Plateforme d’automatisation de la s\u00e9curit\u00e9 et de la conformit\u00e9 Drata<\/a><\/b> \u2014 Automatisez votre parcours de conformit\u00e9 du d\u00e9but \u00e0 la pr\u00e9paration de l’audit et au-del\u00e0 et b\u00e9n\u00e9ficiez de l’assistance des experts en s\u00e9curit\u00e9 et en conformit\u00e9 qui l’ont construit.<\/p><\/blockquote>\nM\u00e9thodologies d’\u00e9valuation des risques<\/h2>\n Les organisations peuvent adopter plusieurs approches pour \u00e9valuer les risques : quantitative, qualitative, semi-quantitative, bas\u00e9e sur les actifs, bas\u00e9e sur la vuln\u00e9rabilit\u00e9 ou bas\u00e9e sur les menaces. Chaque m\u00e9thodologie peut \u00e9valuer la posture de risque d’une organisation, mais elles n\u00e9cessitent toutes des compromis.<\/p>\n
Quantitatif<\/h3>\n Les m\u00e9thodes quantitatives apportent une rigueur analytique au processus. Les actifs et les risques re\u00e7oivent des valeurs en dollars. L’\u00e9valuation des risques qui en r\u00e9sulte peut alors \u00eatre pr\u00e9sent\u00e9e en termes financiers facilement compr\u00e9hensibles par les dirigeants et les membres du conseil d’administration. Les analyses co\u00fbts-avantages permettent aux d\u00e9cideurs de hi\u00e9rarchiser les options d’att\u00e9nuation.<\/p>\n
Cependant, une m\u00e9thodologie quantitative peut ne pas \u00eatre appropri\u00e9e. Certains actifs ou risques ne sont pas facilement quantifiables. Les forcer \u00e0 adopter cette approche num\u00e9rique n\u00e9cessite des appels de jugement, ce qui compromet l’objectivit\u00e9 de l’\u00e9valuation.<\/p>\n
Les m\u00e9thodes quantitatives peuvent \u00e9galement \u00eatre assez complexes. Communiquer les r\u00e9sultats au-del\u00e0 de la salle de conf\u00e9rence peut \u00eatre difficile. De plus, certaines organisations ne disposent pas de l’expertise interne requise par les \u00e9valuations quantitatives des risques. Les organisations assument souvent le co\u00fbt suppl\u00e9mentaire pour faire appel aux comp\u00e9tences techniques et financi\u00e8res des consultants.<\/p>\n
Qualitatif<\/h3>\n L\u00e0 o\u00f9 les m\u00e9thodes quantitatives adoptent une approche scientifique de l’\u00e9valuation des risques, les m\u00e9thodes qualitatives adoptent une approche plus journalistique. Les \u00e9valuateurs rencontrent des personnes dans l’ensemble de l’organisation. Les employ\u00e9s partagent comment, ou s’ils feraient leur travail si un syst\u00e8me \u00e9tait hors ligne. Les \u00e9valuateurs utilisent cette entr\u00e9e pour classer les risques sur des \u00e9chelles approximatives telles que \u00c9lev\u00e9, Moyen ou Faible.<\/p>\n
Une \u00e9valuation qualitative des risques fournit une image g\u00e9n\u00e9rale de la fa\u00e7on dont les risques affectent les op\u00e9rations d’une organisation.<\/p>\n
Les membres de l’organisation sont plus susceptibles de comprendre les \u00e9valuations qualitatives des risques. D’autre part, ces approches sont intrins\u00e8quement subjectives. L’\u00e9quipe d’\u00e9valuation doit d\u00e9velopper des sc\u00e9narios faciles \u00e0 expliquer, d\u00e9velopper des questions et des m\u00e9thodologies d’entretien qui \u00e9vitent les pr\u00e9jug\u00e9s, puis interpr\u00e9ter les r\u00e9sultats.<\/p>\n
Sans une base financi\u00e8re solide pour l’analyse co\u00fbts-avantages, les options d’att\u00e9nuation peuvent \u00eatre difficiles \u00e0 hi\u00e9rarchiser.<\/p>\n
Semi-quantitatif<\/h3>\n Certaines organisations combineront les m\u00e9thodologies pr\u00e9c\u00e9dentes pour cr\u00e9er des \u00e9valuations des risques semi-quantitatives. En utilisant cette approche, les organisations utiliseront une \u00e9chelle num\u00e9rique, telle que 1-10 ou 1-100, pour attribuer une valeur de risque num\u00e9rique. Les \u00e9l\u00e9ments de risque qui obtiennent un score dans le tiers inf\u00e9rieur sont regroup\u00e9s comme risque faible, le tiers moyen comme risque moyen et le tiers sup\u00e9rieur comme risque \u00e9lev\u00e9.<\/p>\n
La combinaison de m\u00e9thodologies quantitatives et qualitatives \u00e9vite les calculs intensifs de probabilit\u00e9 et de valeur des actifs des premi\u00e8res tout en produisant des \u00e9valuations plus analytiques que les secondes. Les m\u00e9thodologies semi-quantitatives peuvent \u00eatre plus objectives et fournir une base solide pour hi\u00e9rarchiser les \u00e9l\u00e9ments de risque.<\/p>\n
Bas\u00e9 sur les actifs<\/h3>\n Traditionnellement, les organisations adoptent une approche bas\u00e9e sur les actifs pour \u00e9valuer les risques informatiques. Les actifs sont compos\u00e9s du mat\u00e9riel, des logiciels et des r\u00e9seaux qui g\u00e8rent les informations d’une organisation, ainsi que des informations elles-m\u00eames. Une \u00e9valuation bas\u00e9e sur les atouts suit g\u00e9n\u00e9ralement un processus en quatre \u00e9tapes\u00a0:<\/p>\n
