Speaker #0Quand un client me demande « Hé Fab, tu peux nous faire une analyse de risque ? » j'ai parfois envie de répondre « Non » . Comment ça non ? T'es pas censé être expert là-dedans ? Ben si, mais ce que tu me demandes, c'est probablement pas seulement une analyse de risque, c'est une appréciation des risques. Oui, je sais, tu voulais un consultant, t'as reçu un dictionnaire, mais reste avec moi. Parce que derrière cette petite bataille de vocabulaire... Il y a une vraie différence dans ce qu'on fait, et surtout dans les décisions qu'on prend. Aujourd'hui, je vais te démystifier les mots du risque, en français et en anglais, et avec suffisamment de mauvaise foi pour ne pas te perdre avant le générique. Bienvenue dans Compliance without coma, le podcast qui parle de cybersécurité, de gouvernance et d'ISO 27001 sans te plonger dans le coma. Je suis Fabrice De Paepe et depuis plus de 20 ans j'accompagne des organisations à construire des systèmes de management qui fonctionnent vraiment. Et aujourd'hui, on va essayer de remettre quelques mots dans les bonnes cases, pour une fois que les cases peuvent servir à quelque chose. Alors, commençons par deux questions. Est-ce qu'ISO 27001 demande de réaliser une appréciation des risques de sécurité de l'information ? Oui. Est-ce qu'elle impose d'utiliser ISO 27005 ? Non. ISO 27005 fournit des lignes directrices pour gérer ces risques. Elle peut t'aider à construire ta démarche, mais tu n'es pas obligé d'adopter cette norme comme méthode pour être conforme à ISO 27001. Tu as de la liberté. Profite-en, c'est rare en GRC. Ce qui ne veut pas dire que... Tu peux noter tes risques en fonction de ton humeur, de la météo et du nombre de cafés déjà consommés. Même si parfois, les résultats donnent cette impression. D'ailleurs, dans certaines entreprises, tu verras aussi le sigle ISRM, Information Security Risk Management, la gestion des risques de sécurité de l'information. Parfois, c'est même le nom d'un département tout entier. Et c'est bien cet ensemble qu'on va explorer. D'abord le contexte. Bon. En audio, expliquer un schéma, c'est toujours une aventure. Alors, imagine un parcours avec quelques étapes. Avant de parler des risques, il faut savoir de quoi on parle. Quelle organisation ? Quelles activités ? Quels objectifs ? Quel périmètre ? ISO 27001 certifié ou non d'ailleurs. Quelle dépendance ? Ouh, tu l'as mon BIA ? Business Impact Assessment ? Et quelles obligations ? Tu ne regardes pas les risques de la même manière pour une banque, une société de développement et une boulangerie. Même si dans les trois cas, une panne informatique peut sérieusement gâcher la journée. Alors ce travail s'appuie notamment sur ce qu'on retrouve dans l'ISO 27001. La clause 4.1, comprendre l'organisation et son contexte. Puis la clause 4.2, comprendre les besoins et les attentes des parties intéressées. Mais attention, avoir rempli deux tableaux pour ces clauses, ne signifie pas que tout le contexte nécessaire à ton appréciation est prêt. Il faut encore préciser le périmètre étudié, les critères, les responsabilités, bref, les règles du jeu. Ensuite, trois étapes et trois mots différents. On arrive maintenant dans le bloc appelé « risk assessment » , en français, l'appréciation du risque. Et ce bloc contient, oui, trois étapes. Identification, analyse, la fameuse analyse de risque, et évaluation. Je répète parce que c'est vraiment le cœur de l'épisode. Identification, analyse, évaluation. Première étape, l'identification. Qu'est-ce qui pourrait se passer et compromettre nos objectifs ? Je te prends un exemple simple. Un prestataire héberge ton application métier. Une indisponibilité prolongée chez lui pourrait empêcher tes clients d'utiliser ton service. Tu commences à décrire un scénario. Ça, c'est pour la première étape. Deuxième étape. L'analyse. Ah oui, la fameuse analyse de risque, dont on me demandait dans l'intro. C'est ici qu'on parle vraiment d'analyse de risque. Tu cherches à comprendre ce risque. Quelles seraient les conséquences ? Sa vraisemblance ? Sa probabilité d'occurrence ? Quelle mesure existe déjà ? Et je t'ai déjà dit que je n'amène pas le mot « mesure » dans un podcast, donc ici je vais plutôt parler de contrôle, parce que les contrôles ramènent le risque à un niveau acceptable pour le business. Mais bon, parfois l'ISO utilise mesure. C'est la clause 9.1. et Que sait-on réellement de leur efficacité, de tous ces contrôles ? Alors tu vas estimer ton niveau de risque. Ensuite, troisième étape, l'évaluation. Tu