Analyse de risques

L’analyse de risque permet d'évaluer et prioriser les menaces pesant sur une organisation. Inspirée de méthodologies telles qu’EBIOS, elle permet d’aligner la stratégie de cybersécurité sur les risques les plus critiques.

Dans Qontrol, nous avons simplifié ce processus pour le rendre accessible et efficace, en intégrant notamment les ateliers 1 (Contexte, actifs et menaces) et 5 (Traitement des risques) d’EBIOS. Vous pouvez identifier vos risques, les évaluer et élaborer des plans de traitement, le tout de manière centralisée et intuitive.

Identification des risques

Pour gérer vos risques, accédez à “Analyse” dans le menu latéral. Cette section contient tous vos risques identifiés. Pour en ajouter de nouveaux, cliquez sur “Ajouter un risque”. Vous avez alors deux options :

Choisir un risque du catalogue

Qontrol propose un large catalogue de scénarios de risque types.

• Recherchez le risque pertinent via la barre de recherche.

• Sélectionnez le risque souhaité.

• Il sera automatiquement ajouté à votre tableau d’analyse.

Créer un nouveau risque

Besoin de personnaliser vos scénarios de risque ? Aucun problème.

• Cliquez sur “Ajouter un risque” et choisissez “Nouveau risque”.

• Lancez l’assistant pour définir un risque sur mesure.

Anatomie d’un risque

Un risque dans Qontrol est constitué des éléments suivants :

• Nom du scénario de risque : Pour identifier le risque.

• Description : Détails complémentaires sur le risque.

• Catégorie : Sélectionnez une catégorie parmi celles disponibles sur la plateforme.

• CIA : Définissez les impacts sur la Confidentialité, l’Intégrité ou la Disponibilité.

Évaluation des risques

Une fois un risque ajouté, il peut être évalué via trois étapes :

Risque inhérent

Le risque inhérent représente l’impact du risque avant toute mesure corrective.

• Probabilité : Évaluez la probabilité sur une échelle de 1 à 4 (Peu probable à Très probable).

• Gravité : Évaluez la gravité sur une échelle de 1 à 4 (Mineur à Critique).

• Niveau de risque : Calculé en multipliant probabilité et gravité (exemple : Probabilité = 2, Gravité = 3 → Risque = 2 x 3 = 6).

Traitement des risques

Choisissez parmi quatre stratégies pour gérer le risque :

• Mitiger : Réduire le risque en ajoutant des contrôles de sécurité.

• Accepter : Accepter le risque tel quel (impact faible ou coût de mitigation trop élevé).

• Éviter : Supprimer le risque en abandonnant l’activité ou le processus à risque.

• Transférer : Transférer le risque à une autre entité (assurance, partenaire, etc.).

Selon la méthode choisie, associez des contrôles de sécurité pour implémenter le plan de traitement.

Risque résiduel

Après traitement, évaluez le risque résiduel en répétant l’évaluation de probabilité et gravité. Ce nouveau niveau de risque reflète l’impact après mise en place des mesures correctives.

Synthèse des risques

Depuis le menu “Analyse”, accédez à la vue de synthèse de votre analyse de risque 👍

• Visualisez rapidement les niveaux de risque inhérent et résiduel.

• Consultez les plans de traitement associés à chaque risque.

• Parcourez la liste des risques classés par niveau de criticité pour prioriser vos actions.