Risque, menace, vulnérabilité : le vocabulaire

En cybersécurité, un risque est la possibilité qu'un événement redouté se produise et nuise à l'organisation ; on l'estime en combinant sa gravité (l'ampleur des conséquences) et sa vraisemblance (la possibilité qu'il se réalise). Ce chapitre définit les mots que tu vas employer dans tout le cours et à l'examen : menace, vulnérabilité, valeur métier, bien support, source de risque, événement redouté, scénario, mesure et risque résiduel. Il montre ensuite les étapes d'une démarche de gestion des risques et la façon dont l'E7 te fait « caractériser un risque ».

Risque, menace, vulnérabilité : la différence

Ces trois mots sont souvent employés l'un pour l'autre. À l'écrit, les confondre coûte des points, parce que la question porte justement sur l'un d'eux.

Une formule aide à retenir comment ces notions s'articulent :

Risque = menace × vulnérabilité × impact

Ce n'est pas un calcul : c'est un moyen mnémotechnique. Il dit que si un seul facteur est nul, le risque l'est aussi. Une vulnérabilité que personne ne cherche à exploiter, un attaquant qui ne trouve aucune faille, une faille sur un serveur de test sans aucune donnée : dans les trois cas, le risque est faible. Et il dit où agir : on ne supprime pas les cybercriminels (la menace), mais on peut corriger la vulnérabilité ou réduire l'impact.

Valeur métier et bien support

Pour savoir ce qui est en jeu, on distingue deux sortes de biens, comme le fait la méthode EBIOS Risk Manager de l'ANSSI.

• Une valeur métier est ce qui a de la valeur pour l'organisation : une activité (réaliser les analyses, facturer) ou une information (les résultats d'analyses, les dossiers des patients). C'est ce que la direction veut protéger, même si elle ne connaît rien à l'informatique.
• Un bien support est un élément du système d'information sur lequel repose une valeur métier : un serveur, un logiciel, une base de données, un réseau, un poste, mais aussi des personnes, des locaux ou un prestataire.

La distinction a une conséquence pratique : l'attaquant vise un bien support, l'organisation souffre sur une valeur métier. Le rançongiciel chiffre le serveur du SIL (bien support) ; la direction, elle, constate que les résultats ne sortent plus (valeur métier). Dans une réponse d'examen, cite les deux : le bien technique touché et l'activité qui en pâtit.

Source de risque, événement redouté, scénario

Trois mots de plus complètent la chaîne.

• La source de risque est l'élément, la personne ou le groupe à l'origine d'un risque, avec ses motivations : un cybercriminel qui veut de l'argent, un salarié licencié qui veut se venger, un concurrent qui veut des secrets, un hacktiviste qui veut faire parler de lui. Le mot est plus précis que « menace » parce qu'il oblige à dire qui et pourquoi.
• L'événement redouté décrit, du point de vue de l'organisation, ce qu'elle ne veut pas voir arriver à une valeur métier : « les résultats d'analyses sont divulgués », « un résultat validé est modifié », « la production des résultats est interrompue plus de 24 heures ». Il se formule sans technique : c'est la conséquence, pas le moyen.
• Le scénario de risque raconte comment une source de risque pourrait provoquer un événement redouté, en passant par des biens supports et en exploitant des vulnérabilités.

Toutes les menaces ne sont pas intentionnelles. Une panne de disque, un incendie, une erreur de manipulation ou une coupure d'électricité produisent aussi des événements redoutés. EBIOS Risk Manager se concentre sur les menaces intentionnelles (les attaques) et traite les accidents à travers le socle de sécurité : les règles de base, comme les sauvegardes ou l'onduleur, qu'on applique de toute façon (chapitre 4). Une analyse complète couvre les deux familles, et le plan de continuité d'activité s'occupe des sinistres.

Gravité, vraisemblance, niveau de risque

Pour comparer les risques entre eux, on leur donne une valeur sur deux échelles.

• La gravité mesure l'ampleur des conséquences de l'événement redouté pour l'organisation : de « mineure » (on s'en remet sans difficulté) à « critique » (l'activité ou la survie de l'organisation est menacée, la sécurité des personnes est en jeu).
• La vraisemblance mesure la possibilité que le scénario se réalise, compte tenu de la motivation et des moyens de la source de risque et des protections en place : de « peu vraisemblable » à « quasi certain ».

Le croisement des deux donne le niveau de risque, lu dans une matrice des risques. Le chapitre 3 détaille les échelles et la façon de justifier un placement.

