La gestion des risques est le processus systématique consistant à comprendre ce qui pourrait porter atteinte aux informations et aux systèmes d'une organisation et à décider de ce qu'il convient de faire. Elle commence par l'identification des risques, la combinaison des menaces, des vulnérabilités et de la valeur de ce qui est en jeu, et par l'analyse de leur probabilité et de leur impact potentiel afin de pouvoir les comparer et les prioriser.
Au sein de la gouvernance stratégique, la gestion des risques est la discipline qui oriente l'ensemble du programme. Elle indique à la direction où l'exposition est la plus forte et garantit que les politiques, les contrôles et les investissements sont guidés par le risque réel plutôt que par l'habitude ou le dernier gros titre. Elle relie aussi la sécurité à l'appétence au risque déclarée de l'organisation, le niveau de risque qu'elle est disposée à accepter dans la poursuite de ses objectifs.
Une fois les risques compris, ils sont traités. Les options courantes sont de les atténuer, en appliquant des contrôles qui réduisent la probabilité ou l'impact, de les transférer, en reportant le risque sur une autre partie par une assurance ou des contrats, de les accepter, en reconnaissant et en tolérant un risque dans les limites de l'appétence, ou de les éviter, en renonçant à l'activité. Les décisions de traitement sont consignées, généralement dans un registre des risques, avec des propriétaires attribués.
La gestion des risques est importante car les ressources sont limitées et les menaces ne le sont pas. La surveillance maintient le tableau à jour, car les risques évoluent à mesure que les systèmes, les menaces et l'entreprise changent, et une décision qui était judicieuse l'an dernier peut nécessiter un réexamen.
Références#
- ISO 31000, Lignes directrices sur le management du risque.
- NIST SP 800-39, Managing Information Security Risk.