Rendre le cyberrisque mesurable.

Les décisions de cybersécurité se prennent souvent sans mesure commune : des échelles de couleurs, des scores, des avis. Quantifier, c’est exprimer le risque en probabilités et en impacts, dans le langage de la direction, pour comparer des scénarios et choisir où investir.

RiskAura est la plateforme de quantification du cyberrisque développée par ILIR.

La conformité est une capacité secondaire dans un premier temps.

La plateforme vise à :

• —

  Estimer l’impact potentiel.

  Pour chaque scénario retenu, la direction doit pouvoir lire ce qu’il coûterait en pertes et en interruption d’activité.

• —

  Mesurer le risque résiduel.

  Une fois pris en compte les contrôles en place, la direction doit pouvoir dire ce qui reste exposé et si ce niveau est acceptable.

• —

  Comparer les options de traitement.

  Réduire, transférer, accepter ou éviter : chaque option se compare selon ce qu’elle coûte et le risque qu’elle réduit.

• —

  Prioriser les investissements.

  Le budget de sécurité va d’abord aux mesures qui réduisent le plus de risque pour leur coût.

Trois moments de décision, sept questions.

Du processus critique au choix d’investissement, le raisonnement suit dix maillons.

1. 01

   Actifs / processus critiques : ce qui doit continuer à fonctionner et ce qui a de la valeur.

2. 02

   Scénarios de risque : ce qui pourrait leur arriver, et par quelle voie.

3. 03

   Fréquence / probabilité : à quel rythme un scénario peut survenir.

4. 04

   Impact potentiel : ce qu’il coûterait s’il survenait.

5. 05

   Risque inhérent : fréquence et impact combinés, avant tout contrôle.

6. 06

   Contrôles existants : ce qui réduit déjà la fréquence ou l’impact.

7. 07

   Risque résiduel : ce qui reste une fois les contrôles pris en compte.

8. 08

   Options de traitement : réduire, transférer, accepter ou éviter.

9. 09

   Coût / réduction de risque : ce que chaque option coûte et ce qu’elle rapporte.

10. 10

    Priorisation des investissements : les choix présentés à la direction.

Représentation conceptuelle, sans valeurs.

Méthodologie quantitative s’appuyant notamment sur les principes FAIR / Open FAIR, à formaliser et valider pendant la conception de RiskAura.

Ces principes décrivent un risque comme la combinaison d’une fréquence d’événements et d’une ampleur de pertes, estimées par fourchettes plutôt que par scores. Ils permettent de comparer des scénarios entre eux et de mesurer l’effet d’un contrôle sur l’un ou l’autre de ces deux facteurs.

La méthode propre à RiskAura n’est pas encore formalisée. Elle sera construite et validée pendant la conception de la plateforme, à partir des mandats de quantification menés en mode conseil.

La quantification du cyberrisque est d’abord proposée en mode conseil.

Les éléments validés seront transformés progressivement en produit, puis la plateforme sera lancée avec un périmètre maîtrisé, avant de s’élargir à la conformité. Aucun délai n’est annoncé.

RiskAura n’est pas encore offerte comme produit. D’ici là, la quantification se fait avec nos conseillers, dans le cadre d’un mandat.