Méthode d'analyse de risques informatiques optimisée par niveau

L'analyse est articulée en 6 grands thèmes:

1. la sécurité organisationnelle
2. la sécurité physique
3. la continuité de service
4. l'organisation informatique
5. la sécurité logique et l'exploitation
6. la sécurité des applications

Les indicateurs, répartis dans ces 6 thèmes, vont être évalués, et valorisés sur une échelle de 0 (très insatisfaisant) à 4 (très satisfaisant), le niveau 3 étant le niveau jugé correct. Chaque indicateur est affecté d'un poids en fonction de son importance.

1. Accidents physiques
2. Malveillance physique
3. Panne du SI
4. Carence de personnel
5. Carence de prestataire
6. Interruption de fonctionnement du réseau
7. Erreur de saisie
8. Erreur de transmission
9. Erreur d'exploitation
10. Erreur de conception / développement
11. Vice caché d'un progiciel
12. Détournement de fonds
13. Détournement de biens
14. Copie illicite de logiciels
15. Indiscrétion / détournement d'information
16. Sabotage immatériel
17. Attaque logique du réseau

• Les objectifs de sécurité de l'entreprise sont définis
• Le champ d'action de l'analyse est défini, ainsi que le découpage fonctionnel de ce champ d'action

Exemple de rosace réalisée dans le cadre de la méthode MARION

Cette phase se base sur les questionnaires fournis par la méthode

• Les contraintes de l'entreprise sont identifiées.
• Les indicateurs sont valorisés de 0 à 4. Chaque indicateur est affecté d'un poids relatif.
• L'ensemble des indicateurs est très souvent représenté sous forme graphique : rosace/radar, diagramme en barres, ... Des diagrammes de synthèse sont également possibles : rosace par source des risques (accident, malveillance, erreur), par impact des risque (disponibilité, intégrité, confidentialité des informations), ...

• L'exploitation des résultats de l'audit permet de répartir les risques en majeurs (RM) et simples (RS).
• Le SI est alors découpé en fonctions. Les groupes fonctionnels spécifiques hiérarchisés selon l'impact et la potentialité des risques les concernant sont identifiés. Pour chaque groupe fonctionnel de l'entreprise, chaque fonction est revue en détail afin d'évaluer les scénarios d'attaque possibles avec leur impact et leur potentialité. Voir ci-dessus la typologie des menaces proposée par la méthode.

• Les menaces et vulnérabilités qui pèsent sur l'entreprise étant identifiées et valorisées, l'entreprise décide du degré d'amélioration à apporter pour réduire ces risques et idéalement atteindre la note globale de 3.
• Elle définit les moyens à y affecter. On évalue le coût de la mise en conformité.
• Les tâches sont décrites et ordonnancées.