Qu'est-ce qu'un score de risque cyber ?

Un score de risque cyber permet d'évaluer le niveau d'exposition d'une organisation à la cybercriminalité ainsi que les risques de responsabilité civile découlant des vulnérabilités informatiques. Considérez les scores de risque cyber comme une sorte de cote de crédit en matière de cybersécurité. Un rapport sur la notation des risques constitue un moyen précieux de faire connaître la qualité du programme de gestion des actifs informatiques d'une organisation, tant en interne qu'en externe.

Les organisations utilisent les scores de risque cybernétique pour évaluer leurs fournisseurs et dans le cadre de la gestion interne des vulnérabilités. Dans le secteur privé, l'évaluation des risques cybernétiques s'inscrit désormais dans les pratiques courantes ; Dun & Bradstreet a même ajouté à son offre d'informations commerciales un produit intitulé « Cyber Risk Rating » ( ).

Le niveau de risque cyber d'une entreprise peut avoir des répercussions sur tous les aspects de son activité, des opportunités de fusion et d'acquisition aux tarifs d'assurance. Le suivi de votre score de risque cyber et la recherche de moyens pour l'améliorer sont devenus des éléments essentiels en matière de cybersécurité, ainsi qu'une tâche incontournable pour les responsables de la sécurité des systèmes d'information (RSSI).

Évaluez votre niveau de risque informatique

Les scores de risque cyber peuvent être exprimés sous forme numérique, à l'instar d'un score de solvabilité, ou sous forme de pourcentages, 100 % correspondant à une visibilité totale sur l'ensemble des vulnérabilités de l'organisation en matière de cybersécurité. Ce score indique le pourcentage du risque couvert par des mesures de contrôle, telles qu’une gestion efficace des correctifs ( ), une gestion des correctifs ( ) et des outils de surveillance () (). Il ne reste alors que le risque accepté, c'est-à-dire le niveau de risque résiduel que l'organisation est prête à tolérer.

Le niveau de risque acceptable pour une organisation dépendra de son budget consacré à la cybersécurité, de la facilité avec laquelle les vulnérabilités connues peuvent être corrigées et de sa tolérance au risque.

Comment calcule-t-on un score de risque cybernétique ?

La première étape pour établir un score de risque cybernétique consiste à dresser un tableau des risques inhérents à l'ensemble de votre organisation, en hiérarchisant les actifs informatiques et en évaluant le facteur de risque associé à chacun d'entre eux. Cette évaluation devrait inclure :

Données dans le cloud. Le cloud est un outil formidable pour les équipes qui ont besoin de partager des données, mais il peut accroître le risque de fuite de données en raison d'un manque de visibilité.
Évaluation des vulnérabilités. Commencez par recenser les points faibles potentiels de vos systèmes.
Contrôles en cours et prévus. Quelles mesures votre organisation a-t-elle déjà mises en place en matière de gestion des vulnérabilités, et quels contrôles supplémentaires sont nécessaires ?
Valeur des actifs. Vous pouvez évaluer l'importance d'un actif de données en fonction de son rôle dans les activités de l'organisation, les données critiques devant être considérées comme prioritaires dans votre planification en matière de cybersécurité.

«L’évaluation des risques cybernétiques est une nécessité absolue, et non un simple atout, pour les moyennes entreprises et les grandes entreprises. »

Sensibilité des données. Une autre façon d'évaluer le risque cybernétique consiste à analyser les conséquences d'une violation de données. Les données soumises aux règles relatives à la protection de la vie privée des consommateurs ou à d'autres cadres réglementaires nécessitent un niveau de protection des données plus élevé, car le coût d'une violation, tant en termes d'amendes que de perte de confiance du public, peut être élevé.
Inventaire des actifs informatiques. Avant même la pandémie de COVID-19, les frontières entre vie professionnelle et vie privée s'étaient déjà estompées. Aujourd'hui, alors que de plus en plus de personnes travaillent à distance, le nombre de terminaux susceptibles de présenter des failles de cybersécurité a augmenté, tandis que la difficulté liée à l'inventaire des actifs informatiques s'est accrue. Les télétravailleurs téléchargent souvent des logiciels qui n'ont pas été validés par le service informatique, ce qui représente un risque supplémentaire. De plus, les collaborateurs bénéficiant d'un accompagnement informatique limité peuvent omettre d'installer les mises à jour logicielles, ce qui expose les applications à des vulnérabilités critiques. L'inventaire continu des actifs est essentiel à la gestion de l'inventaire des logiciels , à la gestion des s et à la gestion des correctifs.
Analyse des menaces. L'évaluation de l'écosystème des menaces implique l'étude et l'analyse de l'environnement externe des risques liés à la cybersécurité.

