Chapitre 313 minDébutant
Menace, vulnérabilité, risque : analyser les risques
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- distinguer actif, menace, vulnérabilité et impact ;
- formuler un risque en une phrase complète ;
- calculer un niveau de risque et le placer dans une matrice ;
- choisir une option de traitement : réduire, transférer, éviter, accepter ;
- décrire les cinq ateliers d'EBIOS Risk Manager.
4 exercices corrigés3 schémas
Un risque est la possibilité qu'une menace exploite une vulnérabilité d'un actif et cause un impact sur l'organisation. Analyser les risques, c'est les recenser, estimer leur niveau à partir de leur gravité et de leur vraisemblance, puis décider comment les traiter. Ce chapitre donne le vocabulaire exact, une méthode simple que tu peux appliquer à l'examen, et un aperçu de la méthode EBIOS Risk Manager de l'ANSSI.
Actif, menace, vulnérabilité, impact : la différence
Ces quatre mots sont souvent confondus. À l'E7, les employer correctement fait la différence.
| Notion | Définition | Exemple chez Soléane |
|---|---|---|
| Actif (ou bien) | Ce qui a de la valeur pour l'organisation et doit être protégé | Le fichier clients, l'extranet de commande, le serveur de fichiers |
| Menace | Ce qui peut porter atteinte à l'actif : une cause potentielle d'incident | Un groupe cybercriminel, un incendie, une erreur de manipulation |
| Vulnérabilité | La faiblesse de l'actif ou de sa protection qui permet à la menace d'agir | Un serveur non mis à jour, un mot de passe faible, l'absence de sauvegarde hors ligne |
| Impact | La conséquence pour l'organisation si la menace se réalise | Arrêt des livraisons, perte de chiffre d'affaires, sanction de la CNIL, atteinte à l'image |
Le risque relie les quatre : une menace exploite une vulnérabilité d'un actif et produit un impact. Sans vulnérabilité, la menace ne peut rien ; sans actif de valeur, l'impact est faible. C'est pourquoi on ne supprime presque jamais la menace (on ne contrôle pas les cybercriminels) : on agit sur les vulnérabilités et on limite les impacts.
La méthode EBIOS Risk Manager distingue deux sortes d'actifs. Les valeurs métier sont ce que l'organisation fait ou détient d'important : la prise de commande, les données clients. Les biens supports sont les éléments techniques, humains ou physiques qui les portent : le serveur web, la base MySQL, l'équipe commerciale, la salle serveur. On attaque un bien support pour atteindre une valeur métier.
Formuler un risque en une phrase
Un risque bien formulé tient en une phrase qui contient tous les éléments. Le modèle suivant marche dans toutes les copies :
Une source de risque exploite une vulnérabilité de un bien support pour une action, ce qui provoque un impact sur un critère DICP.
Exemple : « Un groupe cybercriminel exploite l'absence de limitation des tentatives de connexion sur l'extranet pour deviner le mot de passe d'un compte administrateur, ce qui lui permet d'exporter le fichier des clients : atteinte à la confidentialité de données personnelles, avec obligation de notifier la CNIL et risque de sanction. »
Estimer le niveau d'un risque : gravité et vraisemblance
Tous les risques ne se valent pas. On les compare avec deux mesures.
- La gravité (ou impact) : l'importance des conséquences si le risque se réalise.
- La vraisemblance (ou probabilité) : la chance qu'il se réalise, compte tenu de la menace et des vulnérabilités.
On note chacune sur une échelle, par exemple de 1 à 4 :
| Note | Gravité | Vraisemblance |
|---|---|---|
| 1 | Mineure : gêne sans conséquence durable | Peu vraisemblable : aucune trace d'attaque de ce type, vulnérabilité difficile à exploiter |
| 2 | Significative : activité perturbée, coût limité | Vraisemblable : cela arrive dans le secteur |
| 3 | Grave : activité arrêtée plusieurs jours, coût important, sanction possible | Très vraisemblable : attaque courante et vulnérabilité facile à exploiter |
| 4 | Critique : survie de l'organisation en jeu, atteinte aux personnes | Quasi certain : cela s'est déjà produit ou se produit en ce moment |
Le niveau de risque combine les deux, le plus souvent par un produit : niveau = gravité × vraisemblance, de 1 à 16. On place ensuite chaque risque dans une matrice des risques qui délimite trois zones : risques acceptables, risques à surveiller, risques inacceptables à traiter en priorité.
