sections textuelles:

• Atteinte pour le détail du risque
• Impacts possibles pour la justification de sa gravité

Puis une section Scénarios liés (modèle scenarios) récapitulant les scénarios, classés par ordre décroissant de vraisemblance courante.

En bas de page, le bloc de données à saisir pour les attributs et les scénarios.

La page d'un scénario commence par une table d'en-tête (modèle header) rappelant ses vraisemblances actuelle, future et finale, ainsi que l'échéance de la prochaine réduction de vraisemblance.

Suivant deux sections textuelles:

• Description, pour préciser la signification du scénario
• Exemples, qui permet de donner des exemples concrets propres au domaine d'application

Puis des sections calculées:

• Niveaux de vraisemblance (modèle paliers) qui rappelle les vraisemblances atteignables aux trois paliers de mesures.
• Mesures (modèle mesures) qui liste les mesures triées par palier, leur statut et, pour les mesures programmées, leur échéance.
• Risques liés (modèle risques) qui liste les risques pour lesquels on a saisi que ce scénario était pertinent.

En bas de page, le bloc de données permet de saisir les attributs du scénario, les listes des mesures des trois paliers et la liste des actifs dont la défaillance pourrait provoquer le scénario.

Les mesures programmées sont des pages avec deux types: ce sont des mesures et des actions. L'échéance est liée à la notion d'action.

La page d'une mesure commence par un tableau d'en-tête (modèle header) rappelant son statut, et si c'est une mesure programmée son échéance.

On a ensuite trois sections textuelles:

• Attendus rappelle quels sont les attendus typiques pour la mise en œuvre de cette mesure. C'est une aide qui synthétise les points essentiels de la 27002.
• Mise en œuvre expose les grandes lignes de mise en œuvre de la mesure dans le SMSI. C'est un résumé d'informations qui doivent obligatoirement se retrouver dans des politiques, procédures ou modes opératoires.
• Preuves est une série de renvois aux preuves de définition (procédures) et d'exécution (enregistrements) de la mesure.

Puis deux sections calculées:

• Scénarios liés (modèle scenarios)
• Risques traités (modèle risques)

Enfin, le bloc de données de la mesure (statut, justification, capacités) et, s'il s'agit d'une mesure programmée, le bloc de données de l'action (statut, échéance, pilote, avancement).

La page d'un actif comporte principalement des sections documentaires sur les procédures d'exploitation.

On y trouve toutefois une table calculée d'impact potentiel de l'actif sur les critères. Cet impact est calculé en considérant tous les scénarios liés à l'actif, puis les risques induits par ces scénarios et portant sur une classe de données associée à l'actif. Cette restriction par les classes de données est nécessaire car un scénario générique, comme par exemple la panne d'un matériel, peut concerner plusieurs actifs pourtant porteurs de données de sensibilités différentes.

Pour permettre cela, le bloc de données en bas de page liste les classes de données portées ou impactées par l'actif.