Quels sont les différents cadres de référence en matière de risques liés à la cybersécurité ?

Un cadre de gestion des risques liés à la cybersécurité désigne l'ensemble des processus et des lignes directrices mis en place par une organisation afin d'atténuer ces risques.

Les programmes de gestion des risques liés à la cybersécurité respectent souvent les exigences d'un ou plusieurs référentiels de cybersécurité de l' . Parmi les référentiels de cybersécurité les plus couramment utilisés, on peut citer :

Institut national des normes et de la technologie (NIST). Le NIST ( ) a conçu son cadre «» ( ) afin de protéger les actifs gouvernementaux essentiels, mais ses normes « » ( ) relatives à l'évaluation des risques cybernétiques peuvent s'appliquer à n'importe quelle organisation.
Organisation internationale de normalisation. L'ISO établit des normes internationales dans divers domaines, notamment la gestion de la sécurité de l'information. La famille de normes ISO/IEC 2700 « » fournit un cadre international pour la gestion des vulnérabilités, ce qui est essentiel pour les entreprises opérant dans plusieurs pays.
Règlement général sur la protection des données. Le règlement général sur la protection des données (RGPD ) est un ensemble de dispositions visant à protéger les données à caractère personnel des citoyens de l'Union européenne. Étant donné que ces règles s'appliquent à la collecte de données lorsque des citoyens de l'UE consultent des sites web, quel que soit le lieu d'implantation de l'exploitant du site, de nombreuses organisations à travers le monde se conforment aux normes du RGPD.
Loi californienne sur la protection de la vie privée des consommateurs. La loi californienne sur la protection de la vie privée des consommateurs ( ) s'apparente au RGPD tant par son objectif de protection des données à caractère personnel que par ses exigences en matière de traitement des données. À l'instar de la réglementation européenne, les dispositions de la CCPA relatives à la collecte de données en ligne ont des implications pour les entreprises situées en dehors de la Californie. Une mise à jour de cette loi entrera en vigueur en 2023.
Norme de sécurité des données du secteur des cartes de paiement. Les organisations qui souhaitent traiter des paiements par carte bancaire doivent démontrer leur conformité à la norme PCI DSS ( ), une norme élaborée par le secteur et destinée à protéger les informations des consommateurs et à prévenir la fraude.
Loi sur la portabilité et la responsabilité en matière d'assurance maladie. La loi HIPAA définit une norme américaine en matière de protection des données destinée aux organismes qui traitent les dossiers médicaux des patients.
Certification du modèle de maturité en matière de cybersécurité. CMMC exige que toute organisation sous contrat avec le ministère de la Défense (DoD) respecte certains protocoles de cybersécurité afin de protéger les données du DoD tout au long de la chaîne d'approvisionnement.

Les entreprises qui traitent des informations sensibles sur les consommateurs doivent souvent se conformer à des cadres de gestion des risques liés à la cybersécurité propres à leur secteur d'activité. L'élaboration d'un ensemble de normes internes conformes aux cadres de référence requis en matière de risques liés à la cybersécurité est essentielle à l'élaboration d'un plan de gestion des risques cybernétiques.

Quelles sont les sources de données qui influencent votre score de risque informatique ?

Pour faire court, la réponse est : tous. Les actifs inconnus représentent un risque incontrôlé ; c'est pourquoi l'inventaire des actifs informatiques est essentiel à l'évaluation des risques.

Voici les principales sources de données qui auront une incidence sur votre score de cyber-risque :

Données dans le cloud. Le cloud est un outil formidable pour les équipes qui ont besoin de partager des données, mais il peut accroître le risque de fuite de données en raison d'un manque de visibilité.
Serveurs. La protection des serveurs de l'organisation contre les menaces internes et externes constitue une priorité absolue dans la gestion des risques cybernétiques.
Fichiers présents sur les appareils des salariés. Votre inventaire des actifs informatiques doit inclure les données professionnelles stockées sur les ordinateurs portables, les tablettes, les smartphones et les autres terminaux d' que les employés utilisent pour accomplir leurs tâches. Chaque terminal doit faire l'objet d'un inventaire et d'une évaluation afin d'établir une évaluation complète et précise des risques informatiques.
Tiers. Les risques liés aux tiers comprennent les logiciels en tant que service (SaaS), les données partagées avec des partenaires et les fournisseurs auxquels vous donnez accès à votre écosystème informatique.