Exemple : les risques de Soléane
Le responsable informatique de Soléane a recensé cinq risques et les a évalués :
| # | Risque | Gravité | Vraisemblance | Niveau |
|---|---|---|---|---|
| R1 | Rançongiciel sur le serveur de fichiers via un courriel piégé | 4 | 3 | 12 |
| R2 | Vol du fichier clients par force brute sur l'extranet | 3 | 3 | 9 |
| R3 | Incendie de la salle serveur de Lyon | 4 | 1 | 4 |
| R4 | Fraude au faux RIB par usurpation d'un fournisseur | 3 | 2 | 6 |
| R5 | Défiguration du site vitrine | 2 | 2 | 4 |
Avec les seuils « 1 à 3 acceptable, 4 à 8 à surveiller, 9 à 16 inacceptable », R1 et R2 sont à traiter en priorité. R3 a un niveau modeste, mais sa gravité maximale impose au moins un plan de reprise : un niveau bas ne dispense pas de réfléchir aux scénarios catastrophiques.
Traiter un risque : quatre options
Une fois les risques classés, la direction choisit, pour chacun, une option de traitement.
| Option | Principe | Exemple chez Soléane |
|---|---|---|
| Réduire | Mettre en place des mesures qui diminuent la vraisemblance ou la gravité | R2 : limitation des tentatives, MFA pour les comptes d'administration, alerte en cas d'échecs répétés |
| Transférer (partager) | Faire porter tout ou partie des conséquences par un tiers | R1 : souscrire une assurance cyber ; confier l'hébergement de l'extranet à un hébergeur qui s'engage sur la disponibilité |
| Éviter (refuser) | Renoncer à l'activité ou au service qui crée le risque | Supprimer l'accès au bureau à distance depuis Internet plutôt que de le protéger |
| Accepter (maintenir) | Ne rien faire de plus, en connaissance de cause | R5 : la direction accepte le risque de défiguration du site vitrine, qui ne contient aucune donnée |
Après traitement, il reste toujours un risque résiduel : le risque zéro n'existe pas. C'est la direction, pas le service informatique, qui accepte formellement ce risque résiduel, car c'est elle qui en assume les conséquences.
Les mesures de réduction se classent aussi selon le moment où elles agissent :
- préventives : elles empêchent l'incident (correctifs, MFA, droits minimaux) ;
- de détection : elles signalent l'incident en cours (journaux, alertes, antivirus) ;
- correctives (ou de réaction) : elles limitent les dégâts et permettent de revenir à la normale (sauvegardes, plan de reprise, procédure de réponse à incident).
Un bon plan de traitement combine les trois. Les sauvegardes ne préviennent rien, mais sans elles, un rançongiciel réussi est catastrophique.
EBIOS Risk Manager, la méthode de l'ANSSI
Pour une analyse de risques complète, les organisations françaises utilisent souvent EBIOS Risk Manager (EBIOS RM), la méthode publiée par l'ANSSI en 2018 et mise à jour en 2024 (version 1.5). Elle se déroule en cinq ateliers :
| Atelier | Objectif | Ce qu'on produit |
|---|---|---|
| 1. Cadrage et socle de sécurité | Définir le périmètre, les valeurs métier, les biens supports, les événements redoutés et leur gravité ; vérifier les règles de sécurité de base déjà appliquées | La liste des événements redoutés, le socle de sécurité et ses écarts |
| 2. Sources de risque | Identifier qui pourrait attaquer et dans quel but | Des couples source de risque et objectif visé, retenus ou écartés |
| 3. Scénarios stratégiques | Décrire comment l'attaquant atteint son objectif, y compris en passant par l'écosystème (fournisseurs, prestataires, clients) | Des chemins d'attaque de haut niveau, évalués en gravité |
| 4. Scénarios opérationnels | Détailler les modes opératoires techniques sur les biens supports | Des scénarios techniques évalués en vraisemblance |
| 5. Traitement du risque | Choisir les mesures, évaluer le risque résiduel, planifier | Une stratégie de traitement et un plan d'amélioration continue |
Tu n'as pas à mener une analyse EBIOS RM complète à l'examen. On attend plutôt que tu saches lire un extrait (une liste d'événements redoutés avec leur gravité, une matrice de scénarios), que tu en tires des priorités et que tu proposes des mesures cohérentes.
Les normes à connaître de nom
| Référence | Contenu |
|---|---|
| ISO/IEC 27001 | Les exigences d'un système de management de la sécurité de l'information (SMSI) ; une organisation peut être certifiée |
| ISO/IEC 27002 | Le catalogue des mesures de sécurité |
| ISO/IEC 27005 | La gestion des risques liés à la sécurité de l'information |
| EBIOS RM | La méthode française d'analyse de risques, compatible avec ISO 27005 |
| AIPD (analyse d'impact relative à la protection des données) | L'analyse de risques imposée par le RGPD pour les traitements de données personnelles à risque élevé, centrée sur les personnes concernées (cours Droit et RGPD) |
Le même raisonnement en SLAM et en SISR
En SLAM, l'analyse de risques se fait dès la conception d'une application (security by design) : pour chaque fonctionnalité, on se demande qui pourrait l'abuser et comment. Le formulaire d'upload de prescriptions de l'extranet ? Un attaquant pourrait déposer un script exécutable : on limite les types de fichiers, on renomme les fichiers, on les stocke hors de la racine web. Le risque est réduit avant d'avoir écrit la première ligne de code.
