La gestion des risques est un système de collecte, de catalogage, d’analyse et d’action sur les risques en fonction d’une appétence au risque définie, y compris le développement de stratégies d’atténuation concrètes et de plans d’urgence pour résoudre les problèmes potentiels et réduire la gravité et l’impact des menaces.
La gestion des risques implique de surveiller en permanence les conditions et d’évaluer l’efficacité des mesures prises pour minimiser les dommages et les erreurs en menant des évaluations approfondies des risques et en comprenant la probabilité et la gravité des risques. Cela améliore la capacité d’une organisation à prendre des décisions éclairées, comme investir dans des outils, des personnes et des processus pour mettre en œuvre des ajustements en temps opportun et des mesures proactives.
Cependant, la gestion des risques ne signifie pas la même chose pour chaque organisation, car chacune doit hiérarchiser les risques différemment en fonction de son secteur, de son échelle opérationnelle et de ses priorités stratégiques.
Par exemple, une institution financière peut hiérarchiser les risques de cybersécurité en raison de la nature sensible de ses données, tandis qu’une entreprise de fabrication peut se concentrer davantage sur les risques opérationnels liés aux machines et aux processus de production.
Cette publication simplifiera la gestion des risques en expliquant sa définition et son importance. Nous décrirons également les composants clés du processus, y compris l’identification, l’évaluation et la hiérarchisation des risques, suivis d’actions de réponse et de suivi.
Nous discuterons de l’importance d’une gestion efficace des risques pour atteindre les objectifs organisationnels tout en tenant compte de certains des risques hautement prioritaires que de nombreuses organisations rencontreront, tels que les menaces de cybersécurité, les problèmes de conformité et les risques introduits par les nouvelles technologies d’IA.En
outre, nous explorerons les pratiques et stratégies courantes de gestion des risques, y compris l’acceptation, l’atténuation, la réduction et le transfert des risques, ainsi que la mise en œuvre de cadres de gestion des risques tiers, l’évaluation des risques, la planification des imprévus et l’analyse des causes profondes.
Enfinalement, nous comparerons la gestion traditionnelle des risques avec la gestion des risques de l’entreprise (ERM) et la gestion des risques de la conformité
de
Définition de la gestion des risques
Les directives ISO 31000 de l’Organisation internationale de normalisation pour la gestion des risques définissent le risque comme « l’effet de l’incertitude sur les objectifs ». L’incertitude signifie que quelque chose n’est pas sans doute. Si une organisation est absolument certaine que ses serveurs ne planteront jamais, par exemple, elle ne les prendra pas en compte lors de l’analyse des risques, car il ne fait aucun doute qu’ils continueront à fonctionner. Dans le monde réel, les incertitudes abondent et sont souvent hors de votre contrôle, y compris si les serveurs planteront.
Le véritable travail de gestion des risques se concentre sur les incertitudes qui comptent, les incertitudes qui peuvent avoir un impact sur les objectifs d’une organisation. Voici quelques objectifs majeurs qui comptent pour presque toutes les organisations, y compris les entreprises commerciales et les agences gouvernementales :
- Confidentialité, intégrité et disponibilité des données : assurer la sécurité et la disponibilité des données pour les utilisateurs autorisés
- Continuité des activités : poursuivre les opérations pour remplir la mission de l’organisation
- Conformité réglementaire : se conformer à toutes les lois, réglementations et normes applicables
Grâce à cette compréhension des risques, de l’incertitude et des objectifs, nous pouvons offrir une définition plus directe de la gestion des risques qui tient compte de son objectif et de ses méthodes : la gestion des risques est une approche complète qui aide une organisation à traiter les risques potentiels et à atteindre ses objectifs en surveillant continuellement les activités et l’infrastructure, garantissant ainsi la stabilité et la réussite à long terme.
Maintenant que nous avons défini la gestion des risques, discutons de son importance. Comprendre son importance est crucial pour les organisations, car cela les aide à anticiper les défis potentiels, à minimiser les pertes et à assurer une réussite à long terme. La section suivante explore pourquoi une gestion efficace des risques est essentielle et comment elle contribue à atteindre les objectifs stratégiques et à maintenir la cyberrésilience.
L’importance d’une gestion efficace des risques
La gestion des risques est importante car les risques non gérés et non atténués peuvent entraîner des perturbations qui empêchent une organisation d’atteindre ses objectifs.
Prenez en compte certains des risques hautement prioritaires auxquels sont confrontées presque toutes les organisations aujourd’hui :
- Risques de cybersécurité : les cyberattaques augmentent en sophistication et en fréquence, et les coûts des attaques continuent d’augmenter. Certains coûts impliquent que les équipes informatiques et de sécurité suivent et contiennent la violation. D’autres comprennent la configuration de centres d’appels et la communication avec les clients et les régulateurs. Les coûts supplémentaires incluent une marque ternie.