Quels sont les avantages de l'évaluation des risques cybernétiques ?

L'évaluation des risques cybernétiques permet de traduire un ensemble de données complexes en un concept facile à comprendre. Un score de risque constitue un moyen efficace de faire connaître aux parties prenantes externes et internes la valeur des politiques et des pratiques de votre organisation en matière de maîtrise des risques cybernétiques.

Dans notre monde de plus en plus connecté, l'évaluation des risques cybernétiques est une nécessité absolue pour les moyennes entreprises et les grandes entreprises, et non plus un simple atout. Pour ne citer qu'un exemple, les compagnies d'assurance se basent sur les scores de risque cyber pour déterminer si une organisation est assurable. Les organisations présentant des niveaux de risque en matière de cybersécurité moins élevés pourront négocier des tarifs d'assurance plus avantageux, car les piratages et les fuites de données ont un coût très élevé.

«Les organisations présentant des niveaux de risque de cybersécurité plus faibles pourront négocier des tarifs d’assurance plus avantageux, car les violations de données ont un coût très élevé. »

Les politiques de votre organisation en matière de protection des données et de gestion des incidents liés à l' peuvent également avoir un impact significatif sur les transactions financières. En effet, le score de risque cyber est l'un des indicateurs pris en compte par d'autres entités lors de l'évaluation de leurs partenaires et fournisseurs. De plus, des perspectives défavorables en matière de cybersécurité peuvent constituer un handicap lors des négociations de fusions-acquisitions.

Par ailleurs, les scores de risque cyber constituent pour les RSSI un outil puissant leur permettant de faire valoir auprès des autres dirigeants l'importance des programmes d'atténuation, tels que (surveillance des performances), et (gestion des configurations) . Bien que les récentes attaques par ransomware très médiatisées aient attiré l'attention des dirigeants, il reste difficile de faire comprendre les subtilités de la cybersécurité à des cadres supérieurs très occupés. Un score de risque cyber vous fournit un indicateur que la direction peut saisir rapidement, ainsi qu'un outil permettant de suivre l'amélioration des mesures de cybersécurité.

Qu'est-ce qu'une évaluation des risques informatiques ?

Une évaluation des risques cybernétiques consiste à dresser un inventaire des risques potentiels en matière de cybersécurité, des mesures de contrôle mises en place pour les gérer, ainsi que du risque résiduel non atténué.

La meilleure approche pour collecter les données nécessaires au calcul d'un score de cyber-risque est une approche à plusieurs volets. Que cette démarche soit menée par un partenaire de confiance ou à l'aide des ressources informatiques internes, les RSSI peuvent commencer par recueillir les avis des chefs de service et des responsables concernant les exigences et les pratiques en matière de protection des données. Ils peuvent également demander au personnel de dresser l'inventaire des appareils et des outils qu'ils utilisent dans le cadre de leur travail. Toutefois, bien que ces données soient indispensables, elles peuvent omettre des informations essentielles au calcul précis du score de cyber-risque.

Sans un inventaire complet des actifs informatiques ,, , sans un système de gestion des logiciels et sans un plan d'évaluation des menaces, vous ne serez pas en mesure de mettre en place des plans d'intervention en cas d'incident adaptés. Le déploiement d'un outil permettant la découverte automatisée des actifs informatiques vous offre une meilleure visibilité sur votre réseau, ce qui vous permet d'établir une évaluation précise des cyberrisques pour votre organisation.

Quelle est la différence entre les risques cybernétiques externes et internes ?

Le risque cyber externe désigne les menaces provenant de l'extérieur de votre entreprise. Les risques externes comprennent les attaques par déni de service distribué (DDoS), les fuites de données et les ransomwares. Même la meilleure stratégie de gestion des vulnérabilités comporte un certain risque résiduel ; il est donc essentiel de disposer d'un plan d'intervention en cas d'incident solide. Pour la plupart des RSSI aujourd'hui, la question n'est pas de savoir si les cybercriminels s'en prendront à votre entreprise, mais quand cela se produira — et comment vous y répondrez.