\nInventorier tous les actifs.<\/li>\n \u00c9valuer l’efficacit\u00e9 des contr\u00f4les existants.<\/li>\n Identifiez les menaces et les vuln\u00e9rabilit\u00e9s de chaque actif.<\/li>\n \u00c9valuer l’impact potentiel de chaque risque.<\/li>\n<\/ul>\nLes approches bas\u00e9es sur les actifs sont populaires car elles s’alignent sur la structure, les op\u00e9rations et la culture d’un service informatique. Les risques et les contr\u00f4les d’un pare-feu sont faciles \u00e0 comprendre.<\/p>\n
Cependant, les approches bas\u00e9es sur les actifs ne peuvent produire des \u00e9valuations compl\u00e8tes des risques. Certains risques ne font pas partie de l’infrastructure de l’information. Les politiques, les processus et d’autres facteurs “soft” peuvent exposer l’organisation \u00e0 autant de danger qu’un pare-feu non corrig\u00e9.<\/p>\n
Bas\u00e9 sur la vuln\u00e9rabilit\u00e9<\/h3>\n Les m\u00e9thodologies bas\u00e9es sur la vuln\u00e9rabilit\u00e9 \u00e9tendent la port\u00e9e des \u00e9valuations des risques au-del\u00e0 des actifs d’une organisation. Ce processus commence par un examen des faiblesses et des lacunes connues des syst\u00e8mes organisationnels ou des environnements dans lesquels ces syst\u00e8mes fonctionnent.<\/p>\n
\u00c0 partir de l\u00e0, les \u00e9valuateurs identifient les menaces possibles qui pourraient exploiter ces vuln\u00e9rabilit\u00e9s, ainsi que les cons\u00e9quences potentielles des exploits.<\/p>\n
Lier les \u00e9valuations des risques bas\u00e9es sur la vuln\u00e9rabilit\u00e9 au processus de gestion des vuln\u00e9rabilit\u00e9s d’une organisation d\u00e9montre des processus efficaces de gestion des risques et de gestion des vuln\u00e9rabilit\u00e9s.<\/p>\n
Bien que cette approche capte davantage de risques qu’une \u00e9valuation purement bas\u00e9e sur les actifs, elle est bas\u00e9e sur des vuln\u00e9rabilit\u00e9s connues et peut ne pas saisir l’\u00e9ventail complet des menaces auxquelles une organisation est confront\u00e9e.<\/p>\n
Bas\u00e9 sur les menaces<\/h3>\n Les m\u00e9thodes bas\u00e9es sur les menaces peuvent fournir une \u00e9valuation plus compl\u00e8te de la posture de risque globale d’une organisation. Cette approche \u00e9value les conditions qui cr\u00e9ent un risque. Un audit des actifs fera partie de l’\u00e9valuation puisque les actifs et leurs contr\u00f4les contribuent \u00e0 ces conditions.<\/p>\n
Les approches bas\u00e9es sur les menaces vont au-del\u00e0 de l’infrastructure physique.<\/p>\n
En \u00e9valuant les techniques utilis\u00e9es par les acteurs de la menace, par exemple, les \u00e9valuations peuvent red\u00e9finir les priorit\u00e9s des options d’att\u00e9nuation. La formation en cybers\u00e9curit\u00e9 att\u00e9nue les attaques d’ing\u00e9nierie sociale. Une \u00e9valuation bas\u00e9e sur les actifs peut donner la priorit\u00e9 aux contr\u00f4les syst\u00e9miques sur la formation des employ\u00e9s. Une \u00e9valuation bas\u00e9e sur les menaces, en revanche, peut r\u00e9v\u00e9ler que l’augmentation de la fr\u00e9quence des formations \u00e0 la cybers\u00e9curit\u00e9 r\u00e9duit les risques \u00e0 moindre co\u00fbt.<\/p>\n
Choisir la bonne m\u00e9thodologie<\/h2>\n Aucune de ces m\u00e9thodologies n’est parfaite. Chacun a des forces et des faiblesses. Heureusement, aucun d’entre eux ne s’exclut mutuellement. Que ce soit intentionnellement ou par circonstance, les organisations effectuent souvent des \u00e9valuations des risques qui combinent ces approches.<\/p>\n
Lors de la conception de votre processus d’\u00e9valuation des risques, les m\u00e9thodologies que vous utiliserez d\u00e9pendront de ce que vous devez accomplir et de la nature de votre organisation.<\/p>\n
Si les approbations au niveau du conseil d’administration et de la direction sont les crit\u00e8res les plus importants, votre approche s’orientera vers des m\u00e9thodes quantitatives. Des approches plus qualitatives pourraient \u00eatre pr\u00e9f\u00e9rables si vous avez besoin du soutien des employ\u00e9s et d’autres parties prenantes. Les \u00e9valuations bas\u00e9es sur les actifs s’alignent naturellement sur votre organisation informatique, tandis que les \u00e9valuations bas\u00e9es sur les menaces r\u00e9pondent au paysage complexe de la cybers\u00e9curit\u00e9 d’aujourd’hui.<\/p>\n
L’\u00e9valuation constante de l’exposition aux risques de votre organisation est le seul moyen de prot\u00e9ger les informations sensibles contre les cybermenaces d’aujourd’hui. La plate-forme d’automatisation de la conformit\u00e9 de Drata surveille vos contr\u00f4les de s\u00e9curit\u00e9 pour garantir votre pr\u00e9paration \u00e0 l’audit.<\/p>\n
Planifier une d\u00e9mo<\/a> aujourd’hui pour voir ce que Drata peut faire pour vous\u00a0!<\/b><\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/6-types-de-methodologies-devaluation-des-risques-comment-choisir.gif\")