- Risques de conformité : le non-respect des réglementations peut entraîner de lourdes amendes réglementaires, une mauvaise presse, des relations client tendues, une perte d’activité, etc. À mesure que la confidentialité des données et d’autres réglementations augmentent, rester en conformité devient plus complexe.
- Risques introduits par les nouvelles technologies d’IA : au cours des dernières années, l’IA est devenue une technologie qui apparaît dans les applications de reconnaissance vocale et les chatbots sans être considérée comme un investissement stratégique. Le lancement et l’adoption rapide de ChatGPT ont changé cela.
[Lire également : les 3 plus grandes menaces GenAI (plus 1 autre risque) et comment les repousser]
Cependant, cette adoption comporte des risques, car les applications d’IA les plus utiles doivent fonctionner avec les données les plus précieuses d’une organisation, y compris les communications avec les clients, les dossiers financiers, etc. Les employés peuvent facilement divulguer par inadvertance des informations confidentielles aux chatbots publics. Par conséquent, les stratégies modernes d’évitement des risques doivent tenir compte de l’IA.
Compte tenu de ces risques, il est plus crucial que jamais pour les organisations de mettre en œuvre des processus pour aider à réduire et à atténuer les risques, même lorsque les organisations adoptent rapidement de nouvelles technologies qui changent le marché.
Comprendre un processus standard de gestion des risques
La gestion des risques consiste en fin de compte à comprendre et à réduire les incertitudes concernant les objectifs d’une organisation. Le processus implique plusieurs étapes pour comparer les risques, et il n’est pas effectué une fois, puis jugé terminé.
La gestion des risques est un cycle de vie des activités qui comprend les cinq composants clés suivants :
- Identifier les risques associés aux objectifs stratégiques
La gestion des risques commence par identifier les risques juridiques, environnementaux, commerciaux, réglementaires et technologiques de l’organisation, puis aligner la manière dont les personnes, les processus et la technologie soutiennent la poursuite des objectifs commerciaux.
Pensez à ce travail comme une analyse de la chaîne d’approvisionnement. Les équipes de conformité suivent le flux de données, de personnes et d’opérations, d’un objectif de haut niveau à des systèmes et processus informatiques spécifiques qui aident l’organisation à atteindre cet objectif. Ces systèmes et processus fonctionnent comme une chaîne d’approvisionnement pour les objectifs eux-mêmes.
Pour mesurer les risques, identifiez les dépendances dans la chaîne d’approvisionnement et tracez-les dans la mesure du raisonnable pour les objectifs et capacités de l’organisation. Pour comparer les risques, tout ce qui se trouve dans la chaîne d’approvisionnement doit recevoir un score de cyber-risque.
Une fois ces objectifs identifiés, l’étape suivante consiste à analyser la portée et les connexions entre les risques et d’autres facteurs organisationnels pour comprendre la gravité et l’impact potentiel que le risque pourrait avoir. - Hiérarchiser les risques en créant une échelle pondérée
Les risques doivent être classés et hiérarchisés en fonction de leur gravité et de leur probabilité. Cette étape permet à l’organisation d’obtenir une vue globale de son exposition aux risques et de se concentrer sur les risques les plus critiques en leur attribuant des scores sur une échelle de un à dix. Même les objectifs stratégiques eux-mêmes doivent être comparés et pondérés. Il est rare qu’une organisation traite tous ses objectifs stratégiques de manière égale.
Par exemple, sur la base de conversations avec l’équipe de direction, les dirigeants peuvent attribuer une croissance continue du chiffre d’affaires d’au moins 10 % du taux de croissance annuel composé (TCAC) d’un score de dix et une conformité réglementaire d’un score de sept.
Ensuite, identifiez les personnes, les processus et la technologie soutenant chaque objectif stratégique et classez l’importance de chaque facteur de soutien.
Pour fournir une nuance supplémentaire, les parties prenantes commerciales et informatiques doivent collaborer pour estimer la probabilité d’un type particulier de défaillance. Par exemple, imaginez une organisation avec un serveur Web prenant en charge une application mobile essentielle à l’entreprise. Les chances que ce serveur fournisse des performances anormalement lentes pendant l’utilisation de pointe sont probablement plus élevées que les chances qu’il succombe à une panne de courant qui plante à la fois les systèmes d’alimentation principaux et de secours.
En multipliant un score pour l’importance stratégique du serveur (par exemple, sept sur dix) par la probabilité d’un risque spécifique (par exemple, 50 % ou 0,5), les équipes peuvent commencer à classer les risques et à identifier les risques qui nécessitent une action plus immédiate.
