Gestion des risques : comment les autres domaines clés du SMSI apportent-ils leur contribution ?

La gestion des risques liés à la sécurité de l'information est souvent considérée à tort comme un projet qui fait l'objet d'une mise à jour annuelle. En réalité, la gestion des risques est au cœur du travail lié à la sécurité de l'information et recoupe de nombreuses activités connexes.

Lorsque votre système de gestion de la sécurité de l'information (SGSI) est activement mis en œuvre, il génère en permanence des données, des décisions et des actions liées aux risques. Et ce, même si elles ne sont pas toujours qualifiées de « gestion des risques ». Les incidents, les changements, les audits et les améliorations déterminent tous la manière dont les risques doivent être compris et gérés. La clé réside dans la mise en relation de ces différents éléments.

Comment le fonctionnement de l'ISMS alimente la gestion des risques dans la pratique

Lorsque la gestion des risques est traitée de manière isolée, elle devient rapidement obsolète et déconnectée de la réalité. Lorsqu'elle est reliée au travail quotidien du SMSI, elle reste actuelle et pertinente. De nombreuses organisations font déjà beaucoup de choses qui favorisent une réflexion axée sur les risques, mais elles ne réinjectent pas toujours ces informations dans la gestion des risques.

La gestion des risques n'est pas une activité distincte qui coexiste avec le travail lié au SMSI. Elle en est au cœur même. La plupart des processus SMSI reposent soit sur la compréhension des risques, soit sur la production d'informations qui devraient influencer les évaluations des risques.

Un SMSI qui fonctionne bien génère des données en continu pour la gestion des risques liés à la sécurité de l'information. Cela se produit dans plusieurs domaines clés :

🚨 Gestion des incidents : signaux concrets concernant vos risques

Les incidents et les quasi-accidents montrent quels risques se concrétisent réellement dans la pratique. Ils fournissent des preuves concrètes de ce qui peut mal tourner, de la fréquence à laquelle cela se produit et de l'ampleur des conséquences.

Lorsque les incidents sont analysés correctement, ils devraient conduire à une mise à jour des évaluations des risques. Si les incidents sont traités isolément, les évaluations des risques deviennent rapidement obsolètes par rapport à la réalité. La gestion des incidents est l'un des moyens les plus efficaces de vérifier la réalité dans le cadre de la gestion des risques.

🧩 Planification de la continuité : comprendre l'impact lorsque les choses tournent mal

La continuité des activités et la planification de la résilience reposent sur la compréhension des risques. L'analyse d'impact permet de clarifier la gravité réelle des différents scénarios et d'identifier les perturbations les plus importantes.

Les tests des plans de continuité révèlent souvent des écarts entre l'impact supposé et l'impact réel. Ces conclusions doivent être prises en compte dans les évaluations des risques afin d'affiner les niveaux d'impact et les priorités. La planification de la continuité transforme les risques abstraits en scénarios concrets et pertinents pour l'entreprise.

🔀 Gestion du changement : des risques apparaissent lorsque l'organisation change

Tout changement entraîne de nouveaux risques. Les nouveaux systèmes, fournisseurs, technologies et méthodes de travail ont tous une incidence sur le paysage des risques.

La gestion du changement offre des occasions naturelles d'identifier de nouveaux risques ou de réévaluer ceux qui existent déjà. Lorsque la gestion des risques n'est pas liée aux processus de changement, les risques prennent du retard par rapport à la réalité et n'apparaissent que plus tard, à la suite d'incidents ou d'audits.

🛡️ Gestion de la conformité : structure et exigences en matière de gestion des risques

Toutes les normes, directives et lois importantes exigent une gestion des risques liés à la sécurité de l'information. La conformité apporte structure et cohérence, mais elle ne définit pas quels sont les risques les plus importants :

• ISO 27001:2022 – Exige l'identification, l'évaluation et le traitement continus des risques liés à la sécurité de l'information comme élément central du SMSI.
• NIS2 – Impose des mesures de gestion des risques liés à la cybersécurité, notamment l'analyse des risques, la prévention et les contrôles des risques liés à la chaîne d'approvisionnement.
• DORA – Applique la gestion des risques liés aux TIC dans les domaines de l'identification, de la protection, de la réponse et de la reprise pour les entités financières.
• Loi sur la cyber-résilience (CRA) – Exige des évaluations des risques liés à la cybersécurité tout au long du cycle de vie du produit avant sa mise sur le marché.
• RGPD – Applique une approche fondée sur les risques à la protection des données, y compris des analyses d'impact obligatoires pour les traitements à haut risque.

Les conclusions des audits et les lacunes en matière de conformité constituent des informations précieuses pour la gestion des risques. Parallèlement, la gestion des risques doit guider la manière dont les exigences de conformité sont mises en œuvre. Être conforme ne signifie pas automatiquement être en sécurité, mais une bonne gestion des risques favorise les deux.

📚 Autres éléments du SMSI : apport continu d'informations permettant de maintenir les risques à jour

De nombreuses autres activités ISMS permettent d'affiner en permanence la compréhension des risques. La gestion des actifs aide à clarifier ce qui doit être protégé et dans quelle mesure cela est critique. La gestion des vulnérabilités montre où les contrôles échouent dans la pratique. La modélisation des menaces améliore la compréhension des voies d'attaque probables et de leur probabilité. Le renforcement des contrôles intervient souvent là où les risques sont plus élevés.

Ensemble, ces activités façonnent à la fois les risques inhérents et résiduels et contribuent à ancrer la gestion des risques dans la réalité.

La mise en œuvre de votre SMSI améliore votre gestion des risques.

Un SMSI ne soutient la gestion des risques que s'il est utilisé activement. Lorsque des processus tels que la gestion des incidents, la gestion du changement, la planification de la continuité et l'amélioration continue sont mis en œuvre dans la pratique (et ne sont pas seulement documentés), ils génèrent en permanence des informations sur les risques réels.

Plus votre SMSI est utilisé activement, plus votre gestion des risques s'améliore. Les risques restent d'actualité car ils sont alimentés par les incidents, les changements, les audits et le travail quotidien en matière de sécurité. Les priorités deviennent plus claires, car les décisions relatives aux risques sont fondées sur des signaux réels plutôt que sur des hypothèses.

Lorsque le travail lié au SMSI et la gestion des risques sont délibérément liés, la gestion des risques cesse d'être un exercice statique. Elle devient un moyen continu de comprendre ce qui pourrait mal tourner et de décider comment réagir dans le cadre des opérations normales de sécurité de l'information.