9 chapitres2 h 32 minIntermédiaire
Analyse de risques
Cours d'analyse de risques pour le BTS SIO (E7) : DICP, matrice gravité × vraisemblance, EBIOS RM, traitement, PSSI, ISO 27005, AIPD. Exercices corrigés.
Par Josselyn C., prof de BTS SIO. Mis à jour le .
L'essentiel
Une analyse de risques sert à décider quoi protéger en priorité, contre quoi, et jusqu'où. Elle part de ce qui compte pour l'organisation (ses activités, ses données), imagine ce qui pourrait leur arriver, estime la gravité et la vraisemblance de chaque scénario, puis choisit des mesures et accepte en connaissance de cause ce qui reste. Sans elle, on empile des protections au hasard ; avec elle, chaque mesure a une raison d'être et un coût justifié.
Au BTS SIO, l'analyse de risques fait partie du bloc 3 « Cybersécurité des services informatiques », commun aux options SLAM et SISR. Elle est évaluée à l'écrit E7 (4 heures, coefficient 4), et c'est l'une des parties les plus rentables du sujet : on te demande de justifier un niveau de besoin, de placer un risque dans une matrice, de proposer des mesures ou d'expliquer une obligation, avec du raisonnement plus que de la technique. Les sujets officiels de l'option SLAM l'ont tous demandé de 2022 à 2025 (chapitre 9).
À la fin de ce cours, tu sauras :
- employer le vocabulaire exact : menace, vulnérabilité, source de risque, valeur métier, bien support, événement redouté, risque résiduel ;
- exprimer et justifier des besoins de sécurité DICP (disponibilité, intégrité, confidentialité, preuve) ;
- estimer un risque avec une matrice gravité × vraisemblance et défendre ton placement ;
- conduire une analyse EBIOS Risk Manager simplifiée, de la valeur métier au plan de traitement ;
- choisir entre réduire, transférer, éviter et accepter un risque, et proposer des mesures adaptées à une application ou à une infrastructure ;
- situer la PSSI, la charte informatique, les normes ISO 27001 et 27005, la directive NIS 2 et l'AIPD du RGPD ;
- traiter un dossier d'analyse de risques d'E7 avec une méthode qui rapporte des points.
Prérequis. Aucun pour les chapitres 1 à 5. Pour les mesures techniques, les cours Sécurité des applications (SLAM) et Cybersécurité infrastructure (SISR) vont plus loin ; pour le RGPD, le cours Droit informatique et RGPD.
Le fil rouge. Les exemples se passent chez Rhône Analyses, un réseau fictif de six laboratoires de biologie médicale autour de Lyon : 140 salariés, des milliers de prélèvements par jour. Son système d'information compte un SIL (système informatique de laboratoire, le progiciel qui pilote les analyses et la validation des résultats), des automates d'analyse reliés au réseau, un portail web « MonRésultat » où les patients et les médecins consultent les résultats, un Active Directory, un serveur de fichiers et des sauvegardes. Claire Fabre est responsable informatique et fait office de RSSI ; deux alternants de BTS SIO travaillent avec elle : Nathan (SLAM), qui maintient le portail, et Inès (SISR), qui administre l'infrastructure. Les données de santé rendent ce contexte exigeant : c'est exactement le type d'organisation que choisissent les sujets d'E7.
Comment travailler. Lis un chapitre, puis fais ses exercices avant d'ouvrir les réponses : à l'examen, la difficulté n'est pas de connaître les mots, c'est d'écrire une justification complète en trois lignes. Les exercices t'y entraînent.
| Ton objectif | Chapitres à travailler en priorité |
|---|---|
| Comprendre l'analyse de risques de zéro | 1, 2, 3 et 5 |
| Préparer l'E7 SLAM ou SISR | 2, 3, 5, 8 et 9 |
| Mener une vraie analyse en stage ou en alternance | 4, 5 et 6 |
| Parler normes et réglementation (ISO, NIS 2, RGPD) | 6, 7 et 8 |
| Réviser juste avant l'épreuve | L'essentiel, chapitre 9 et les questions fréquentes |
Sommaire
Analyse de risques
0 chapitre sur 9
- Chapitre 1 : Risque, menace, vulnérabilité : le vocabulaire17 min
- Chapitre 2 : Les besoins DICP : disponibilité, intégrité, confidentialité, preuve17 min
- Chapitre 3 : Matrice des risques : gravité × vraisemblance15 min
- Chapitre 4 : EBIOS Risk Manager simplifié : les 5 ateliers19 min
- Chapitre 5 : Traitement du risque : réduire, transférer, éviter, accepter17 min
- Chapitre 6 : PSSI et charte informatique : rôle et contenu16 min
- Chapitre 7 : ISO 27001, ISO 27005 et NIS 2 : les notions14 min
- Chapitre 8 : AIPD : l'analyse d'impact du RGPD14 min
- Chapitre 9 : Analyse de risques à l'E7 : méthode et études de cas corrigées18 min
Questions fréquentes
C'est quoi une analyse de risques en informatique ?
