Définitions et concepts de risque

Concept de risque

Le risque est omniprésent dans notre vie de tous les jours. Quand nous traversons la rue, quand nous prenons notre voiture, en faisant des paris sportifs, en pratiquant un sport et même en faisant des achats sur Internet.

Nous pratiquons donc, en permanence, et parfois de manière inconsciente la gestion du risque. Ici, c’est notre cerveau qui l’évalue. En pratiquant des activités plus ou moins à risque, il est capable de proposer une solution pour réduire ce dernier. Par exemple, pendant nos vacances d’hiver, quand nous pratiquons le ski ou la luge en portant un casque, nous faisons le choix de réduire le risque. En évitant de nous rendre sur les pistes noires, nous décidons de le supprimer totalement. Et enfin, pour les sportifs expérimentés ou les amateurs de sensations fortes, ils font le choix de l’accepter lorsqu’ils descendent des pentes vertigineuses. Le risque est donc la possibilité qu’un évènement non désiré se produise, plus ou moins grave, et puisse causer un dommage. Dans le cas d’une entreprise par exemple, il pèse sur elle le risque de générer une perte de bénéfice, de données critiques ou encore de personnel. En fonction des choix des dirigeants, l’entreprise pourra accroître sa sécurité, sa réputation et sa stabilité ou au contraire affaiblir son image et causer sa propre perte. La gestion du risque en somme est le processus d’identification ajouté à la mise en place d’un plan d’action afin de réduire les risques au maximum.

Le concept de risque se définit selon différents points de vue. Les évènements non désirés ou imprévus peuvent avoir un impact positif, négatif et parfois les deux simultanément....

Définition du risque

Daniel Bernoulli a défini le risque en 1738 de la manière suivante : « Le risque est l’espérance mathématique d’une fonction de probabilité d’évènements », signifiant qu’il s’agit de la valeur moyenne des conséquences pondérée par leur probabilité.

Aucun modèle d’analyse de risque n’est fiable à cent pour cent. Il demeure toujours une incertitude, qui peut être soit négligeable, soit avoir un impact comme une perte, une altération des données ou encore leur divulgation. Parfois, l’impact peut être majeur comme une panne internet, de courant, ou dramatique en causant des pertes humaines.

C’est pourquoi les individus, et les organisations, cherchent toujours différents moyens de prévoir les risques qu’ils courent. Hormis des cas rares, la plupart des risques peuvent être anticipés ou évités en mettant au point des parades toujours plus efficaces. Malgré tout, il est fortement conseillé d’évaluer les risques pour chaque organisation ou particulier, mais aussi de prendre les précautions avant l’incident. Par exemple, l’arrêt de la production dans une usine à la suite d’un incident représente une plus grosse perte financière que la mise en place en amont d’un plan de sécurité.

Le modèle probabiliste est le modèle le plus utilisé en analyse de risque. On utilisera le terme probabilité ou vraisemblance pour référer à la possibilité qu’un évènement se produise. On parle alors de risque quand la probabilité qu’un évènement se déroule sans encombre est inférieure à 100 %....

Les statistiques et les risques

Il est important, dans la gestion du risque, de quantifier, mais aussi de qualifier le risque pour l’appréhender de la meilleure manière. Pour évaluer ce dernier, il faut vérifier toutes les hypothèses, les données disponibles mais aussi les caractéristiques d’exposition. Malheureusement, il faut aussi prendre en compte que certaines situations à risque sont inconnues ou connues partiellement. La méconnaissance d’une situation ne fait pas d’elle une situation qui n’engendrera pas de risque.

Par exemple, sur certaines plages, la présence d’un drapeau rouge pourra dissuader un grand nombre de personnes d’aller s’aventurer loin de la côte à la nage, voire dissuader totalement la baignade. Grâce à ce code, qui envoie un message d’alerte, le nombre d’incidents se trouvera réduit, voire nul.

Ici, la mesure mise en place (le drapeau) a réduit le risque faisant tomber les statistiques d’incident à 0 % sur les deux dernières années.

Cependant, si aucun incident n’est à déplorer sur cette plage, nous pourrons penser qu’elle ne présente aucun risque, qu’elle n’est donc pas dangereuse. Certains pourraient penser même que le système d’information des drapeaux est inutile, coûteux ou encore inesthétique et jugeraient qu’il n’a plus lieu d’être.

Il faut savoir trouver un équilibre dans la gestion du risque : toujours appréhender le risque même s’il n’est pas encore perceptible. C’est l’une des principales difficultés, car même une réduction du risque peut être - dans certaines mesures - trompeuse. Il est de bon ton d’éviter les raisonnements...

La perception du risque

Tout le monde a une perception différente du risque. En effet, c’est une notion purement subjective et difficilement quantifiable, malgré la présence de faits.

L’exemple du danger face au monde animal nous aidera largement à illustrer la différence entre le véritable risque et le risque perçu. En dépit du fait que le requin est beaucoup moins mortel que le moustique, énormément de gens évitent toute baignade par peur du prédateur marin, sans se soucier des maladies provoquées par l’insecte. L’ISAF (International Shark Attack File) a estimé que, par jour, 1 million d’interactions hommes-requins ont lieu, qui dans la grande majorité se déroulent sans que l’on ne s’en rende compte. L’homme ne fait tout simplement pas partie du régime alimentaire du requin et il est donc injustement taxé de « mangeur d’hommes ». Pour finir, le peu d’accidents liés à une attaque de requins est automatiquement relayé par la presse, ce qui alimente la peur commune de ces animaux.

En sécurité de l’information, nous pouvons évoquer les fraudes de cartes de crédit. Statistiquement, ces fraudes lors d’un paiement en caisse sont beaucoup plus courantes que lors d’un paiement en ligne. Malgré tout, cela n’empêche pas la majorité des gens d’être beaucoup plus vigilants lors de leurs achats en ligne. La diffusion d’informations sur les risques peut donner naissance à des réactions qui sont incohérentes : on se focalisera sur une situation en particulier, en délaissant une autre qui deviendra une nouvelle porte d’entrée aux attaques.

Nous parlerons plus tard de l’acceptation du risque. Cela peut...

Quelques définitions d’ISO 27000

Nous trouverons ci-dessous quelques définitions données par le chapitre 3 de la norme ISO 27000. Ces termes seront utilisés dans les chapitres suivants de cet ouvrage et leur bonne compréhension est importante.

Les types de mesures de sécurité

Une mesure de sécurité est un moyen mis en œuvre pour modifier un risque. Ce moyen peut le réduire, l’annuler ou l’aggraver. Les mesures de sécurité de l’information s’articulent autour de quatre grandes familles : les contrôles techniques, administratifs, managériaux et juridiques.

Pour aller plus loin, nous pouvons également dire qu’il existe des mesures préventives, détectives et correctives. Les mesures préventives diminuent la probabilité, en agissant directement sur les vulnérabilités et les menaces de l’actif, les deux autres en revanche minimisent la conséquence car ne pourront pas empêcher l’évènement de se produire. Voici quelques exemples :