Analyse des risques

Ceci est une ancienne révision du document !

Ce document de type Politique, Procédure s'applique au processus Gestion des risques

Sa diffusion est limitée à PILOTAGE SMSI.

A réécrire dans le style d'une procédure

La méthode d'analyse des risques est dérivée de EBIOS 2010.

S'agissant d'un système de management de la sécurité de l'information, on commence à identifier les informations que l'on cherche à protéger. Ces informations sont regroupées en classes homogènes en fonction des impacts que leur altération ou leur divulgation pourrait avoir sur les missions de l'organisme. Par exemple, on pourrait caractériser les données personnelles non sensibles, les données personnelles sensibles, les données financières, les paramétrages, les données sauvegardées, etc.

En terminologie EBIOS, ces données sont les biens essentiels.

Pour chacun des critères traditionnels de la sécurité de l'information :

Disponibilité : Propriété d'accessibilité au moment voulu des biens essentiels par les personnes autorisées.
Intégrité : Propriété d'exactitude et de complétude des biens essentiels.
Confidentialité : Propriété des biens essentiels de n'être accessibles qu'aux personnes autorisés.
Preuve : Propriété d'imputabilité des accès aux biens essentiels.

on évalue l'impact sur les missions (et sur les personnes concernées, dans le cas de données personnelles) de la perte de ce critère sur chaque classe de données. Ces pertes sont les événements redoutés, et l'impact est coté selon une échelle de gravité.

La question est alors, pour chaque événement redouté, d'évaluer sa vraisemblance. Pour cela, on va considérer un certain nombre de scénarios pouvant conduire à la survenue d'événements redoutés.

Pour aider à l'identification de scénario, on s'appuie sur des listes élaborées a priori :

De sources possibles : un intrus, du personnel, un événement naturel, etc…
De vecteurs possibles, c'est à dire l'élément matériel ou immatériel sur lequel porte le scénario : des serveurs, des réseaux, des procédures (arnaque au président), des locaux, des employés, etc. Ces vecteurs sont des actifs sensibles du SMSI.
De modes de défaillance : mauvais usage, dégradation, perte, saturation des capacités, etc.

Ces listes permettent de guider la recherche, mais aussi a posteriori de retrouver lors d'un incident si un scénario similaire a celui qui s'est produit avait été envisagé dans l'analyse, et de la réactualiser au besoin.

Un équilibre doit être trouvé dans la description des scénarios : trop précis ils deviennent innombrables, trop généraux ils n'ont plus de signification. Le mieux est de pouvoir avoir une description assez générale illustrée par un ou plusieurs exemples concrets.

Un risque est un événement redouté associé à un ou plusieurs scénarios.

La vraisemblance du risque est estimée à partir de la vraisemblance des scénarios. Plusieurs méthodes de calcul existent, notamment pour aggraver la vraisemblance d'un risque comportant de nombreux scénarios de survenue, mais en définitive le simple choix de prendre la vraisemblance maximum parmi tous les scénarios suffit en pratique à identifier les risques à traiter en priorité.

Pour chaque scénario, on liste les mesures permettant de réduire sa vraisemblance, hiérarchisées selon trois paliers : essentielles, principales et secondaires. La mise en œuvre de l'ensemble des mesures d'un palier réduit la vraisemblance du scénario à un niveau défini dans la description du scénario.

Le niveau de risque s'obtient en multipliant le rang de la gravité par celui de la vraisemblance pour obtenir un indicateur chiffré. On le complète par des seuils de niveau qui permettent d'orienter la décision de traitement comme décrit dans la Déclaration de politique de sécurité.

Quatre options sont possible pour le traitement d'un risque :

l'acceptation. Elle est de droit si le niveau de risque est inférieur à un seuil convenu, doit être prise par un responsable et documentée sinon.
la réduction par l'adoption d'une ou plusieurs mesures visant à réduire la vraisemblance des scénarios qui conduisent au risque. Ces mesures constituent le volet opérationnel de la politique de sécurité.
le report contractuel, que ce soit vers un client (protection des mots de passe)ou un sous-traitant (recours à un hébergeur extérieur).
l'évitement, c'est à dire l'abandon du traitement ou de l'usage dans lequel ce risque pourrait se manifester.

L'analyse des risques est révisée au moins une fois par an à l'occasion du COPIL SMSI de septembre.

Elle est également actualisée :

Lors de chaque COPIL SMSI, si des incidents de sécurité révèlent une insuffisance, que ce soit dans l'identification des scénarios de risques ou dans l'efficacité des mesures déployées.
En cas de changement relevant de la procédure de sécurité de l'information dans la gestion de projet.

Compte-tenu de la petite taille de l'équipe et de la participation de l'ensemble des responsables opérationnels au COPIL SMSI, il est collectivement propriétaire de chaque risque identifié, c'est à dire apte à prendre toute décision de traitement, y compris l'acceptation. En cas de désaccord, le responsable du Centre de Calcul est décisionnaire.

Les risques de niveau Prioritaire ne sont pas acceptables et doivent faire l'objet d'une autre décision de traitement.

Les risques de niveau A surveiller peuvent être acceptés pour l'instant. Ce critère pourra être durci au titre de l'amélioration continue lors de chaque COPIL SMSI de septembre.

La décision de traitement est consignée dans la fiche du risque (attribut Traitement et récapitulée dans la déclaration d'applicabilité. Si la décision de traitement est de réduire le risque, alors les mesures programmées contribuant à cette réduction sont récapitulées.

Conformément à la procédure de gestion des actions, toute mesure programmée peut être une action par elle-même, ou référencer des actions de traitement plus élémentaires.

A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée. Elle est matérialisée par la date d'échéance des actions de traitement, elles-mêmes hiérarchisées dans la justification des vraisemblances de chaque scénario.

Toutes les actions de traitement sont inscrites au plan unique des actions et suivies conformément à la procédure de gestion des actions.

Le Tableau des risques résume le niveau des risques résiduels. Il est actualisé et archivé à l'issue de chaque réunion trimestrielle du Comité de Pilotage. Voir Comptes-rendus des réunions du COPIL SMSI.~

Il est basé sur les éléments suivants:

Un plan de traitement est actualisé et archivé à l'issue de chaque réunion trimestrielle du Comité de Pilotage. Voir Comptes-rendus des réunions du COPIL SMSI.

Il récapitule pour chaque risque:

Toutes les mesures effectives contribuant à réduire la vraisemblance d'un scénario menant à la réalisation du risque.
Les mesures programmées contribuant à réduire la vraisemblance d'un scénario menant à la réalisation du risque. Pour aider à la planification des actions, seules sont présentées les mesures programmées impactant à court terme les scénarios les plus probables pour le risque concerné.

Les niveaux de risque résiduel pour chaque critère sont consultables [indicateurs|ici]].