Découvrez les enjeux de l’atelier 5
L'atelier 5 de la méthode EBIOS RM est consacré à la gestion des risques identifiés lors des ateliers précédents. L'objectif principal de cet atelier est d'identifier les mesures de sécurité appropriées pour traiter les scénarios de risque que vous avez développés et de préparer le plan de traitement des risques.
Quelles personnes inviter à l’atelier ?
Les participants de l'atelier 5 sont les mêmes que ceux de l'atelier 1 (Direction, Métiers, RSSI, DSI) pour plusieurs raisons cruciales :
Continuité stratégique : La Direction doit assurer que les décisions de gestion des risques restent alignées avec la vision globale de l'entreprise et le cas échéant prendre des décisions si celles-ci doivent être modifiées.
Compréhension des besoins métiers : Les représentants des métiers garantissent que les solutions proposées n'entravent pas les opérations quotidiennes et répondent aux besoins spécifiques.
Expertise en sécurité : Le RSSI apporte une expertise technique indispensable pour évaluer et prioriser les risques.
Soutien technique : La DSI s'assure que les mesures techniques sont faisables et qu'elles seront bien intégrées dans l'infrastructure existante.
Commencez par réaliser la synthèse des scénarios de risques en réalisant une cartographie du risque du risque initial comme suit.
Revenons sur notre cas filé :
Rappel des risques :
R1 : Attaque DDoS visant à décrédibiliser VETO+ : V2 G3
R2 : Introduction d’un malware : V1 G3
R3 : Vol de données après hameçonnage sur un employé : V1 G4
R4 : Clé USB infectée d’un malware : V2 G3
R5 : un personnel mécontent fait de fausses notes de frais pour gagner de l’argent : V3 G2
R6 : Fuite de données dans un but lucratif : V2 G2
Pour chaque scénario de risque, il est essentiel de s'accorder sur les seuils d'acceptabilité du risque et de déterminer le niveau de sécurité à atteindre lorsque le risque n'est pas acceptable. Cette décision doit être formalisée dans une stratégie de traitement du risque.
Je vous recommande d'utiliser des classes d'acceptation couramment employées dans la gestion des risques pour guider ces décisions. Cela permet de structurer le processus et d'assurer une gestion cohérente des risques au sein de l'organisation.
Prenons un exemple, repris du guide EBIOS :
En résumé
Cet atelier se concentre sur la gestion des risques identifiés précédemment, en définissant les mesures de sécurité à adopter et en préparant un plan de traitement des risques.
Cartographie du risque : Créez une matrice gravité/vraisemblance pour visualiser facilement les risques critiques (en rouge) et prioriser les actions.
Seuils d'acceptabilité du risque : Pour chaque scénario, accordez-vous sur les seuils d'acceptabilité et définissez une stratégie de traitement si le risque est inacceptable.
Priorisation et synthèse des risques : Utilisez des outils visuels pour présenter clairement les risques et pensez à inclure un rappel sous chaque tableau pour éviter de revenir en arrière.
Il est maintenant temps de traiter les risques !