Mesures de sécurité et risque résiduel

Une mesure de sécurité est un moyen technique, organisationnel, humain ou juridique qui diminue un risque. On les classe souvent selon le moment où elles agissent :

Le risque mesuré avant les nouvelles mesures s'appelle le risque initial (ou brut). Celui qui subsiste une fois les mesures appliquées est le risque résiduel. Le risque zéro n'existe pas : le but est d'amener chaque risque à un niveau que la direction accepte, en le disant clairement (chapitre 5).

Les mots qu'on confond

Les étapes d'une démarche de gestion des risques

Quelle que soit la méthode, une démarche de gestion des risques suit les mêmes grandes étapes, décrites par la norme ISO/IEC 27005 (chapitre 7) :

1. Établir le contexte. Délimiter le périmètre (tout le laboratoire, ou seulement le portail ?), identifier les valeurs métier, fixer les échelles de gravité et de vraisemblance et les critères d'acceptation du risque.
2. Apprécier les risques. Les identifier (sources, événements redoutés, scénarios), les analyser (gravité, vraisemblance), puis les évaluer (lesquels dépassent le seuil acceptable ?).
3. Traiter les risques. Pour chacun, choisir de le réduire, de le transférer, de l'éviter ou de l'accepter, puis planifier les mesures.
4. Accepter les risques résiduels. La direction valide formellement ce qui reste.
5. En continu : communiquer et surveiller. Informer les personnes concernées et revoir l'analyse quand le contexte change (nouvelle application, nouvelle menace, incident).

Plusieurs méthodes outillent cette démarche :

Caractériser un risque à l'E7

Les sujets demandent souvent de « caractériser un risque », de « décrire un scénario de risque » ou d'« expliquer le risque ». Le sujet 2023 de l'option SLAM demandait ainsi de décrire un scénario de risque exploitant l'absence de restriction d'accès aux menus d'une application, et le sujet 2024 un scénario qui rende pertinent le chiffrement d'une base de données. La réponse attendue tient en trois à cinq lignes et contient toujours les mêmes éléments.

Gabarit d'un scénario de risque. [Source de risque, avec sa motivation] exploite [vulnérabilité] de [bien support] pour [action], ce qui provoque [événement redouté sur la valeur métier] et entraîne [impacts concrets pour l'organisation].

Exemple côté SLAM, sur le portail MonRésultat :

Un patient curieux ou malveillant modifie le numéro de dossier dans l'adresse de la page de résultats (/resultats?id=10452 devient id=10453). Le portail ne vérifie pas que le dossier appartient à la personne connectée (contrôle d'accès absent, faille IDOR). Il consulte ainsi les résultats d'autres patients : c'est une divulgation de données de santé. Rhône Analyses s'expose à une violation de données à notifier à la CNIL, à une sanction et à une perte de confiance des patients et des médecins.

Exemple côté SISR, sur l'infrastructure :

Un cybercriminel cherchant une rançon envoie un courriel piégé à une secrétaire. Le poste n'a pas de protection contre l'exécution de pièces jointes et les utilisateurs sont administrateurs de leur poste ; le rançongiciel s'installe, se propage par le réseau plat jusqu'au serveur de fichiers et au serveur du SIL, puis les chiffre. La production des résultats s'arrête : retards de prise en charge des patients, pertes de chiffre d'affaires, coûts de reconstruction.

Pour aller plus loin. Les grandes familles d'attaques, qui fournissent les menaces de tes scénarios, sont présentées dans le chapitre Les types de cyberattaques du cours Cybersécurité : les fondamentaux.

Exercices

Exercice 1 sur 4 Classer les notions Réussi À revoir

Pour chaque élément, indique s'il s'agit d'une valeur métier, d'un bien support, d'une source de risque, d'une vulnérabilité, d'un événement redouté ou d'un impact.

1. Le serveur de base de données MySQL du portail.
2. Un ancien prestataire dont le contrat n'a pas été renouvelé et qui garde rancune.
3. Le compte administrateur du pare-feu utilise encore le mot de passe d'usine.
4. « Les résultats d'un patient sont transmis au mauvais médecin. »
5. La transmission des résultats aux médecins prescripteurs.
6. Une amende de la CNIL et des articles de presse négatifs.
7. L'équipe d'accueil des laboratoires.