Les risques informatiques internes proviennent de votre organisation, d'un fournisseur ou d'un partenaire. Ces vulnérabilités concernent à la fois les facteurs humains et la sécurité informatique. Parmi les sources de risques internes en matière de cybersécurité, on peut citer :

Manque de visibilité sur les terminaux. Votre inventaire des actifs informatiques comprend non seulement les logiciels installés sur les appareils gérés et contrôlés par votre service informatique, mais également les applications présentes sur tous les terminaux que vos collaborateurs utilisent à des fins professionnelles, y compris leurs appareils personnels. Un processus solide et continu de recensement des actifs informatiques constitue la meilleure stratégie pour garantir que les données sensibles ne se retrouvent pas sur des appareils non autorisés dépourvus de contrôles de sécurité adéquats.
Une erreur humaine. Parmi les erreurs humaines courantes, on peut citer l'envoi d'un e-mail au mauvais destinataire ou la divulgation d'un mot de passe à la suite d'une tentative d'hameçonnage sur . Les employés doivent être formés à repérer les e-mails suspects et tenus d'utiliser des mots de passe forts . La formation est d'autant plus efficace qu'elle est associée à un logiciel permettant de filtrer et de bloquer les communications malveillantes.
Logiciels non approuvés. Lorsqu'un salarié télécharge un logiciel qui n'a pas été vérifié par l'équipe du RSSI, celui-ci peut contenir des logiciels malveillants. Et même si le logiciel ne contient pas de code malveillant, il peut tout de même constituer un risque pour la sécurité. Votre programme de gestion des correctifs ne peut pas corriger ce qu’il n’a pas répertorié. La gestion de l'inventaire des logiciels, en particulier sur les appareils distants, est essentielle pour réduire vos risques cybernétiques.
Sabotage interne. On a peut-être du mal à imaginer qu'un salarié mécontent puisse divulguer des données sensibles ou lancer une cyberattaque depuis l'intérieur de l'entreprise, mais le risque est bien réel. Vous pouvez limiter les risques liés au personnel grâce à des protocoles stricts en matière de sécurité et de gestion des terminaux, ainsi qu’à un processus de licenciement et de départ rapide et rigoureux.
Attaque de la chaîne d'approvisionnement. Le piratage de la chaîne d'approvisionnement de SolarWinds par l' , , sur décembre 2020 , a montré à quel point il est facile pour des acteurs malveillants d'utiliser un fournisseur de confiance pour s'introduire sans autorisation dans des entreprises et des administrations publiques. L'évaluation du niveau de risque cybernétique des partenaires externes constitue désormais l'une des premières étapes de l'établissement d'une relation commerciale. Avant de conclure un partenariat permettant à une entité externe d'accéder aux données sensibles de votre organisation, il est essentiel de vous assurer que les deux parties ont mis en place des politiques rigoureuses en matière de protection des données afin de réduire les vulnérabilités.

Qu'est-ce que le risque résiduel en matière de cybersécurité ?

Le risque résiduel est le risque qui subsiste après la mise en œuvre des mesures de contrôle. Pour quantifier le risque résiduel, commencez par évaluer avec précision votre risque inhérent, ainsi que l'efficacité de vos mesures d'atténuation des risques. Il reste donc le risque résiduel. Un programme d'inventaire des actifs informatiques « » constitue une étape essentielle dans l'élaboration d'une évaluation crédible des risques résiduels.

En quoi l'évaluation des risques peut-elle contribuer à prévenir les attaques par ransomware ?

Le processus d'évaluation des risques cybernétiques vous aide à anticiper les attaques par ransomware de type « » en concrétisant l'engagement de votre organisation en matière de cybersécurité. Les organisations qui accordent de l'importance à un bon niveau de cyber-risque prennent très au sérieux la gestion des vulnérabilités.

«Pour les RSSI, la question n’est pas de savoir si les cybercriminels s’attaqueront à votre organisation, mais quand — et comment vous y répondrez. »

L'évaluation des risques cybernétiques vous permet d'identifier les points forts et les points faibles de votre système, afin que vous puissiez affecter vos ressources de manière judicieuse. Les cyberattaques aboutissent parfois en raison d'erreurs qui auraient pu être évitées, telles que le fait de ne pas installer les mises à jour logicielles et une mauvaise gestion des correctifs. L'évaluation des risques cybernétiques permet de mettre en évidence ces problèmes avant qu'ils n'entraînent une violation de données. Cette évaluation classe vos actifs informatiques par ordre d'importance et évalue les menaces que représentent les vulnérabilités connues. Cela vous offre une base factuelle pour mettre en place une stratégie ciblée de prévention contre les ransomwares.

Le meilleur moment pour faire face aux menaces liées aux ransomwares, c'est avant qu'une attaque ne se produise. L'évaluation des risques vous fournit une feuille de route à suivre pour prévenir les attaques par ransomware.