Par exemple, le serveur fournissant des performances lentes peut avoir une probabilité de 40 %, et le serveur plantant lors d’une panne de courant catastrophique peut avoir une possibilité de 2 %. Si l’importance du serveur est de sept sur dix, le score de risque pour le scénario de performance lente serait de sept fois 0,40 (ce qui donne 2,8).
Le score de risque pour le scénario de panne de courant serait de sept fois 0,02 (ce qui donne 0,14). Le scénario de performance lente, qui a le score de risque le plus élevé, est le risque qui nécessite d’abord une attention.
- Centralisation des données de gestion des risques dans un registre des risques
Une fois que ces informations sur les risques identifiés sont collectées et présentées sous forme de tableau, elles doivent être stockées dans un registre des risques, qui est un référentiel centralisé pour les informations sur les risques et les stratégies de risque.
Un registre des risques fournit une vue d’ensemble complète des menaces potentielles pour l’organisation, garantissant qu’aucun risque n’est négligé et que chacun est évalué systématiquement. Cette centralisation améliore la communication et la collaboration entre les services et les parties prenantes, ce qui facilite la surveillance et le signalement des risques. Il prend en charge la prise de décision éclairée en fournissant des informations précises et à jour et aide à hiérarchiser les efforts de gestion des risques en fonction des menaces les plus critiques.
Étant donné qu’un registre des risques tient un registre des risques et de leur gestion, qui est souvent requis par les cadres réglementaires, il peut aider à garantir la conformité réglementaire. Un registre des risques peut également servir d’historique, permettant d’analyser les tendances et d’apprendre des expériences passées afin d’améliorer les pratiques futures de gestion des risques.
En visualisant clairement tous les risques, les organisations peuvent allouer des ressources plus efficacement, garantissant que les risques hautement prioritaires reçoivent l’attention et les ressources nécessaires pour l’atténuation.La
centralisation des données de gestion des risques dans un registre des risques entraîne une atténuation plus efficace et une stratégie globale de gestion des risques plus solide. Les parties prenantes autorisées dans l’ensemble de l’organisation doivent pouvoir accéder au registre des risques et l’utiliser pour guider leurs activités quotidiennes. - Stratégier un plan pour chaque risque
Cette étape implique la mise en œuvre de solutions pour atténuer ou éliminer les risques en offrant une feuille de route claire qui réduit l’incertitude et améliore la qualité des décisions. Cela inclut le développement de stratégies, d’actions et d’une approche structurée pour gérer chaque risque de manière cohérente et systémique en soutenant une gestion proactive qui anticipe les problèmes potentiels et aide à hiérarchiser les risques en fonction de leur gravité et de leur probabilité, permettant une allocation plus efficace des ressources. Cette approche préventive peut réduire considérablement l’impact des risques et les empêcher de se transformer en problèmes majeurs.
L’adoption d’une stratégie de risque garantit également la responsabilité en attribuant des actions spécifiques aux personnes ou aux équipes. Cela permet de s’approprier clairement les tâches de gestion des risques et aide à suivre les progrès en s’assurant que les risques sont gérés. Cela est particulièrement important dans les situations à enjeux élevés nécessitant des réponses rapides et efficaces. Les organisations peuvent anticiper les problèmes potentiels et prendre des mesures préventives en ayant une stratégie définie et en promouvant une position de gestion proactive.
[Lire également : Shadow IT est « hors de contrôle » – voici comment gérer le risque]
De plus, elle soutient l’amélioration continue en permettant aux organisations d’apprendre de leurs expériences, d’affiner leurs stratégies et d’atténuer efficacement les menaces en élaborant un cadre de gestion des risques plus résilient qui favorise la réussite à long terme pour traiter les risques considérés comme les plus pertinents et potentiellement préjudiciables pour l’organisation.
- Suivi des risques et des résultats au fil du temps
La dernière étape consiste à surveiller et examiner les risques en continu, y compris l’efficacité des stratégies de gestion des risques, pour s’assurer que l’environnement des risques est bien compris, que les risques identifiés sont gérés efficacement et que tous les nouveaux risques sont identifiés et gérés rapidement.
Les organisations qui surveillent régulièrement les risques peuvent créer un graphique linéaire de la manière dont les risques et la conformité diminuent ou augmentent au fil du temps, qui fournit des données vitales aux équipes effectuant d’autres activités de gestion des risques et aux cadres supérieurs qui souhaitent suivre les progrès, comprendre l’impact des risques à différents degrés au fur et à mesure des changements et d’autres facteurs affectant le coût de la gestion des risques.
Ces efforts de suivi doivent également inclure le suivi des contrôles et stratégies mis en œuvre, l’étude de leurs effets sur l’organisation et la compréhension du risque résiduel laissé. En surveillant en permanence les risques et l’impact des stratégies de gestion des risques, les organisations peuvent plus facilement détecter les menaces potentielles rapidement. Cela permet d’atténuer rapidement les problèmes avant qu’ils ne s’aggravent, en utilisant des données en temps réel pour éclairer la prise de décision, assurer la conformité réglementaire et éviter les sanctions légales.
