Construire un registre des risques numériques utile à la décision

Partir d’un service et de ses dépendances

Un registre trop large mélange facilement des situations impossibles à comparer. Il est préférable de commencer par une activité identifiable : traiter une commande, produire un document, donner accès à un service ou payer un fournisseur. Les personnes qui réalisent cette activité peuvent ensuite expliquer ce qui devient difficile lorsqu’un outil ou une information manque.

Le périmètre décrit les applications, les données, les personnes et les prestataires dont le service dépend. Il indique aussi ce qui reste hors de l’analyse. Cette délimitation est importante : un registre portant sur une application ne démontre pas que tous les risques de l’entreprise ont été examinés.

Recueillir les points de vue métier et technique

Le métier explique les conséquences et les solutions de remplacement possibles. Les équipes techniques décrivent les dépendances et les protections existantes. Les différences de compréhension sont utiles à conserver, car elles révèlent souvent une hypothèse à vérifier. Une information inconnue doit rester identifiable comme telle.

Écrire un scénario de risque

L’expression « risque cloud » est trop générale pour guider une décision. Une formulation plus exploitable décrit un événement, les circonstances qui le rendent possible et son effet sur le service. Elle permet de discuter des protections et des dépendances sans supposer que tous les participants connaissent la technique.

Séparer ce qui est observé de ce qui est supposé

Une protection déclarée dans une procédure ne constitue pas forcément une preuve de fonctionnement. Le registre peut distinguer les mesures existantes, les contrôles vérifiés et les points qui restent à confirmer. Cette distinction évite qu’une hypothèse optimiste soit progressivement traitée comme une certitude.

L’ANSSI présente l’analyse de risques d’un service comme une démarche d’identification des risques cyber et d’appréciation de leur vraisemblance et de leur gravité. Le registre proposé ici sert à organiser les informations et les décisions issues de cette réflexion ; il ne remplace pas une méthode d’analyse adaptée au contexte.

Rendre l’évaluation explicable

Une échelle de gravité a besoin de critères partagés. Une interruption peut affecter la continuité de l’activité, la qualité de service, les engagements contractuels ou la protection des informations. Les conséquences retenues doivent être discutées avec les personnes capables de les apprécier. Les chiffres ne deviennent utiles que si leur origine et leurs limites sont connues.

Ne pas confondre score et précision

Deux scénarios classés au même niveau peuvent nécessiter des décisions différentes. L’un peut être difficile à détecter, l’autre fortement dépendant d’un prestataire. Le commentaire qui accompagne le score est donc aussi important que le score lui-même. Lorsqu’une estimation manque de données, mieux vaut identifier la vérification nécessaire que produire une probabilité artificiellement précise.

Le registre doit aussi distinguer la situation appréciée avant une nouvelle action et celle qui est attendue après. La seconde reste une projection tant que la mesure n’a pas été mise en œuvre et évaluée. Une action ouverte ne doit pas être comptée comme une réduction de risque déjà obtenue.

Exemple de fiche commentée

Les éléments suivants illustrent une structure de travail. Les rôles et les échéances sont à renseigner par l’organisation ; aucun niveau de risque ni délai universel n’est imposé par cet exemple.

Le propriétaire du risque et le responsable de l’action peuvent être différents. Le premier porte la compréhension des conséquences et l’arbitrage dans sa délégation. Le second organise une mesure donnée. Les nommer séparément évite de transférer implicitement toutes les décisions aux équipes informatiques.

Faire vivre le registre

Un registre utile possède un historique : ce qui a changé, pourquoi une évaluation a évolué et quelle décision a été prise. Lorsqu’une action est clôturée, conserver la preuve de réalisation et réexaminer le scénario. Le niveau de risque peut rester identique si la mesure ne traite qu’une partie des causes ou si une dépendance nouvelle apparaît.

Pour préparer une revue, sélectionner les entrées qui nécessitent un arbitrage, les actions bloquées et les hypothèses devenues anciennes. Le comité peut alors se concentrer sur les choix plutôt que relire toutes les lignes. Cette organisation rejoint les principes exposés dans notre article sur la gouvernance cybersécurité des dirigeants.

Enfin, le registre peut contenir des informations sensibles sur les services et leurs faiblesses. Sa diffusion, ses droits d’accès et son archivage doivent être adaptés. Pour approfondir l’exemple de disponibilité utilisé ici, voir comment préparer et vérifier une restauration.