compares le résultat aux critères que ton organisation a définis. Est-ce acceptable ? Est-ce qu'on doit agir ? Mais avec quelle priorité ? Une semaine, un mois ? Le temps de recruter un nouveau CISO, par exemple. Et pour retenir la différence, j'aimerais bien que tu retiennes ceci. identifier, c'est le worst case scénario. Qu'est-ce qui pourrait arriver ? Qu'est-ce qui m'empêche de dormir ? Qu'est-ce que je peux pitcher en 30 secondes face à un C-level dans un ascenseur ? Analyser, quelle importance est-ce que ça pourrait avoir pour mon business ? Évaluer, et au regard de tous nos critères, qu'est-ce qu'on en fait de ce risque ? Tu vois maintenant mon petit problème avec la demande du client ? L'analyse, elle existe bien, mais c'est une étape à l'intérieur de l'appréciation. Et l'appréciation fait elle-même partie de la gestion des risques. Les mots ne couvrent donc pas la même chose. Dans le langage courant, on appelle souvent tout cela une analyse de risque. On se comprend. Mais quand tu lis une norme, prépares un examen ou définis le périmètre d'une mission, la différence compte. Et non, je ne vais pas accuser les Belges d'avoir inventé cette confusion. On en a déjà assez. et assez de dossiers ouverts. Mes amis français, dites-moi quand même ce que vous utilisez sur le terrain. Est-ce que je corrige tous mes clients ? Bien sûr que non. Je suis arrivé en fait à un âge où je choisis mes combats. Si tu me dis d'emblée que 1 plus 1 égale 5, ok. Je vais peut-être d'abord regarder combien de temps il me reste avant mon prochain rendez-vous. Et oui, il m'arrive aussi de dire analyse de risque pour parler de l'ensemble, parce que c'est entrer dans les habitudes, dans les mœurs. Mon objectif, c'est pas de gagner un concours de vocabulaire à la machine à café, mais c'est qu'on sache ce qu'on est en train de dire, de faire, de décrire, et surtout si on est aligné, si on se comprend. Si tu me demandes seulement de revoir la cotation de risque déjà identifiée, très bien. Si tu me demandes de construire toute la démarche, c'est pas exactement la même mission, ni le même travail, on est d'accord. Ni accessoirement le même devis. Après, l'appréciation, il y a le traitement. Une fois les risques appréciés, il faut décider de la réponse. Et là, on parle de traitement des risques. On pense souvent immédiatement. Je vais mettre des contrôles. Du MFA. Coucou NIS2. Des sauvegardes. Un contrat. Une procédure. Très bien. Mais la décision vient avant la liste des courses. Pour retenir les grandes options de traitement du risque, tu connais peut-être les 4 T. Tolerate. Treat. Transfer. Terminate. C'est un moyen mnémotechnique qui peut t'aider, donc ce n'est pas une récitation au vocabulaire ISO, d'ailleurs l'ISO ne l'utilise pas comme ça, mais ça peut t'aider à ressortir les yeux fermés à l'examen. Premier T, tolérer. Donc tolérer, c'est conserver le risque par une décision éclairée. C'est une sorte de risque résiduel en fait. On comprend le risque et on décide de vivre avec. Ça ne veut pas dire personne ne s'en occupe, donc j'imagine que c'est accepté. Attention. Et l'absence de réponse à un mail n'est pas une stratégie de gestion des risques. Même avec la direction en copie, il faut aussi savoir proportionner l'effort. Quand 4 personnes passent 30 minutes à débattre d'un problème à 27,40€, il y a peut-être un deuxième risque à identifier. Le deuxième T, treat. Donc, dans ce moyen mnémotechnique, on entend surtout réduire le risque. Agir sur sa vraisemblance, sur ses conséquences, ou sur les deux, quand c'est possible. Mais attention au piège, parce qu'au sens large, le traitement ne se limite justement pas à la réduction. Et les mesures que tu mets en place ne sont pas automatiquement des actions correctives. Encore un terme qu'on utilise parfois un peu vite. L'action corrective s'attaque à la cause d'une non-conformité pour éviter qu'elle se reproduise. Installer une mesure de sécurité pour traiter un risque ne signifie pas forcément qu'une non-conformité existait. Peut-être que je devrais en parler aussi dans un autre podcast. Tiens, différence entre correction... Et action corrective. Troisième risque. Pardon, troisième T. Transfert. Transférer. Personnellement, je préfère souvent parler de partage. Parce que transférer donne vite l'impression qu'on a fait disparaître le problème chez quelqu'un d'autre. Et une assurance peut prendre en charge certaines conséquences financières. Un contrat peut repartir certaines obligations. Mais ton client, qui ne