C'est une démarche qui identifie ce que l'organisation doit protéger (ses activités et ses données), ce qui pourrait leur arriver, puis estime chaque risque par sa gravité et sa vraisemblance pour décider des mesures à prendre. Elle aboutit à un plan de traitement et à des risques résiduels acceptés par la direction. Les étapes sont décrites par la norme ISO/IEC 27005 et outillées en France par la méthode EBIOS Risk Manager de l'ANSSI.
Quelle est la différence entre menace, vulnérabilité et risque ?
La menace est ce qui peut nuire (un cybercriminel, un rançongiciel) ; la vulnérabilité est la faiblesse qu'elle exploite (un mot de passe sans second facteur, une faille non corrigée) ; le risque est la combinaison des deux avec l'impact qui en résulte pour l'organisation, estimée par sa gravité et sa vraisemblance. Le moyen mnémotechnique « risque = menace × vulnérabilité × impact » rappelle que si l'un des trois manque, le risque est faible (vocabulaire complet).
Que signifie DICP ?
DICP désigne les quatre critères de sécurité : disponibilité (accessible au moment voulu), intégrité (exacte et complète, modifiée seulement par qui en a le droit), confidentialité (lue seulement par les personnes autorisées) et preuve (on peut établir de façon opposable qui a fait quoi et quand). On note le besoin de chaque fonctionnalité ou service sur une échelle, puis on le justifie par les conséquences d'une perte ; c'est une question classique de l'E7 (les besoins DICP).
Comment calcule-t-on le niveau d'un risque ?
On évalue la gravité de l'événement redouté (de G1 mineure à G4 critique) et la vraisemblance du scénario (de V1 peu vraisemblable à V4 quasi certain), puis on lit le niveau à leur croisement dans une matrice des risques fixée par l'organisation. Certains outils multiplient les deux niveaux pour obtenir un score de 1 à 16, mais ce calcul met au même niveau une catastrophe rare et une gêne fréquente (la matrice gravité × vraisemblance).
Quels sont les 5 ateliers d'EBIOS Risk Manager ?
Atelier 1, cadrage et socle de sécurité (valeurs métier, biens supports, événements redoutés) ; atelier 2, sources de risque (couples source de risque et objectif visé) ; atelier 3, scénarios stratégiques (chemins d'attaque, y compris par l'écosystème) ; atelier 4, scénarios opérationnels (modes opératoires et vraisemblance) ; atelier 5, traitement du risque (stratégie, plan d'amélioration continue de la sécurité, risques résiduels). La méthode est publiée gratuitement par l'ANSSI, en version 1.5 depuis 2024.
Quelles sont les options de traitement d'un risque ?
Il y en a quatre : réduire le risque par des mesures de sécurité, le transférer à un tiers (assurance cyber, prestataire), l'éviter en renonçant à l'activité ou à la donnée qui le crée, ou l'accepter par une décision explicite de la direction. Elles se combinent souvent, et ce qui reste après traitement est le risque résiduel (le traitement du risque).
Quelle est la différence entre la PSSI et la charte informatique ?
La PSSI est le document de la direction qui fixe les objectifs, les règles et l'organisation de la sécurité de tout le système d'information, à partir de l'analyse de risques. La charte informatique traduit les règles qui concernent les utilisateurs, en langage simple ; pour s'imposer aux salariés et permettre de sanctionner, elle doit être annexée au règlement intérieur, avec l'avis du CSE (PSSI et charte).
Quelle est la différence entre ISO 27001 et ISO 27005 ?
ISO/IEC 27001 fixe les exigences d'un système de management de la sécurité de l'information, avec 93 mesures en annexe ; c'est la norme sur laquelle une organisation se fait certifier. ISO/IEC 27005 donne les lignes directrices pour la gestion des risques qu'exige ce système ; elle n'est pas certifiable et n'impose pas de méthode, EBIOS RM pouvant la mettre en œuvre (les normes et NIS 2).
Quand une AIPD est-elle obligatoire ?
Le RGPD impose une analyse d'impact relative à la protection des données avant tout traitement susceptible d'engendrer un risque élevé pour les personnes : traitement à grande échelle de données sensibles, surveillance systématique, profilage aux effets importants, ou traitement figurant sur la liste de la CNIL. En pratique, un traitement qui remplit au moins deux des neuf critères européens (données sensibles, grande échelle, personnes vulnérables, etc.) doit en principe en faire l'objet (l'AIPD).
Comment l'analyse de risques tombe-t-elle à l'E7 du BTS SIO ?
Sous la forme d'un dossier où tu participes à un atelier d'analyse des risques : justifier des besoins DICP, évaluer des événements redoutés, justifier un risque placé dans une matrice, proposer des mesures, répondre à une question de RGPD comme les obligations en cas de violation de données. Les sujets de l'option SLAM l'ont demandé chaque année de 2022 à 2025 ; ce dossier rapporte des points avec du raisonnement plus que de la technique (méthode et études de cas).