En quoi la gestion des vulnérabilités fondée sur les risques simplifie-t-elle l'informatique ?

Votre service informatique doit concilier de nombreux objectifs, et la gestion des vulnérabilités ne figure généralement pas parmi les priorités. Une approche fondée sur les risques confère aux responsables informatiques des tâches concrètes à accomplir, telles que la gestion de l'inventaire des logiciels, la gestion des correctifs et la gestion des configurations.

Une approche fondée sur les risques offre également au service informatique une vision claire de son rôle dans la gestion des vulnérabilités, ainsi qu'un indicateur permettant de mesurer les progrès réalisés. Cela permet à votre service informatique de jouer un rôle actif dans la réduction des risques cybernétiques grâce à des missions clairement définies.

Comment améliorer votre score de cyber-risque et atténuer vos cyber-risques ?

Une fois que vous connaissez votre score de cyber-risque, l'objectif suivant consiste à améliorer vos dispositifs de contrôle et à réduire votre niveau de risque résiduel. Voici quelques-unes des mesures qui peuvent vous aider à améliorer votre score :

Mettez en place un suivi continu des performances. Le paysage des cybermenaces et vos vulnérabilités peuvent évoluer rapidement. Par conséquent, votre score de risque cyber ne peut pas se limiter à un simple instantané d'un moment donné. Grâce à un outil de surveillance des performances de type « », vous pouvez obtenir un rapport précis et actualisé en temps réel sur les problèmes de sécurité au niveau de n'importe lequel des milliers de terminaux de votre système.
Accordez la priorité à la gestion de la configuration. Une mauvaise configuration des paramètres par défaut du système peut entraîner de nombreux problèmes, notamment une vulnérabilité accrue de votre système face aux pirates informatiques. Intégrez des contrôles réguliers de la gestion de la configuration de sécurité dans le cadre de votre plan d'atténuation des risques cybernétiques.
Utilisez des logiciels et des outils d'automatisation pour limiter les risques. L'automatisation vous permet de surveiller en permanence votre niveau de risque. Il vous alerte rapidement sur les vulnérabilités potentielles, ce qui vous permet d'être mieux préparé à faire face aux cybermenaces émergentes.
Intégrez la cybersécurité à la culture d'entreprise. Dans les organisations fermement engagées dans la réduction des risques cybernétiques, les collaborateurs évoluent dans une culture d'entreprise où la protection des données est considérée comme faisant partie intégrante des missions de chacun. La formation à la cybersécurité devrait débuter dès l'intégration, et s'accompagner de sessions de remise à niveau et de rappels fréquents.
Mettez en place un contrôle des terminaux. Identifiez et protégez tous les appareils que les employés utilisent dans le cadre de leur travail.
Élaborer des plans d'intervention en cas d'incident. Lorsque vous êtes confronté à une faille de sécurité, une intervention rapide en cas d'incident peut limiter la perte de données d'entreprise et préserver votre réputation.

Comment le risque cyber peut-il servir à justifier la stratégie du RSSI ?

L'évaluation des risques cybernétiques offre aux responsables de la sécurité des systèmes d'information (RSSI) un excellent outil pour quantifier le niveau de vulnérabilité du système informatique d'une organisation. Ce score vous offre un moyen efficace de communiquer le niveau de risque cybernétique à des publics internes qui ne disposent peut-être pas des connaissances techniques nécessaires pour saisir les subtilités de certains facteurs de risque liés à la cybersécurité. Le fait que vos partenaires externes s'appuient sur votre évaluation des risques cybernétiques contribue à justifier l'investissement en temps et en argent nécessaire pour assurer la sécurité de ce système.

Les indicateurs de risque cyber sont également utiles pour faire prendre conscience de l'urgence de la cybersécurité au sein de votre organisation. Un score de risque cyber peut vous aider à mobiliser les responsables de service et le personnel autour de l'objectif de réduction du risque résiduel grâce au respect des protocoles de cybersécurité.

La qualité des données que vous utilisez pour calculer votre score de cyber-risque détermine en fin de compte la valeur que vous en tirez. La notation continue des risques demande des efforts, mais les ressources que vous consacrerez à l'atténuation des risques cybernétiques sont minimes par rapport au coût de la gestion d'un incident en cas de violation majeure.

Autres ressources :

Tool Sprawl Threatens Post-Pandemic Security Cyber Hygiene 101 Ultimate Guide to AI Cybersecurity: Benefits, Risks, and Rewards

Qu'est-ce qu'un score de risque cybernétique ?