peut plus utiliser ton service, Eh bien, lui, il ne va pas forcément retrouver le sourire parce que tu lui annonces « Bonne nouvelle, c'est notre fournisseur qui est en panne » . Donc, externaliser une activité ne fait pas disparaître tous les risques qui vont avec. Et cela peut même en ajouter. Alors on a le quatrième T, terminate. Éviter le risque en renonçant à l'activité qui le génère. On ne lance pas ce service, on abandonne cette fonctionnalité, on arrête ce traitement de données. C'est parfois une excellente décision. Donc tout projet n'a pas un droit constitutionnel à la mise en prod. Les contrôles de l'annexe A, tu me diras ? Eh bien, quand des mesures sont nécessaires, tu les détermines selon tes besoins. Puis tu les compares à l'annexe A, disons 27001, pour vérifier que tu n'en as pas oublié. L'annexe A n'est pas exhaustive. Je t'ai fait un petit podcast aussi dessus. Donc tu peux avoir besoin d'autres mesures. Un exemple, le MFA. Stricto senso, tu ne le trouveras pas dans l'annexe A. Par contre, si tu es NIS2, tu auras l'obligation de mettre du MFA. du MFA. Donc tu peux avoir besoin d'autres contrôles, ou d'autres mesures. Sinon, je vais réussir à transformer un épisode sur le vocabulaire en formation de 3 jours. Et je ne t'ai même pas encore proposé de café. Alors, le risque qui reste, après le traitement, il reste généralement du risque. C'est ce qu'on appelle le risque résiduel. Et ce risque doit faire l'objet d'une acceptation par les propriétaires des risques, les fameux risques owner. Celui qui a la responsabilité et l'autorité pour gérer le risque. C'est pas automatiquement le CISO ou le RSSI. Ni le consultant qui a rempli le tableau et que tu es en train d'écouter la voix de Crooner. Non, accepter un risque ne signifie pas que l'on oublie jusqu'à la prochaine visite de l'auditeur. On surveille, on le réexamine, parce que les hypothèses peuvent changer. La fameuse boucle. On a apprécié les risques, ou détesté. Je commençais avec les jeux de mots là-dessus. Non, on a apprécié les risques, on a choisi un traitement, on l'a mis en œuvre, mais est-ce qu'il fonctionne ? Est-ce que le risque restant est acceptable ? Si ce n'est pas le cas, on ajuste. On peut approfondir l'appréciation, revoir le traitement ou revenir sur certaines hypothèses. On ne recommence pas forcément toute l'étude depuis la première ligne à chaque fois. Sinon, Sisyphe lui-même demanderait une rupture conventionnelle. Et cette démarche... continuent finalement à faire vivre et à vivre avec l'organisation. Un nouveau fournisseur, une acquisition, un incident, une nouvelle activité, ou ce charmant outil d'intelligence artificielle que quelqu'un utilise depuis 6 mois sans en avoir parlé à personne. Tout au long du parcours, tu vois, on communique, on consulte et on surveille. La communication n'est pas le mail final avec le registre Excel en pièce jointe, surtout si personne ne l'ouvre, mais l'univers des risques. Et pourquoi est-ce que je parle d'univers des risques ? Tu entendras peut-être aussi parler de risque universe. J'adore ce concept parce qu'en fait, il ne fait que grandir. Tout comme notre univers est en expansion, on croit qu'on le maîtrise, on croit que l'homme est capable de maîtriser l'univers, mais en fait, on doit avoir l'ego, on doit être très humble vis à vis de ça. Et plus on va découvrir de risques, plus on va en découvrir d'autres, plus on va trouver une nouvelle régulation, Cyber Resilience Act, AI Act. C'est parti, quoi. Donc, c'est vraiment bien un univers qui va évoluer en même temps que ton organisation, mais qui ne cesse de grandir. Est-ce que parce que l'année prochaine, tu en trouves 80 au lieu de 40, tu es plus mauvais ? Non. Et ça, l'auditeur doit le comprendre. Mais tu gères tes risques, comme tu veux. Donc, oui, l'expression est jolie. C'est pas le nom du cocktail obtenu en mélangeant toutes les étapes, dans un shaker, le Risk Universe. Non, c'est plutôt une manière de structurer. de structurer l'ensemble des risques ou des catégories de risques à considérer dans un périmètre. Et donc, on a une vue d'ensemble, avec une limite. Ton univers connu n'est pas forcément tout l'univers. Tu peux avoir un registre très complet et découvrir lundi un scénario auquel personne n'avait pensé vendredi. Excel n'est pas un télescope omniscient, non. Et l'auditeur, dans tout ça, eh bien... De quel droit, d'ailleurs, vient-il challenger tes risques ? il fait son travail. Il peut vérifier que ta démarche respecte les exigences, que tu appliques tes