Les méthodes d’évaluation des risques
Depuis la crise financière de 2008, l’analyse des risques a pris une place particulière dans la gestion interne des organisations. Auparavant, ce travail se faisait de façon ponctuelle et cloisonnée. À partir de cette date, les entreprises ont renforcé leur contrôle interne en étendant la gestion des risques à tous les domaines et à tous les services.
Aujourd’hui, de nombreuses méthodes d’analyse des risques permettent de rendre cette gestion systématique. Dans le périmètre de l’analyse des risques d’une entreprise, il est essentiel de prendre en compte les risques susceptibles de compromettre la sécurité de l’information. Plusieurs méthodes d’évaluation existent pour mener cette analyse ; nous présentons ici trois des plus connues : MEHARI, EBIOS et OCTAVE.
Les trois suivent la même logique de fond : identifier ce qu'il faut protéger, les menaces et les vulnérabilités, évaluer le risque et finir par un plan de traitement qui le ramène à un niveau acceptable. Nous expliquons la comparaison entre le risque avant et après les mesures dans risque inhérent et risque résiduel et, si vous devez aussi exprimer le risque en euros, dans la quantification des risques.
La méthode MEHARI
MEHARI est une méthode développée en 1998 par le CLUSIF (Club de la Sécurité de l’Information Français), devenue open source en 2007.
Elle vise à permettre une analyse directe et individuelle des situations de risque décrites dans différents scénarios, et à fournir un ensemble complet d’outils conçus pour gérer la sécurité à court, moyen et long terme, adaptables à différents niveaux de maturité.
Les phases de la méthode MEHARI sont les suivantes :
- Analyse ou évaluation des risques
Une situation de risque se caractérise par différents facteurs :
- Les facteurs structurels (ou organisationnels), qui ne dépendent pas des mesures de sécurité mais de l’activité principale de l’organisation, de son environnement et de son contexte.
- Les facteurs de réduction du risque, qui dépendent directement des mesures de sécurité mises en place.
MEHARI permet une évaluation qualitative et quantitative de ces facteurs, et en déduit les niveaux de risque.
Pour cela, elle intègre des outils (critères d’évaluation, formules, etc.) et des bases de connaissances (en particulier pour le diagnostic des mesures de sécurité), qui complètent le cadre d’analyse des risques.
Il faut adopter une démarche structurée pour identifier toutes les situations de risque potentielles, analyser les plus critiques et définir les actions qui ramèneront le risque à un niveau acceptable.
- Évaluations de sécurité
MEHARI intègre des questionnaires sur les mesures de sécurité, qui permettent d’évaluer la qualité des mécanismes et des solutions destinés à réduire le risque. Les mesures sont regroupées en services et en domaines de sécurité. L’évaluation suit les étapes suivantes :
- Revue des vulnérabilités ou évaluation des services de sécurité : MEHARI fournit un modèle de risque structuré qui considère les facteurs de réduction du risque sous la forme de services de sécurité.
L’évaluation des vulnérabilités sert à s’assurer que les services de sécurité remplissent réellement leur rôle.
Elle s’appuie sur une base de connaissances experte fournie par MEHARI pour évaluer la qualité des mesures de sécurité.
- Plans de sécurité fondés sur la revue des vulnérabilités : les plans de sécurité découlent directement de l’évaluation de l’état des services de sécurité.
La gestion de la sécurité consiste alors à réaliser une évaluation et à décider d’améliorer tous les services dont la qualité est insuffisante.
MEHARI propose des questionnaires de diagnostic adaptés à ce type de démarche.
- Appui des bases de connaissances pour créer un référentiel de sécurité : les bases de connaissances de MEHARI peuvent servir directement à créer un référentiel de sécurité, qui rassemble et décrit l’ensemble des règles et consignes de sécurité que l’organisation doit suivre.
Les questionnaires d’évaluation de MEHARI constituent une bonne base de travail pour aider les responsables de la sécurité à décider de ce qui doit être appliqué dans l’organisation.
Un ensemble de règles défini dans un référentiel de sécurité se heurte souvent à des difficultés d’application sur le terrain : il faut donc gérer des dérogations et des exceptions.
- Domaines couverts par le module d’évaluation des vulnérabilités : du point de vue de l’analyse des risques, puisqu’il s’agit d’identifier toutes les situations de risque et de couvrir tous les risques inacceptables, MEHARI ne se limite pas au domaine informatique.
Outre les systèmes d’information, le module d’évaluation couvre l’ensemble de l’organisation : la protection du site en général, l’environnement de travail et les aspects juridiques et réglementaires.
- Analyse des enjeux
Quelle que soit l’orientation de la politique de sécurité, tous les responsables s’accordent sur un principe : il doit exister un équilibre entre les investissements de sécurité d’une part et l’importance des grands enjeux de l’entreprise d’autre part.
Il est donc indispensable de comprendre les enjeux métier, et l’analyse du contexte de sécurité mérite d’être traitée en priorité, avec une méthode d’évaluation stricte et rigoureuse.
L’analyse des enjeux de sécurité doit répondre à une double question : que peut-il arriver, et si cela arrive, est-ce grave ?
MEHARI propose un module d’analyse des enjeux qui produit deux types de résultats :
- Une échelle de valeurs des dysfonctionnements possibles dans les processus opérationnels.
- Une classification de l’information et des actifs informatiques : pour chaque type d’information, chaque type d’actif et chaque critère de classification (généralement la confidentialité, l’intégrité et la disponibilité). Cette classification reprend l’échelle de valeurs des dysfonctionnements définie plus haut et la traduit en indicateurs de sensibilité associés aux actifs informatiques.