Examinons un exemple pratique utilisant ces cinq composants essentiels du processus de gestion des risques pour voir comment une entreprise de commerce électronique générique peut naviguer dans ces étapes, traiter les risques courants qu’elle peut rencontrer et démontrer comment ces principes sont appliqués dans un contexte réel.
Exemple de processus de gestion des risques
Imaginez une société d’e-commerce avec une présence en ligne mondiale et des opérations d’expédition et de traitement des commandes dans le monde entier. Après ces cinq étapes, passons en revue à quoi pourrait ressembler le processus de gestion des risques.
- Identifier : lors de l’identification des risques lors de la première étape, une société d’e-commerce peut considérer son site Web et son infrastructure informatique soutenant ce site Web comme étant d’une importance critique et parmi les risques auxquels elle peut être confrontée.
Par exemple, les cyberattaques, les bogues logiciels, les pannes de centre de données, les erreurs humaines dans les configurations ou les contrôles opérationnels, etc. - Hiérarchiser : l’entreprise d’e-commerce devra alors classer la probabilité que chaque risque se produise et ce que ces risques pourraient signifier pour l’entreprise.
Par exemple, l’entreprise d’e-commerce doit déterminer la probabilité qu’une cyberattaque provoque une panne, car l’indisponibilité du site Web pendant de nombreux jours serait catastrophique pour l’entreprise. L’entreprise doit également déterminer si elle suit les meilleures pratiques de cybersécurité pour protéger le site Web. Si c’est le cas, le risque global de ce résultat a diminué, et il peut être classé comme priorité inférieure à l’étape suivante. - Centraliser : Étant donné que l’entreprise d’e-commerce comprend tous les risques, elle peut désormais identifier plus facilement le risque le plus probable et le plus dévastateur en consultant les données consolidées sur les risques, ce qui lui permet de hiérarchiser en conséquence.
Par exemple, qu’en est-il du risque que le site Web soit hors ligne parce qu’un centre de données a subi une panne ? Supposons que l’entreprise dispose d’une architecture de basculement pour transférer les opérations vers un autre centre de données et fournisseur de services. Dans ce cas, ce risque peut également être réduit. Cependant, si l’entreprise n’a pas établi de système de basculement, le risque de ce type d’interruption reste élevé et doit être prioritaire dans ses stratégies de gestion des risques. - Stratégie : l’entreprise d’e-commerce a une compréhension éclairée de ses risques existants et potentiels et de sa hiérarchisation qui s’aligne sur ses objectifs. Les parties prenantes concernées peuvent désormais travailler au développement et à la mise en œuvre de stratégies spécifiques adaptées à chaque risque identifié.
En réponse aux pannes de datacenter, l’entreprise d’e-commerce peut enquêter sur la mise en œuvre de systèmes de redondance tels que des générateurs de secours et des alimentations sans interruption (ASI) pour assurer un fonctionnement continu pendant les pannes de courant. Les solutions de résilience avancées, telles que les logiciels qui déplacent automatiquement le trafic réseau et les charges de travail pendant une panne, sont également des solutions possibles, ainsi que des tests et des analyses réguliers pour simuler les pannes de centre de données afin de se préparer aux incidents réels et former les employés à gérer de telles situations. La mise en œuvre de systèmes de surveillance et d’alerte pour détecter les problèmes potentiels avant qu’ils ne s’aggravent peut également prévenir les pannes.
En adoptant ces stratégies, l’entreprise peut gérer efficacement le risque de pannes de datacenter et assurer la continuité des activités. - Surveiller : Enfin, l’entreprise d’e-commerce doit surveiller continuellement les risques et les résultats pour rester vigilante et réactive aux risques nouveaux et en évolution. En examinant régulièrement l’efficacité des stratégies de gestion des risques, l’entreprise peut identifier les lacunes ou les faiblesses dans son approche. Cela permet à l’entreprise d’effectuer les ajustements et les améliorations nécessaires, en veillant à ce que les mesures d’atténuation des risques restent efficaces et pertinentes.
La surveillance des résultats aide l’entreprise à apprendre des expériences passées, des réussites et des échecs, et à appliquer ces leçons aux futurs efforts de gestion des risques tout en favorisant une culture proactive de gestion des risques au sein de l’organisation.
Cette approche proactive améliore la résilience de l’entreprise et renforce la confiance avec les clients, les parties prenantes et les partenaires, qui peuvent être sûrs que l’entreprise s’engage à maintenir un fonctionnement sûr et fiable.