Voir la réponseMasquer la réponse de l'exercice 1

1. Bien support : un élément technique sur lequel repose une valeur métier (transmettre les résultats).
2. Source de risque : une personne avec une motivation (la vengeance), d'autant plus dangereuse qu'elle connaît le système.
3. Vulnérabilité : une faiblesse de configuration qu'une menace peut exploiter.
4. Événement redouté : formulé du point de vue de l'organisation, sans le moyen technique ; il touche la confidentialité.
5. Valeur métier : une activité qui a de la valeur pour l'organisation.
6. Impacts : des conséquences financières, juridiques et d'image.
7. Bien support : les personnes font partie des biens supports (elles traitent l'information et peuvent être manipulées, par exemple par hameçonnage).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Menace, vulnérabilité ou risque ? Réussi À revoir

Corrige chacune de ces phrases d'un compte rendu de stage, en remplaçant le mot en gras par le mot juste.

1. « Le principal risque de l'entreprise, ce sont les hackers russes. »
2. « Le serveur web tourne sous une version de PHP qui n'est plus maintenue : c'est une menace importante. »
3. « Hier, le risque d'inondation s'est produit dans la salle serveur. »
4. « Nous avons mis en place un pare-feu, il n'y a donc plus aucun risque. »

Voir la réponseMasquer la réponse de l'exercice 2

1. Ce sont des sources de risque (ou une menace). Le risque serait par exemple « un groupe cybercriminel chiffre les serveurs pour obtenir une rançon et bloque l'activité ».
2. C'est une vulnérabilité : une version sans correctifs de sécurité expose des failles connues qu'une menace peut exploiter.
3. C'est un incident (un sinistre) : l'événement s'est produit. Le risque était sa possibilité.
4. Il reste un risque résiduel : le pare-feu réduit certains risques (accès réseau non autorisés), il n'empêche ni l'hameçonnage, ni l'erreur humaine, ni une faille applicative sur un port ouvert. Le risque zéro n'existe pas.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Écrire un scénario de risque (SLAM) Réussi À revoir

Le portail MonRésultat permet de télécharger un compte rendu en PDF. Nathan découvre que les fichiers sont stockés dans un dossier public du serveur web, avec des noms prévisibles : CR-2026-000001.pdf, CR-2026-000002.pdf, etc. Aucune authentification n'est demandée pour les télécharger. Écris le scénario de risque avec le gabarit du cours.

Voir la réponseMasquer la réponse de l'exercice 3

Un exemple de réponse complète :

Une personne malveillante (un individu qui revend des données, ou un simple curieux) découvre qu'un compte rendu se télécharge sans authentification et que les noms de fichiers se suivent. Elle exploite cette absence de contrôle d'accès et ces noms prévisibles sur le serveur web du portail en écrivant un script qui télécharge tous les fichiers de CR-2026-000001.pdf à CR-2026-999999.pdf. Résultat : une divulgation massive de données de santé (événement redouté sur la confidentialité des dossiers patients). Impacts pour Rhône Analyses : violation de données à notifier à la CNIL et sans doute aux patients, sanction possible, perte de confiance des patients et des médecins, coût de la gestion de crise.

Les éléments qui rapportent les points : la source de risque, les deux vulnérabilités, le bien support, l'événement redouté formulé en termes métier et au moins deux impacts concrets.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Écrire un scénario de risque (SISR) Réussi À revoir

Inès constate que le NAS qui reçoit les sauvegardes nocturnes est monté en permanence comme lecteur réseau sur le serveur de fichiers, avec le même compte administrateur que le reste du domaine. Écris un scénario de risque qui justifie de changer cette configuration, puis cite la mesure qui en découle.

Voir la réponseMasquer la réponse de l'exercice 4

Scénario. Un groupe cybercriminel qui cherche une rançon prend le contrôle d'un compte administrateur du domaine (par hameçonnage puis élévation de privilèges). Comme le NAS est accessible en permanence depuis le serveur de fichiers avec ce même compte (sauvegardes connectées et identifiants partagés), le rançongiciel chiffre les données de production et les sauvegardes. Rhône Analyses ne peut plus restaurer : l'arrêt de la production des résultats dure des semaines au lieu de quelques heures, avec une pression maximale pour payer la rançon.

Mesure. Garder au moins une copie des sauvegardes déconnectée ou immuable (hors ligne, ou stockage qui interdit la modification pendant une durée donnée), avec des identifiants dédiés que le domaine ne connaît pas, et tester la restauration régulièrement. C'est la logique de la règle 3-2-1 du cours Sauvegarde et PRA.

Tu avais trouvé ?

Oui, j'avais bonPas encore