L’échelle de valeurs des dysfonctionnements et la classification de l’information et des actifs sont deux façons d’exprimer les enjeux de sécurité. La première est plus détaillée et apporte davantage d’informations au RSSI ; la seconde est plus générale et se prête mieux aux campagnes de sensibilisation et d’information.
La méthode EBIOS
EBIOS est une méthode promue par la DCSSI (Direction centrale de la sécurité des systèmes d’information), aujourd’hui l’ANSSI, à l’usage des administrations publiques françaises. Depuis 2018, la version en vigueur est EBIOS Risk Manager, organisée en cinq ateliers et centrée sur les scénarios d’attaque. Les étapes décrites ci-dessous sont celles de la version précédente, qui reste utile pour comprendre la logique de la méthode. EBIOS vise à donner une vision globale et cohérente de la sécurité des systèmes d’information, afin de déterminer les objectifs et les exigences de sécurité de l’entreprise.
La version précédente d’EBIOS comportait cinq étapes :
- Étude du contexte
Il faut étudier le contexte de l’entreprise et son évolution au fil du temps, afin d’identifier tous les éléments essentiels qui lui sont liés : matériel, logiciels, réseaux, organisation, personnel et sites.
- Expression des besoins de sécurité
Chaque élément identifié a des besoins de sécurité différents. Ces besoins s’expriment selon plusieurs critères de sécurité, comme la disponibilité, l’intégrité et la confidentialité. Ils sont évalués selon des critères prédéfinis, en tenant compte de l’impact que pourrait avoir la perte de l’un de ces critères.
- Étude des menaces
Chaque organisme est exposé à divers éléments menaçants, selon son environnement naturel et culturel, son image, son secteur d’activité, etc. Il faut donc identifier tous les éléments menaçants et les méthodes d’attaque qu’ils peuvent employer.
Selon la méthode d’attaque, chaque entreprise présente des vulnérabilités différentes, que les éléments menaçants correspondants pourront exploiter.
- Expression des objectifs de sécurité
Il reste à déterminer le risque, c’est-à-dire la façon dont les éléments menaçants et leurs méthodes d’attaque peuvent atteindre les éléments essentiels.
Le risque représente un sinistre possible : la possibilité qu’un élément menaçant atteigne les éléments essentiels en exploitant les vulnérabilités des entités sur lesquelles ils reposent, au moyen d’une méthode d’attaque particulière.
Les objectifs de sécurité permettent de couvrir les vulnérabilités détectées dans l’entité.
Par ailleurs, il est inutile de protéger ce qui n’est pas exposé. Plus le risque est important, plus les objectifs de sécurité le seront, et il n’y a pas lieu d’en fixer pour ce qui n’est pas exposé.
- Détermination des exigences de sécurité
L’équipe chargée d’appliquer la démarche EBIOS doit préciser les fonctionnalités de sécurité attendues. Avec ces exigences fonctionnelles, elle doit démontrer que les objectifs de sécurité sont entièrement couverts.
Elle doit aussi préciser les exigences de sécurité qui permettent d’atteindre le niveau de confiance nécessaire, puis de le démontrer.
La méthode OCTAVE
Le cadre conceptuel à la base de l’approche OCTAVE d’origine a été publié en 1999 par le SEI (Software Engineering Institute) de l’université Carnegie Mellon. La méthode visait à répondre aux exigences de conformité en sécurité auxquelles faisait face le département de la Défense des États-Unis.
OCTAVE s’adresse aux moyennes et grandes entreprises de plus de 300 salariés qui présentent les caractéristiques suivantes :
- Organigramme à plusieurs niveaux
- Infrastructure informatique propre
- Capacité à évaluer les vulnérabilités
- Capacité à interpréter les résultats des évaluations de vulnérabilités
La méthode OCTAVE comporte trois phases :
- Identification des actifs
L’organisation doit identifier les actifs les plus importants pour le traitement de l’information. Il faut recenser tous les actifs de l’entreprise qui soutiennent les services informatiques, ainsi que tous les supports qui contiennent de l’information.
Une fois ces actifs identifiés, il faut les évaluer pour repérer les plus critiques pour le fonctionnement de l’organisation et leur associer toutes les menaces qui peuvent porter atteinte à leur sécurité.
- Analyse de l’infrastructure
Pour compléter l’analyse de la phase 1, l’équipe d’analyse des risques évalue l’infrastructure, technologique comme physique, qui soutient les actifs contenant de l’information, et identifie aussi toutes les menaces qui peuvent porter atteinte à sa sécurité.
- Analyse des risques
Enfin, l’équipe d’analyse des risques évalue toutes les menaces et identifie les risques les plus importants pour l’entreprise. Pour les risques les plus élevés, elle élabore un plan d’atténuation qui met en place de nouvelles mesures ou améliore les mesures existantes, afin de réduire le niveau de risque des actifs jugés critiques.
Qu’on utilise l’une de ces méthodes ou une combinaison de plusieurs, on obtient une vision aussi réaliste que possible des risques qui peuvent toucher la sécurité de l’information.
Chez GlobalSuite Solutions, une équipe spécialisée réalise des analyses de risques de sécurité de l’information avec la méthode la plus adaptée à chaque entreprise, et peut vous aider à améliorer la gestion de votre sécurité. Le logiciel GlobalSuite®, entièrement développé par nos équipes, permet de tenir n’importe quelle analyse de risques à jour et de la gérer efficacement, avec une traçabilité complète.