Après avoir examiné un exemple pratique du processus de gestion des risques à travers le prisme d’une société d’e-commerce générique et les divers défis auxquels elle pourrait être confrontée, nous pouvons nous concentrer sur les types courants de pratiques de gestion des risques. Ces pratiques comprennent l’acceptation, l’atténuation, la réduction et le transfert des risques, chacune offrant des stratégies distinctes pour gérer les risques potentiels. Examinons ces approches pour comprendre comment elles peuvent être appliquées efficacement dans différents scénarios.
Types de réponses à la gestion des risques
Les organisations disposent de divers choix pour répondre aux risques identifiés par les pratiques de gestion des risques. Ces choix comprennent :
- L’acceptation des risques se produit lorsqu’une organisation décide d’accepter le risque sans investir dans des stratégies de réduction ou d’atténuation des risques. Parfois, une organisation peut décider qu’un risque est acceptable parce que son impact est faible, que les chances de se produire sont minuscules, ou les deux.
Envisagez une entreprise de vente au détail qui identifie un risque potentiel dans le système de paiement de son magasin, mais détermine que le coût de la révision complète du système pour éliminer cette vulnérabilité est très élevé, et que la probabilité qu’elle soit exploitée est faible.
Dans ce scénario, l’entreprise peut décider que l’impact potentiel est gérable et que la probabilité d’exploitation est suffisamment faible pour justifier de ne pas investir dans des stratégies d’atténuation coûteuses. Au lieu de cela, elle peut concentrer ses ressources sur l’amélioration d’autres aspects de son infrastructure de sécurité. - L’atténuation des risques implique la planification et le développement de stratégies pour réduire les menaces pesant sur les objectifs du projet auxquels une organisation est souvent confrontée.
Supposez qu’une entreprise décide que, dans une certaine mesure, les violations de données sont inévitables. Dans ce cas, il peut décider de mettre en œuvre une architecture Zero Trust pour limiter la capacité des attaquants à passer d’un appareil compromis à un autre.
Bien que le risque global d’une violation de données puisse rester le même, les dommages qui pourraient en résulter seraient réduits car les attaquants ne seraient pas en mesure de se déplacer librement sur le réseau à l’aide de permissions utilisateur laxistes et de ports réseau ouverts. - La réduction des risques comprend l’investissement dans des outils, des personnes ou des processus pour réduire la probabilité ou la gravité d’un résultat risqué.
Par exemple, si une organisation souhaite réduire le risque de violations de données, elle pourrait investir dans des solutions de gestion des endpoints pour s’assurer que les endpoints (tels que les ordinateurs de bureau et portables) disposent de toutes les dernières mises à jour de sécurité installées. - Le transfert des risques signifie transférer la charge du risque à une autre organisation, telle qu’une cyber-assurance ou un autre type de partenaire commercial.
Par exemple, les chefs d’entreprise peuvent acheter un transfert d’assurance pour couvrir certains des risques d’une attaque par rançongiciel à une compagnie d’ assurance qui promet de couvrir la plupart ou la totalité des coûts de récupération d’une telle attaque.
Avant d’émettre la police, la compagnie d’ assurance, à son tour, peut exiger que l’organisation mette en œuvre des contrôles de sécurité stricts et présente des certifications de conformité informatique avec les cadres de cybersécurité, tels que SOC 2, qui se rapportent aux pratiques de sécurité des données. Dans les deux cas, l’organisation a transféré une partie de ses risques à une autre partie en payant l’assurance.
Après avoir discuté des différents types de pratiques de gestion des risques, nous pouvons nous concentrer sur les stratégies de risque courantes que les organisations utilisent. Ces stratégies comprennent la mise en œuvre de cadres de gestion des risques, la réalisation d’ évaluations des risques tiers, l’élaboration de plans d’urgence et la réalisation d’analyses des causes profondes. Voyons comment ces stratégies sont utilisées pour gérer et atténuer efficacement les risques au sein d’une organisation.
Quelles sont les stratégies courantes de gestion des risques utilisées dans les organisations ?
Au-delà du processus de gestion des risques décrit ci-dessus, quelles autres stratégies les organisations peuvent-elles adopter pour atteindre la conformité et réduire le risque de perte ? Voici quelques stratégies de risque populaires à prendre en compte en plus de suivre un processus de gestion rationalisé.
Cadres de gestion des risques
L’adoption de cadres existants de gestion des risques peut aider en offrant une structure et des meilleures pratiques pour l’analyse des risques, l’atténuation et d’autres étapes dans les workflows de gestion des risques et de gestion de la conformité.