critères et que tes décisions reposent sur des éléments défendables. Si tu annonces une faible vraisemblance alors que le même événement s'est produit six fois cette année, il peut se poser une question et te poser une question, et même plusieurs. En revanche, son appréciation personnelle ne suffit pas à imposer une autre cotation. Moi, je l'aurais mis en rouge. Il n'est pas à lui seul une non-conformité. Il faut pouvoir expliquer l'écart à une exigence. Et de l'autre côté, dire « je suis le management, j'accepte le risque » , ce n'est pas non plus une formule magique. Donc tu ne fais pas disparaître une exigence applicable avec une signature en bas d'un tableau. Et le bon débat porte finalement sur les critères, sur les hypothèses, sur les preuves et les décisions. Pas sur celui qui a le marqueur le plus rouge. Un risque faible est-il un risque fermé ? J'ai déjà entendu, celui-là il est very low, vous devriez le clôturer. Mais faible ne veut pas dire inexistant. On peut clôturer une action de traitement terminée. On peut retirer ou archiver un scénario devenu sans objet, en gardant sa trace, mais si le risque existe toujours, le faire disparaître du suivi uniquement parce qu'il est faible, mérite au minimum une explication. Tu regardes avant de traverser la route, tu réduis ton exposition. Tu n'as pas supprimé la circulation pour autant. Et ta carte des risques fonctionne de la même manière. Une carte rouge n'annonce pas une catastrophe pour mardi à 14h. Une case verte. ne garantit pas la tranquillité jusqu'à Noël. Les couleurs représentent le résultat de ta méthode, elles ne prédisent pas l'avenir. Une certification ISO 27001 n'est pas un abonnement à l'absence d'incident. Plus j'en fais, moins je crois aux certitudes, en fait. Plus je participe à des appréciations des risques, et moins j'aime les certitudes avec lesquelles on présente parfois les résultats. Pas parce que la démarche est inutile, mais parce que je vois mieux ses limites. Nos informations sont incomplètes. Nos hypothèses sont discutables, nos jugements sont biaisés. Ce qui m'intéresse, c'est donc aussi la conservation, plutôt la conversation, que cela permet d'avoir, ce qu'on est en train de faire finalement. De quoi dépend vraiment notre activité ? Quelles interruptions sommes-nous capables de supporter ? Pourquoi finance-t-on ce projet plutôt qu'un autre ? Qui assume la décision ? Là, on parle de stratégie. On ne négocie plus simplement pour savoir si un 3 pourrait devenir un 2, afin que le comité retrouve l'appétit. Et puis il y a aussi l'angoisse du RSSI, du CISO. Voir les dépendances, imaginer les scénarios, comprendre ce qui pourra mal tourner, ce qui pourrait mal tourner, et puis découvrir le budget disponible. Tu vois les risques en haute définition, en 4K. Le financement, lui, est encore en version d'essai. Mais notre rôle n'est pas de tout prévoir, ni de tout empêcher. Il est d'aider l'organisation à décider avec les informations disponibles, à agir et à se préparer à ce qui peut arriver malgré tout. Je ne te parle pas de conformité ici. Donc l'objectif n'est pas de tout mettre en vert, c'est de pouvoir expliquer nos choix, et de vérifier qu'ils tiennent encore debout. Et si tu ne devais retenir qu'une chose de cet épisode, déjà tu es arrivé jusqu'ici, bravo, eh bien retiens ça. Identification, analyse et évaluation. compose l'appréciation des risques. Et la gestion des risques englobe une démarche plus large. Donc, à partir de maintenant, tu ne vas plus dire analyse de risque. Jure-le. Voilà, tu as maintenant de quoi provoquer une discussion à la machine à café. Utilise ce pouvoir, attention avec modération, et si cet épisode t'a fait sourire et réfléchir, partage-le avec quelqu'un qui dit encore analyse de risque, pour parler de tout. Avec bienveillance, bien sûr. Enfin, essaye. Et si tu découvres le podcast, prends 30 secondes pour laisser 5 étoiles sur Spotify ou Apple Podcast, et sur YouTube, tu retrouveras le fameux schéma ISO pour remettre les étapes dans l'ordre. Difficile en audio, mais en vidéo, c'est un peu plus facile. Pour les autres coma breakers, si tu vois passer l'épisode sur LinkedIn, eh bien, partage-le. Tu partageras le risque que quelqu'un apprenne quelque chose, et ça, c'est positif. Pour une fois, les conséquences pourraient être positives. Merci d'être toujours plus nombreux à rejoindre les coma breakers. On se retrouve vendredi prochain, déjà. pour un nouvel épisode de Compliance without coma. D'ici là, prends soin de toi, comma breaker.
