Traitement du risque : réduire, transférer, éviter, accepter

Traiter un risque, c'est décider ce qu'on en fait une fois qu'il est évalué. Il existe quatre options : le réduire avec des mesures de sécurité, le transférer à un tiers (un assureur, un prestataire), l'éviter en renonçant à l'activité qui le crée, ou l'accepter en connaissance de cause. Ce chapitre explique chaque option, la façon de choisir des mesures proportionnées, le cas du rançongiciel que les sujets d'E7 adorent, puis le risque résiduel et son acceptation par la direction.

Les quatre options de traitement

La norme ISO/IEC 27005 et EBIOS RM emploient parfois d'autres mots (modification, partage, refus, maintien), mais les quatre idées sont les mêmes. À l'examen, les termes « réduire, transférer, éviter, accepter » sont compris de tous les correcteurs.

Réduire : choisir les bonnes mesures

Les mesures de sécurité ne sont pas toutes techniques. On en distingue quatre natures, et une bonne réponse d'examen en combine souvent plusieurs :

Pour choisir parmi les mesures possibles, on se pose quatre questions :

1. Efficacité : la mesure traite-t-elle vraiment le scénario, sur le bon maillon ? Un antivirus ne protège pas d'une faille IDOR dans le portail.
2. Coût : achat, mise en œuvre, exploitation, formation. Une mesure qui coûte plus que le risque qu'elle réduit est disproportionnée.
3. Délai : certaines mesures se déploient en une journée (fermer un port), d'autres en plusieurs mois (segmenter le réseau). On commence souvent par une mesure rapide, puis on prévoit la mesure de fond.
4. Acceptabilité : une mesure trop pénible pour les utilisateurs sera contournée. Un mot de passe de 20 caractères à changer chaque mois finit sur un post-it.

Le cas du rançongiciel

Le rançongiciel (ransomware) est la menace la plus citée par les sujets d'E7, pour les deux options. C'est un logiciel malveillant qui chiffre les données et les systèmes, puis réclame une rançon contre la clé de déchiffrement ; les groupes actuels volent aussi les données avant de les chiffrer et menacent de les publier.

Le sujet 2025 de l'option SLAM consacrait une mission entière à cet « événement redouté » : citer deux impacts d'une attaque réussie sur le système d'information, puis trois mesures techniques pour s'en prémunir. Voici de quoi répondre à ce type de question, en suivant les recommandations du guide de l'ANSSI « Attaques par rançongiciels, tous concernés ».

Les impacts à citer, toujours rattachés au contexte :

• l'indisponibilité des données et des applications, donc l'arrêt ou la dégradation de l'activité ;
• la perte de données si les sauvegardes sont chiffrées elles aussi, ou trop anciennes ;
• la divulgation de données volées (double extorsion), avec les obligations du RGPD en cas de données personnelles ;
• le coût de la remise en état, de l'enquête, des heures perdues, et l'atteinte à l'image.

Les mesures, classées selon le moment où elles agissent :

Côté SLAM, les mesures applicatives comptent aussi : une application qui stocke des mots de passe hachés, chiffre ses données sensibles et journalise les accès limite ce que l'attaquant obtient s'il vole la base ; le cours Sécurité des applications et le chapitre Injection SQL et requêtes préparées du cours SQL montrent comment les coder. Côté SISR, l'essentiel se joue sur la segmentation, les comptes à privilèges et les sauvegardes. Les cours Cybersécurité infrastructure, Windows Server et Sauvegarde et PRA détaillent leur mise en œuvre.

Transférer : l'assurance et la sous-traitance

Transférer un risque, c'est en faire supporter les conséquences financières par un autre. Deux moyens principaux :

• L'assurance cyber rembourse tout ou partie des pertes : frais d'expertise, reconstruction, pertes d'exploitation, gestion de crise, responsabilité envers les tiers. Les assureurs exigent désormais un niveau minimal de sécurité avant de couvrir (second facteur, sauvegardes hors ligne, correctifs) : on ne transfère bien qu'un risque déjà réduit. En France, depuis la loi d'orientation et de programmation du ministère de l'Intérieur de 2023, l'indemnisation d'une cyberattaque par l'assurance est subordonnée au dépôt d'une plainte au plus tard 72 heures après la découverte de l'atteinte (article L. 12-10-1 du Code des assurances).
• La sous-traitance confie une activité à un prestataire plus compétent : hébergement certifié, infogérance, centre de détection. Le contrat fixe ses obligations et ses pénalités.

Éviter : renoncer à ce qui crée le risque

Éviter un risque, c'est supprimer sa cause. C'est souvent la mesure la plus efficace et la plus oubliée :

• ne pas collecter une donnée dont on n'a pas besoin (une donnée qu'on n'a pas ne peut pas fuir) : c'est le principe de minimisation du RGPD ;
• ne pas développer une fonctionnalité risquée et peu utile : l'export de toute la base patients depuis le portail n'a aucune utilité métier ;
• supprimer un service exposé inutile : un serveur FTP oublié, une ancienne version du site encore en ligne ;
• confier le paiement en ligne à un prestataire spécialisé plutôt que de stocker des numéros de carte.

