Matrice des risques : gravité × vraisemblance

Une matrice des risques est un tableau à double entrée qui croise la gravité d'un risque (l'ampleur de ses conséquences) et sa vraisemblance (la possibilité qu'il se réalise) ; chaque case donne un niveau de risque, et donc une priorité de traitement. Ce chapitre présente les échelles de gravité et de vraisemblance utilisées avec EBIOS Risk Manager, la construction et la lecture d'une matrice, le score gravité × vraisemblance et ses limites, et la façon de justifier un placement, une question fréquente à l'E7.

L'échelle de gravité

La gravité s'évalue sur l'événement redouté : que perd l'organisation si cela arrive ? Le guide EBIOS Risk Manager de l'ANSSI propose une échelle d'exemple à quatre niveaux, que chaque organisation adapte. Voici ses niveaux, résumés, et leur traduction chez Rhône Analyses.

Pour justifier un niveau de gravité, appuie-toi sur les familles d'impacts du chapitre 2 : sécurité des personnes, fonctionnement, finances, juridique, image. Un seul impact grave suffit à placer l'événement haut : une atteinte possible à la santé d'un patient place d'emblée un événement en G3 ou G4, même si le coût financier est faible.

L'échelle de vraisemblance

La vraisemblance s'évalue sur le scénario : à quel point est-il plausible qu'une source de risque parvienne à ses fins par ce chemin ? L'ANSSI utilise une échelle à quatre niveaux dans ses fiches méthodes, du moins au plus vraisemblable.

Plusieurs facteurs font monter ou descendre la vraisemblance :

• la source de risque : sa motivation (l'argent attire les cybercriminels vers la santé, qui paie souvent vite) et ses ressources (un groupe organisé contre un amateur isolé) ;
• l'exposition : un service accessible depuis Internet est plus exposé qu'un serveur sur un réseau interne cloisonné ;
• les vulnérabilités connues : logiciel non maintenu, mot de passe faible, absence de second facteur ;
• les mesures déjà en place : chaque protection efficace fait baisser la vraisemblance ;
• l'historique : un incident déjà subi, chez soi ou chez des organisations comparables.

Construire et lire la matrice

La matrice place la gravité sur un axe et la vraisemblance sur l'autre. Chaque organisation décide du niveau de risque de chaque case : c'est une décision de la direction, qui traduit ce qu'elle est prête à accepter. Voici la matrice de Rhône Analyses, avec trois niveaux.

• Faible : risque acceptable en l'état ; on le surveille lors de la revue annuelle.
• Moyen : risque acceptable sous contrôle ; on le réduit si c'est raisonnable, sinon la direction l'accepte explicitement et on le surveille.
• Élevé : risque inacceptable ; il doit être traité en priorité.

Le sujet 2023 de l'option SLAM fournissait une matrice de ce type, avec une gravité et une vraisemblance de 1 à 4 et trois zones : faible (risque acceptable), moyen (risque acceptable sous contrôle), élevé (inacceptable). Deux risques étaient placés dans la case gravité 4, vraisemblance 4, et il fallait justifier leur niveau de gravité.

Voici cinq risques de Rhône Analyses placés dans la matrice :

Le score gravité × vraisemblance et ses limites

Beaucoup d'outils calculent un score en multipliant les deux niveaux : de 1 (G1 × V1) à 16 (G4 × V4). On classe ensuite les risques par score décroissant.

Le score est pratique, mais il écrase une différence importante : R3 (une catastrophe rare) et R4 (une gêne plus plausible) ont le même score, 4. Or une direction ne les traite pas de la même façon : un risque critique, même peu vraisemblable, mérite souvent des mesures, au moins pour en limiter les conséquences. C'est pour cela que la matrice de Rhône Analyses classe R3 en « moyen » et pas en « faible », et qu'elle ne se résume pas à un seuil sur le produit.