En SISR, l'analyse porte sur l'infrastructure : un seul contrôleur de domaine (disponibilité), un pare-feu en fin de support (vulnérabilité), une salle serveur sans détection d'incendie. Chaque constat devient un risque évalué, puis une ligne du plan de traitement avec un coût et un délai.
Pour aller plus loin. Le cours Analyse de risques reprend chaque étape en détail : la matrice gravité × vraisemblance, les cinq ateliers d'EBIOS Risk Manager et le traitement du risque.
Exercices
Exercice 1 sur 4 Menace ou vulnérabilité ? Réussi À revoir
Classe chaque élément : actif, menace, vulnérabilité ou impact.
- Le contrôleur de domaine de Soléane.
- Un groupe de rançongiciel.
- Les sauvegardes stockées sur un NAS connecté en permanence au réseau.
- Trois jours sans pouvoir livrer les clients.
- Une coupure de courant prolongée.
- Un serveur web qui n'a pas reçu de mise à jour depuis 14 mois.
Voir la réponseMasquer la réponse de l'exercice 1
- Actif (un bien support critique).
- Menace (source de risque malveillante).
- Vulnérabilité : un rançongiciel qui atteint le réseau peut chiffrer aussi ces sauvegardes.
- Impact (sur la disponibilité de l'activité).
- Menace (environnementale).
- Vulnérabilité : il contient très probablement des failles connues.
Tu avais trouvé ?
Exercice 2 sur 4 Calculer et prioriser Réussi À revoir
Avec l'échelle de 1 à 4 du cours et les seuils « 1 à 3 acceptable, 4 à 8 à surveiller, 9 à 16 inacceptable », calcule le niveau de chaque risque, classe-les du plus prioritaire au moins prioritaire et indique la zone de chacun.
| Risque | Gravité | Vraisemblance |
|---|---|---|
| A. Perte d'un ordinateur portable non chiffré d'un commercial | 3 | 3 |
| B. Panne du seul contrôleur de domaine | 3 | 2 |
| C. Erreur de saisie d'un prix dans l'ERP | 2 | 4 |
| D. Attaque par déni de service sur le site vitrine | 1 | 2 |
Voir la réponseMasquer la réponse de l'exercice 2
| Risque | Calcul | Niveau | Zone |
|---|---|---|---|
| A | 3 × 3 | 9 | Inacceptable |
| C | 2 × 4 | 8 | À surveiller |
| B | 3 × 2 | 6 | À surveiller |
| D | 1 × 2 | 2 | Acceptable |
Ordre de priorité : A, C, B, D. Pour A, la mesure évidente est le chiffrement du disque (BitLocker), qui fait chuter la gravité : un portable perdu n'expose plus les données. Pour B, un second contrôleur de domaine réduit fortement la gravité d'une panne.
Tu avais trouvé ?
Exercice 3 sur 4 Formuler un risque Réussi À revoir
Rédige, avec le modèle du cours, le risque suivant : les techniciens de Soléane se connectent au serveur de l'extranet depuis chez eux en bureau à distance, ouvert directement sur Internet, avec un simple mot de passe.
Voir la réponseMasquer la réponse de l'exercice 3
« Un attaquant opportuniste exploite l'exposition directe du bureau à distance (RDP) sur Internet, protégé par un simple mot de passe, pour en deviner un par force brute ou le réutiliser après une fuite, et prendre le contrôle du serveur de l'extranet. Il peut alors voler les données des clients (atteinte à la confidentialité), modifier les commandes (intégrité) ou chiffrer le serveur (disponibilité). »
Traitement proposé : éviter l'exposition du RDP (le fermer sur Internet) et réduire le risque en imposant un VPN avec authentification multifacteur pour l'administration à distance.
Tu avais trouvé ?
Exercice 4 sur 4 Choisir une option de traitement Réussi À revoir
Pour chaque situation, indique l'option de traitement choisie (réduire, transférer, éviter, accepter).
- Soléane souscrit une police d'assurance qui couvre les frais de reprise après une cyberattaque.
- Soléane supprime le vieux forum public de son site, qu'elle n'utilise plus et qui n'est plus maintenu.
- Soléane active l'authentification multifacteur sur la messagerie.
- La direction décide de ne rien faire contre le risque de panne de la borne Wi-Fi de la salle de pause.
Voir la réponseMasquer la réponse de l'exercice 4
- Transférer : les conséquences financières sont en partie portées par l'assureur. Le risque technique, lui, reste entier.
- Éviter : l'activité qui crée le risque disparaît.
- Réduire : la vraisemblance d'une prise de contrôle des boîtes aux lettres baisse.
- Accepter : le risque est jugé faible et assumé par la direction.
Tu avais trouvé ?