Les cadres de gestion des risques largement utilisés comprennent :
- Gestion des risques d’ entreprise du Comité des organisations de parrainage (COSO) : les directives de gestion des risques d’ entreprise du COSO ont été récemment mises à jour pour souligner l’importance de prendre en compte les risques dans le processus d’élaboration de la stratégie et de stimuler les performances
- Analyse des facteurs du risque lié à l’information (FAIRTM) : un modèle quantitatif standard international pour la sécurité de l’information et le risque opérationnel
- ISO 31000 : les directives de l’ISO sur la gestion des risques comprennent des principes, un cadre et un processus de gestion des risques qui peuvent être utilisés par n’importe quelle organisation, quelles que soient sa taille, son activité ou son secteur
Cadre de gestion des risques (RMF) du National Institute of Standards of Technology (NIST)
: Un processus complet, flexible, reproductible et mesurable en sept étapes que toute organisation peut utiliser pour gérer les risques de sécurité et de confidentialité des informations pour les organisations et les systèmes, et des liens vers une suite de normes et directives du NIST pour soutenir la mise en œuvre de programmes de gestion des risques afin de répondre aux exigences du
Loi fédérale sur la modernisation de la sécurité de l’information (Federal Information Security Modernization Act, FISMA)
[Lire également : Que sont les cadres de cybersécurité ? Un aperçu]
Évaluations des risques tiers
Les risques peuvent provenir des ressources et opérations internes, ainsi que des ressources et opérations des partenaires d’une organisation, y compris les fournisseurs, les consultants et d’autres types de partenariats. Le risque tiers est particulièrement important dans la cybersécurité.
La mise en œuvre d’outils et de processus pour évaluer et gérer les tiers aide à atténuer ce type de risque.
[Lire également : Qu’est-ce que la gestion des risques tiers ?]
Planification d’urgence
Parfois, de mauvaises choses se produisent. Lorsqu’ils le font, il est préférable d’être préparés. Si les équipes savent comment réagir en cas d’urgence, elles peuvent éliminer la confusion et les conjectures et réagir plus rapidement et plus efficacement.
La planification d’urgence consiste à planifier les urgences, y compris les cyberattaques, les pannes informatiques majeures, les catastrophes naturelles telles que les tremblements de terre ou les tempêtes majeures, et d’autres attaques potentiellement dévastatrices. En élaborant des plans et en répétant les réponses pour ces urgences, les organisations peuvent réduire les dommages qui pourraient résulter de ces urgences.
Analyse des causes profondes
Lorsqu’un risque majeur ou mineur se manifeste, il est utile de réunir une équipe interservices de parties prenantes pour comprendre ce qui s’est passé et pourquoi et retracer l’événement jusqu’à sa source.
Ils doivent généralement demander et répondre aux questions suivantes lors de la détermination de la cause profonde :
- Quel est le problème lié à une mauvaise formation des employés ? Si oui, investir dans de nouveaux modules de formation peut être approprié.
- Le problème était-il lié à une violation de données ? Si oui, où cela s’est-il produit sur le réseau ? Combien de temps l’attaquant a-t-il pu rester indétecté ?
- Les systèmes étaient-ils à jour et correctement configurés ?
- Toutes les parties prenantes, comme les équipes DevOps, informatiques et de sécurité, disposent-elles de la visibilité centrale et des données en temps réel sur les endpoints nécessaires pour collaborer efficacement lors de l’identification de la source et de la nature de l’attaque ?
- L’organisation a-t-elle accès à tous ses appareils endpoint ?
En analysant la cause profonde du problème et en identifiant les faiblesses de l’infrastructure informatique, de la formation des employés et d’autres domaines, les organisations peuvent réduire le risque qu’un événement similaire se reproduise et compromette leurs objectifs stratégiques.
Maintenant que nous avons couvert certaines stratégies essentielles de gestion des risques, comparons les approches traditionnelles et d’entreprise de gestion des risques pour déterminer comment chacune peut aider ou entraver ces efforts.
Gestion traditionnelle des risques par rapport à la gestion des risques d’entreprise
Dans les cadres classiques de gestion des risques, la responsabilité de la gestion des risques incombe généralement aux chefs d’entreprise supervisant les unités respectives où ces risques sont présents. Dans certaines organisations, la gestion des risques peut relever de la responsabilité d’un directeur de la conformité (CCO), d’un directeur de l’exploitation (COO), d’un directeur de l’audit (CAO), d’un directeur financier (CFO) ou d’autres cadres supérieurs. Par exemple, le directeur de l’information (CIO) ou le directeur de la technologie (CTO) gère les risques liés à l’informatique, le directeur financier gère les risques financiers et le directeur de l’exploitation gère les risques opérationnels.
Les gestionnaires des risques sont également essentiels dans la gestion traditionnelle des risques. Elles protègent les objectifs et les opérations de l’organisation contre les dommages et impacts potentiels en évaluant la probabilité d’événements, y compris les accidents et les catastrophes naturelles, et en développant des stratégies pour atténuer les risques liés à des services spécifiques, le plus souvent dans l’informatique, les finances ou les opérations.