Accepter : une décision écrite

Accepter un risque est une décision de la direction, pas du technicien. Elle se prend en connaissance de cause et se documente : le risque, son niveau, la raison de l'acceptation, la personne qui décide, la date de revue. Dans l'administration, cette décision prend la forme d'une homologation de sécurité : une autorité désignée atteste, avant la mise en service d'un système, qu'elle connaît et accepte ses risques résiduels.

On accepte un risque quand :

• il est déjà dans la zone acceptable de la matrice ;
• les mesures possibles coûtent plus cher que les conséquences possibles ;
• aucune mesure raisonnable n'existe à court terme, et on le surveille en attendant.

Le risque résiduel

Le risque résiduel est le risque qui subsiste après le traitement. On le réévalue avec les mêmes échelles, en tenant compte des mesures prévues, puis la direction l'accepte. Voici le plan de traitement de Rhône Analyses, avec la matrice du chapitre 3.

Pour R3, aucune mesure raisonnable ne fait baisser davantage le risque : la gravité reste critique par nature (un résultat faux peut nuire à un patient) et la vraisemblance est déjà au plus bas. La direction l'accepte en zone « moyen », avec une surveillance : contrôle des journaux de modification des résultats validés.

Comment le traitement tombe à l'E7

Les questions de traitement sont les plus fréquentes du dossier d'analyse de risques. Dans les sujets SLAM récents :

• 2022 : proposer deux mesures à prévoir pour chacun de deux scénarios de risques (une attaque des mots de passe, une injection de code visant le progiciel de gestion intégré) ;
• 2024 : proposer une piste d'amélioration pour minimiser le niveau d'un risque déjà placé dans la matrice ;
• 2025 : citer trois mesures techniques contre les attaques par rançongiciel.

Trois règles pour ces questions :

• Respecte la nature demandée. Si la question dit « mesures techniques », la sensibilisation des utilisateurs ne compte pas.
• Une mesure, c'est une action précise sur un élément précis, avec ce qu'elle empêche : « imposer un second facteur sur le VPN de télémaintenance, pour qu'un mot de passe volé ne suffise pas à entrer », plutôt que « renforcer la sécurité ».
• Rattache chaque mesure au scénario : elle doit couper un maillon de la chaîne décrite dans le sujet.

Pour aller plus loin. Les mesures de réduction les plus citées ont chacune leur chapitre : l'authentification forte, la segmentation et la DMZ, le chiffrement des disques et des fichiers et la réponse à un rançongiciel.

Exercices

Exercice 1 sur 5 Quelle option ? Réussi À revoir

Pour chaque décision, indique l'option de traitement choisie.

1. Une association supprime de son formulaire d'adhésion le champ « numéro de sécurité sociale », dont elle ne se servait pas.
2. Une PME souscrit un contrat qui couvre les pertes d'exploitation après une cyberattaque.
3. Une école chiffre les disques de tous ses ordinateurs portables.
4. Le directeur d'une agence signe une note : « Le risque d'indisponibilité de l'intranet pendant 48 heures est jugé acceptable ; il sera réévalué dans un an. »
5. Une boutique en ligne confie le paiement par carte à un prestataire de paiement et ne voit plus jamais passer les numéros de carte.

Voir la réponseMasquer la réponse de l'exercice 1

1. Éviter : la donnée n'est plus collectée, le risque de sa divulgation disparaît (c'est aussi l'application du principe de minimisation du RGPD).
2. Transférer : les conséquences financières sont partagées avec l'assureur.
3. Réduire : en cas de vol d'un portable, les données restent illisibles ; la gravité du vol baisse.
4. Accepter : une décision explicite et documentée de la direction, avec une date de revue.
5. Éviter (pour le stockage des numéros de carte) et transférer (une partie de la gestion du risque passe au prestataire, contractuellement). La réponse « éviter » seule est acceptée si elle est justifiée : la boutique ne détient plus la donnée.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 5 Proposer des mesures pour des scénarios (SLAM) Réussi À revoir

Une application web permet aux clients d'un loueur de matériel de chantier de réserver des engins. Propose deux mesures pour chaque scénario, en précisant ce que chacune empêche.

1. En tant qu'attaquant externe, j'utilise un outil qui essaie automatiquement des milliers de mots de passe sur le formulaire de connexion.
2. En tant que client peu scrupuleux, je modifie dans la requête envoyée au serveur le prix de location calculé par la page, avant de valider.

Voir la réponseMasquer la réponse de l'exercice 2

1. Exemples de mesures :
   • Limiter les tentatives : bloquer temporairement un compte ou une adresse IP après quelques échecs (ou ralentir les réponses), pour rendre l'attaque par force brute beaucoup trop lente.
   • Authentification à plusieurs facteurs : un code envoyé ou généré en plus du mot de passe ; un mot de passe deviné ne suffit plus à se connecter.
   • Acceptées aussi : imposer des mots de passe longs (politique de mots de passe), vérifier les mots de passe contre une liste de mots de passe compromis, ajouter un CAPTCHA après plusieurs échecs.
2. Exemples de mesures :
   • Recalculer le prix côté serveur à partir des tarifs de la base, sans jamais utiliser un prix envoyé par le client : la modification de la requête n'a plus d'effet.
   • Contrôler la cohérence avant d'enregistrer (par exemple par un déclencheur ou une règle métier qui vérifie que le montant correspond au tarif et à la durée), et journaliser les réservations dont le montant diffère du calcul, pour détecter les tentatives.