Justifier une gravité ou une vraisemblance

Une justification de gravité décrit les conséquences de l'événement redouté pour l'organisation. Une justification de vraisemblance décrit la facilité du scénario : la motivation de la source, l'exposition, la faille, les protections absentes. Les mélanger est l'erreur la plus fréquente.

Justifier la gravité G3 de R2. Le scénario conduit à la divulgation de résultats d'analyses, des données de santé, potentiellement pour tous les patients du portail, puisqu'il suffit d'incrémenter l'identifiant. Rhône Analyses devrait notifier la violation à la CNIL et aux patients concernés, s'exposerait à une sanction et perdrait la confiance des patients et des médecins prescripteurs. L'activité d'analyse continue cependant de fonctionner : la gravité est grave (G3) plutôt que critique.

Justifier la vraisemblance V3 de R2. Le portail est exposé sur Internet, l'attaque ne demande aucune compétence (changer un nombre dans l'adresse) et ce type de faille est l'un des plus répandus dans les applications web. Les données de santé intéressent aussi des revendeurs. La seule limite est qu'il faut un compte patient valide pour accéder à la page.

Le sujet 2024 de l'option SLAM proposait un raisonnement plus fin : un scénario déjà placé (un utilisateur se fait dérober son mot de passe, un pirate l'utilise pour se connecter à une application d'inscription aux formations ; gravité 2, vraisemblance V3, avec un commentaire), puis il fallait expliquer en quoi la mise en place d'une authentification unique (SSO) modifierait ce scénario. Le raisonnement attendu porte sur les deux axes :

• gravité en hausse : avec le SSO, le même mot de passe ouvre toutes les applications de l'organisation ; un compte volé donne accès à beaucoup plus de données, y compris sensibles ;
• vraisemblance qui peut baisser : un seul mot de passe à retenir, que l'on peut exiger long, et surtout un point unique où imposer une authentification à plusieurs facteurs.

La piste d'amélioration la plus attendue est alors l'authentification multifacteur sur le SSO, qui fait chuter la vraisemblance du vol de compte.

Risque initial et risque résiduel dans la matrice

Les mesures font bouger un risque dans la matrice, et le sens du déplacement dépend du type de mesure :

• une mesure de prévention (second facteur, correction d'une faille, filtrage) rend le scénario plus difficile : le risque descend en vraisemblance ;
• une mesure de protection, de récupération ou de limitation (chiffrement des données, mots de passe hachés, sauvegarde restaurable en quelques heures, plan de continuité) limite les conséquences : le risque descend en gravité. Certaines mesures, comme la segmentation, agissent sur les deux axes.

Pour R1, Claire Fabre décide d'imposer le second facteur et l'ouverture à la demande de l'accès de télémaintenance : la vraisemblance passe de V3 à V1. Elle met aussi en place une sauvegarde déconnectée du SIL, restaurable en moins de 24 heures, testée chaque trimestre : la gravité passe de G4 à G3. Le risque résiduel est G3 × V1, soit « moyen » : acceptable sous contrôle, à condition que la direction l'accepte formellement (chapitre 5).

Présenter les risques à la direction

Une analyse se termine par une cartographie des risques : la matrice avec les risques placés, et la liste des risques classés du plus élevé au plus faible, chacun avec son propriétaire (la personne responsable de son traitement). Un dirigeant ne lit pas un tableau de cinquante lignes : il veut voir en un coup d'œil ce qui est dans la zone rouge et ce que ça coûte de l'en sortir.

Exercices

Exercice 1 sur 4 Lire la matrice Réussi À revoir

Avec la matrice de Rhône Analyses, donne le niveau de chaque risque.

1. G3, V4.
2. G2, V3.
3. G4, V1.
4. G1, V4.
5. G3, V1.

Voir la réponseMasquer la réponse de l'exercice 1

1. G3 × V4 : élevé.
2. G2 × V3 : moyen.
3. G4 × V1 : moyen.
4. G1 × V4 : moyen.
5. G3 × V1 : moyen.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Calculer et comparer des scores Réussi À revoir

Une PME a évalué quatre risques : A (G2, V4), B (G4, V2), C (G3, V3), D (G1, V4).