Cependant, ces rôles ne peuvent pas fonctionner de manière isolée. Leur réussite dépend du partage d’informations et de la collaboration avec d’autres parties prenantes de l’organisation, y compris les responsables de secteurs d’activité, les responsables DevOps et les chefs d’équipe de cybersécurité.
Bien que les services et les unités commerciales puissent disposer de systèmes avancés pour s’attaquer à leurs risques spécifiques, les organisations peuvent faire face à des défis si elles ne reconnaissent pas les interconnexions entre différents risques ou leur effet combiné sur les opérations globales.
Pour remédier aux lacunes traditionnelles de la gestion des risques dans la gestion des risques au sein de chaque service, la gestion des risques d’entreprise a émergé dans le 1990s en tant qu’approche holistique. Plusieurs défaillances de grande envergure, des pertes importantes évitables et le rôle croissant des modèles de valeur pour les actionnaires dans la planification stratégique ont conduit à cette approche. Examinons plus en détail l’ERM et ses défis pour traiter les risques modernes.
Qu’est-ce que la gestion des risques d’entreprise ? Est-ce mieux que la gestion traditionnelle des risques ?
Au lieu de l’approche plus réactive utilisée par les programmes traditionnels de gestion des risques pour gérer les risques lorsqu’ils surviennent, ERM intègre la gestion des risques dans tous les aspects des processus de prise de décision d’une organisation, afin d’identifier, d’évaluer et de gérer les risques dans l’ensemble de l’organisation avant qu’ils ne se produisent. Cette approche proactive aide les organisations à anticiper et à atténuer les risques avant qu’ils ne deviennent de graves menaces.
[Lire également : Qu’est-ce que la chasse aux menaces ? Vue d’ensemble avec des exemples concrets]
Cependant, ERM est toujours confronté à plusieurs problèmes aujourd’hui. Une mauvaise communication, une formation insuffisante et un manque d’amélioration continue peuvent considérablement entraver l’efficacité des programmes d’ERM.
De nombreuses organisations ont également du mal à établir la culture consciente des risques nécessaire pour soutenir l’ERM, qui peut découler de l’allocation insuffisante de ressources ou de l’intégration complète de l’ERM dans la stratégie d’une organisation.
La complexité des cadres ERM peut également être accablante, entraînant souvent des efforts fragmentés, car les organisations choisissent plutôt de continuer à adopter une approche réactive de la gestion des risques.
Vous êtes-vous déjà demandé ce qui se passait lorsque les programmes de gestion des risques étaient insuffisants ? Considérez ces récentes amendes réglementaires lourdes et ces règlements juridiques imposés à certaines des organisations les plus prospères et les plus technophiles au monde :
- En 2024, la Commission de protection des données (Data Protection Commission, DPC) de l’Irlande a condamné Meta Platform Ireland Limited (« Meta Ireland ») à une amende de 91 millions d’euros (95,7 millions de dollars) pour avoir enfreint le Règlement général sur la protection des données (RGPD) en stockant les mots de passe des utilisateurs sans chiffrement.
La DPC a noté : « Cette décision souligne l’exigence pour les responsables du traitement des données de mettre en œuvre des mesures de sécurité appropriées lors du traitement des données personnelles, en tenant compte de facteurs tels que les risques pour les utilisateurs du service et la nature du processus de données. » - En 2024, l’ Autorité de surveillance néerlandaise (SA) a condamné Uber à une amende de 290 millions d’euros (305 millions de dollars) pour avoir transféré de manière inappropriée les données privées de 170 conducteurs français aux États-Unis en violation du RGPD, qui impose des règles strictes pour la conservation et le transfert des données personnelles.
- En 2023, DPC a condamné Meta à une amende totale de 390 millions d’euros (410 millions de dollars) pour avoir enfreint le RGPD « en lien avec la prestation de ses services Facebook et Instagram ». Meta Ireland a été condamnée à une amende de 210 millions d’euros (225 millions de dollars) pour des violations liées à Facebook et de 180 millions d’euros (193 millions de dollars) pour des violations liées à Instagram.
- En 2022, le géant des communications mobiles T-Mobile a accepté de payer un règlement de 500 millions USD suite à une violation de données qui s’est produite début 2021 et a touché près de 77 millions de clients. L’incident impliquait un accès non autorisé aux systèmes de T-Mobile après la découverte d’une partie des données client répertoriées pour la vente sur un forum cybercriminel connu.
La société a réglé une action collective consolidée, acceptant de payer un total de 350 millions USD pour financer les réclamations des membres de la catégorie, les frais juridiques du conseil des demandeurs et les coûts d’administration du règlement. La société a également promis de dépenser 150 millions USD en sécurité des données et technologies connexes en 2022 et 2023.