Le principe à citer : ne jamais faire confiance aux données envoyées par le client ; toute règle métier se vérifie côté serveur.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 5 Rançongiciel dans une clinique vétérinaire (SISR) Réussi À revoir

Une clinique vétérinaire de 25 salariés utilise un logiciel de gestion des dossiers des animaux et des rendez-vous, installé sur un serveur dans ses locaux. Les sauvegardes partent chaque nuit sur un disque USB branché en permanence sur ce serveur.

1. Cite deux impacts d'une attaque réussie par rançongiciel sur le système d'information de la clinique.
2. Cite trois mesures techniques pour s'en prémunir, en justifiant chacune.

Voir la réponseMasquer la réponse de l'exercice 3

1. Deux impacts parmi :
   • Indisponibilité du logiciel de gestion : plus d'accès aux dossiers médicaux des animaux (traitements, allergies) ni au planning ; les consultations et les interventions sont retardées ou annulées.
   • Perte de données : le disque USB étant branché en permanence, les sauvegardes sont chiffrées en même temps ; la clinique peut perdre tout son historique.
   • Divulgation des données des clients (noms, adresses, coordonnées bancaires éventuelles) si elles ont été copiées avant le chiffrement, avec une notification à la CNIL.
   • Perte de chiffre d'affaires et coûts de reconstruction.
2. Trois mesures techniques parmi :
   • Une copie de sauvegarde déconnectée (disque débranché après chaque sauvegarde et rangé ailleurs, ou stockage externe immuable), avec des tests de restauration : on peut repartir sans payer.
   • Appliquer les correctifs de sécurité du système et du logiciel rapidement : la plupart des rançongiciels exploitent des failles connues.
   • Supprimer les droits d'administrateur des utilisateurs sur leurs postes et utiliser un compte d'administration distinct : un poste infecté ne peut pas installer de logiciel ni se propager facilement.
   • Acceptées aussi : filtrage des courriels et des pièces jointes, second facteur sur les accès distants, EDR ou antivirus à jour avec détection comportementale, segmentation du réseau.

La sensibilisation à l'hameçonnage est une excellente mesure, mais elle est humaine : elle ne répond pas à une question qui demande des mesures techniques.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 5 Calculer le risque résiduel Réussi À revoir

Avec la matrice de Rhône Analyses (chapitre 3), donne le niveau initial, puis le niveau résiduel de chaque risque après les mesures, en indiquant l'axe sur lequel chaque mesure agit.

1. Vol d'un ordinateur portable de biologiste contenant des résultats : G3 × V3. Mesure : chiffrement intégral du disque. Nouvelle gravité estimée : G1, vraisemblance inchangée.
2. Hameçonnage d'un compte de messagerie : G2 × V4. Mesure : second facteur obligatoire. Nouvelle vraisemblance estimée : V2, gravité inchangée.
3. Panne du serveur du SIL : G4 × V2. Mesures : serveur de secours et réplication. Nouvelle gravité estimée : G2 et nouvelle vraisemblance : V1.

Voir la réponseMasquer la réponse de l'exercice 4

1. Initial G3 × V3 : élevé. Le chiffrement agit sur la gravité (le voleur ne peut pas lire les données). Résiduel G1 × V3 : faible.
2. Initial G2 × V4 : élevé. Le second facteur agit sur la vraisemblance (un mot de passe volé ne suffit plus). Résiduel G2 × V2 : moyen.
3. Initial G4 × V2 : élevé. La redondance agit sur les deux axes : la panne d'un serveur ne suffit plus à arrêter le service (vraisemblance de l'interruption) et la reprise est rapide (gravité). Résiduel G2 × V1 : faible.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 5 sur 5 L'assurance et la plainte Réussi À revoir

Une entreprise assurée contre les cyberattaques découvre un rançongiciel le lundi 3 novembre 2025 à 8 h. Le responsable informatique veut d'abord tout restaurer et ne porter plainte qu'à la fin de la semaine suivante. Que risque l'entreprise, et avant quelle date limite doit-elle porter plainte ?

Voir la réponseMasquer la réponse de l'exercice 5

Si la plainte est déposée plus de 72 heures après la connaissance de l'atteinte, l'assureur peut refuser l'indemnisation : l'article L. 12-10-1 du Code des assurances subordonne le versement au dépôt d'une plainte dans ce délai. Découverte le lundi 3 novembre à 8 h, l'entreprise doit porter plainte au plus tard le jeudi 6 novembre à 8 h. La restauration et la plainte se mènent en parallèle ; la plainte peut d'ailleurs être complétée ensuite.

Tu avais trouvé ?

Oui, j'avais bonPas encore