1. Calcule le score G × V de chacun et classe-les du plus élevé au plus faible.
2. Donne leur niveau dans la matrice de Rhône Analyses.
3. Dans la matrice, A, B et C ont le même niveau. Que montre la comparaison avec le classement par score, et pourquoi une direction traiterait-elle sans doute B en premier ?

Voir la réponseMasquer la réponse de l'exercice 2

1. A : 2 × 4 = 8 ; B : 4 × 2 = 8 ; C : 3 × 3 = 9 ; D : 1 × 4 = 4. Classement : C (9), puis A et B à égalité (8), puis D (4).
2. A (G2, V4) : élevé ; B (G4, V2) : élevé ; C (G3, V3) : élevé ; D (G1, V4) : moyen.
3. Le score place A et B sous C, alors que la matrice les classe tous les trois « élevé » : le classement par score sous-estime A et B. Parmi eux, B est un événement critique (G4) : ses conséquences menacent l'activité, donc une direction le traitera au moins aussi vite que C. Le produit G × V ne montre pas ce poids de la gravité.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Justifier une gravité (SLAM) Réussi À revoir

Une salle de concert vend ses billets en ligne. Lors d'un audit, deux risques ont été placés en gravité 4 (sur 4) :

• R1 : un client exploite une injection SQL pour modifier le prix des billets qu'il achète et payer 1 € au lieu de 45 € ;
• R2 : un client exploite la même faille pour créer des billets pour un concert complet sans les payer.

Justifie le niveau de gravité de ces deux risques en décrivant leurs impacts pour l'entreprise.

Voir la réponseMasquer la réponse de l'exercice 3

R1 : la faille permet une fraude reproductible à grande échelle (n'importe quel client, sur tous les concerts, dès que la technique circule). L'entreprise perd l'essentiel de ses recettes de billetterie, sa principale source de revenus, tout en supportant les coûts des concerts (artistes, personnel, salle) : sa survie financière est menacée. S'y ajoute un risque d'image si la fraude est rendue publique.

R2 : des billets sont émis au-delà de la capacité de la salle. Le jour du concert, plus de spectateurs que de places : refus à l'entrée, litiges avec des clients de bonne foi, ou dépassement de la jauge de sécurité, ce qui met en danger la sécurité des personnes et engage la responsabilité de l'exploitant. Les recettes de ces billets sont aussi perdues.

Dans les deux cas, l'impact touche le cœur de l'activité (la vente des places) et peut dépasser ce que l'entreprise sait absorber : la gravité maximale est justifiée.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Faire bouger un risque Réussi À revoir

Chez Rhône Analyses, le risque R4 (déni de service sur le portail) est évalué G2 × V2. Pour chaque mesure, dis sur quel axe elle agit et dans quel sens.

1. Souscrire une protection anti-DDoS auprès de l'hébergeur.
2. Envoyer automatiquement les résultats urgents aux médecins par messagerie sécurisée, indépendamment du portail.
3. Publier sur un réseau social que le laboratoire refuse de payer une rançon.

Voir la réponseMasquer la réponse de l'exercice 4

1. Vraisemblance en baisse : la protection filtre l'attaque et rend le scénario plus difficile à réussir.
2. Gravité en baisse : si le portail tombe, les résultats urgents arrivent quand même ; les conséquences d'une indisponibilité diminuent.
3. Aucun effet mesurable, voire un effet inverse : une telle déclaration peut provoquer des attaquants. Ce n'est pas une mesure de sécurité. La décision de ne pas payer une rançon est une bonne pratique recommandée par l'ANSSI, mais elle se prépare (sauvegardes, plan de crise), elle ne s'affiche pas.

Tu avais trouvé ?

Oui, j'avais bonPas encore