Comme le montrent ces amendes et règlements juridiques, les organisations doivent encore faire plus pour hiérarchiser la gestion de la conformité et s’assurer que tous les employés, outils et processus soutiennent les objectifs de cybersécurité et de conformité des dirigeants d’entreprise.
Heureusement, les solutions de gestion des risques évoluent pour devenir plus complètes et autonomes en tirant parti des capacités d’IA et de l’évolutivité et de la flexibilité de l’architecture cloud pour répondre aux exigences exigeantes de sécurisation et de gestion des entreprises modernes.
Après avoir établi une compréhension claire de l’ERM et de la manière dont elle se compare à la gestion traditionnelle des risques, nous pouvons explorer son évolution. La section suivante présentera comment ERM s’est adaptée pour répondre aux complexités de la gestion des risques et de la conformité de nouvelle génération, en soulignant les progrès et les innovations qui ont façonné ses pratiques actuelles.
L’évolution de l’ERM pour la gestion des risques et de la conformité de nouvelle génération
Le risque est finalement une question d’activité. Il s’agit de procéder comme d’habitude jusqu’à ce qu’ils ne le fassent pas.
Pour les solutions de risque et de conformité, l’intégration de l’IA et du machine learning permet aux organisations de déterminer rapidement ce qui est normal, inhabituel et complètement dangereux, à grande échelle et en temps réel. Ces technologies peuvent être utilisées pour effectuer l’analyse des risques, la détection des anomalies, la détection des menaces, le reporting et la remédiation des risques à une vitesse et une précision exceptionnelles, offrant aux responsables commerciaux et informatiques des détails sans précédent sur les opérations, les risques et les solutions possibles.
Ensemble, l’apprentissage automatique et l’IA peuvent :
- Analyser les données : de l’activité de connexion aux montants de facturation des fournisseurs, l’IA et le machine learning fournissent une approche rapide et évolutive pour analyser les opérations en détail. Cela offre aux responsables commerciaux et informatiques des données pour affiner les approches de gestion des risques et de gestion de la conformité.
- Détecter les modèles : la reconnaissance des modèles dans les données peut aider les organisations à établir des références de comportement, que ce soit par des personnes ou des machines, pour les anomalies qui pourraient représenter une menace, comme une violation de données.
Par exemple, si l’équipe comptable de votre entreprise travaille généralement pendant les heures ouvrables de la semaine et se connecte rarement le week-end, la détection qu’un ordinateur portable ou un autre endpoint attribué à un comptable accède au réseau à 03:00 partir d’un emplacement distant peut être utilisée pour déclencher une alerte et des mesures de remédiation. - Automatisation de l’alimentation : l’ automatisation intelligente de la sécurité alimente l’avenir de la gestion des endpoints, de la génération de rapports et de résumés à partir de données collectées et situées dans des sources disparates à l’automatisation de la gestion des correctifs, de la détection et de la réponse aux menaces en temps réel, etc.
L’IA et l’apprentissage automatique sont positionnés pour permettre aux organisations de relever les défis croissants des menaces de cybersécurité et des exigences réglementaires avec confiance et agilité en révolutionnant la manière dont elles abordent les risques et la conformité grâce à des processus plus efficaces et plus réactifs.
Tanium Risk & Compliance fournit aux organisations une visibilité en temps réel sur les endpoints, une surveillance continue des exploits et une suite complète d’outils pour traiter les vulnérabilités et restaurer les actifs en règle, le tout au sein de la plateforme Tanium automatisée.
Avec Tanium, les organisations bénéficient d’une plateforme unifiée qui évolue pour gérer les risques et la conformité en fournissant une visibilité complète sur les risques d’endpoints et les incidents de non-conformité et le contexte nécessaire pour que les équipes puissent remédier à ces expositions. Tanium permet également aux équipes de sécurité et d’exploitation de consolider des solutions ponctuelles disparates en un seul agent et une seule solution.
Tanium Autonomous Endpoint Management (AEM) est une nouvelle évolution de la plateforme Tanium qui introduit des capacités avancées d’IA et d’apprentissage automatique. Il s’agit notamment de l’intelligence cloud en temps réel, qui permet d’analyser et de mesurer même les plus petits changements sur les endpoints pour permettre des évaluations en toute confiance de leur impact ; l’automatisation et l’orchestration, qui capturent et conçoivent une automatisation dynamique et réutilisable couvrant divers cas d’utilisation des opérations informatiques et de sécurité ; et les modèles et anneaux de déploiement, qui minimisent les perturbations en s’assurant que les changements d’endpoints sont déployés en coordination avec le rythme de l’organisation.
Planifiez une démo personnalisée pour découvrir comment Tanium peut améliorer votre gestion des risques et de la conformité et d’autres efforts de sécurité critiques.
