Cartographie des risques cyber : méthode et outils pour structurer l'analyse
Une cartographie des risques cyber est un inventaire structuré des actifs numériques sensibles, des menaces qui pèsent sur eux, des vulnérabilités exploitables et des scénarios d'attaque possibles, couplé à une cotation de chaque risque identifié. [lu : cartographie-des-risques-cyber.com, index.md] Elle se distingue d'un audit de sécurité : l'audit vérifie la conformité à un référentiel à un instant donné, tandis que la cartographie produit une vision dynamique du niveau d'exposition qui oriente les décisions de priorisation et de traitement. Trois méthodes reconnues structurent cet exercice : EBIOS Risk Manager, publiée par l'ANSSI, se distingue par son orientation scénarios de menace et chemins d'attaque ; ISO/IEC 27005 fournit un cadre de processus pour le management du risque lié à la sécurité de l'information ; le NIST Cybersecurity Framework organise les fonctions de gouvernance cyber. [lu : méthode EBIOS Risk Manager, ANSSI ; ISO/IEC 27005, norme internationale ; NIST CSF] Le choix de la méthode conditionne le niveau de détail de la cartographie et sa compatibilité avec les exigences réglementaires applicables à l'organisation. Ce guide compare les méthodes et explique comment un logiciel soutient l'exercice.
Qu'est-ce qu'une cartographie des risques cyber et à quoi sert-elle ?
Une cartographie des risques cyber sert à rendre visibles les expositions d'une organisation, à les prioriser et à orienter les investissements de sécurité vers les risques les plus significatifs. [lu : cartographie-des-risques-cyber.com, index.md] Elle produit une représentation partagée entre le RSSI, la direction et les métiers : sans ce langage commun, les décisions de sécurité restent techniques et incomprises. Elle sert aussi de base aux réponses aux exigences réglementaires : NIS2 exige une gestion des risques documentée pour les opérateurs de services essentiels, et ISO 27001 exige une appréciation des risques dans le périmètre du SMSI.
Pour la cartographie des risques dans un cadre plus large, voir l'article Cartographie des risques : méthode et outils pour ETI.
Quelles méthodes permettent de construire une cartographie des risques cyber ?
Les trois méthodes les plus utilisées sont EBIOS Risk Manager, ISO/IEC 27005 et le NIST Cybersecurity Framework. [lu : cartographie-des-risques-cyber.com, index.md] EBIOS Risk Manager se distingue par son orientation scénarios : elle part des sources de risque (acteurs de la menace) et des objectifs visés pour construire des chemins d'attaque réalistes, ce qui facilite la présentation au comité de direction. ISO/IEC 27005 fournit un processus plus générique d'identification, d'estimation et d'évaluation des risques, compatible avec tout type d'organisation. Le NIST CSF organise les fonctions Identify, Protect, Detect, Respond et Recover, utilisable comme grille d'autoévaluation.
Pour la certification ISO 27001 qui s'appuie sur une appréciation des risques, voir l'article ISO 27001 : guide de conformité et logiciel de gestion de la sécurité.
Comment cartographier qualitativement ou quantifier financièrement le risque cyber ?
La cartographie qualitative cote les risques sur des échelles ordinales (faible, moyen, fort) et produit une matrice probabilité-impact lisible par la direction. [lu : cartographie-des-risques-cyber.com, index.md] La quantification financière, comme la méthode FAIR (Factor Analysis of Information Risk), traduit les risques en valeurs monétaires attendues, ce qui facilite les arbitrages budgétaires. Les deux approches sont complémentaires : la cartographie qualitative donne la vision d'ensemble, la quantification approfondit les risques les plus significatifs pour justifier un investissement spécifique.
Pour la quantification financière du risque cyber, voir l'article Quantification du risque cyber : méthode et logiciel.
Comment intégrer la cartographie des risques cyber dans la cartographie des risques de l'entreprise ?
La cartographie des risques cyber reste souvent isolée dans la DSI alors qu'elle devrait alimenter la cartographie des risques de l'entreprise. [lu : cartographie-des-risques-cyber.com, index.md] L'intégration exige d'aligner les échelles d'évaluation entre la DSI et la direction des risques, de définir un format de restitution compréhensible pour les non-techniciens et d'établir une gouvernance de mise à jour conjointe. Un logiciel de gestion des risques qui couvre à la fois le domaine cyber et les autres domaines de risque de l'entreprise facilite cette consolidation.
Pour le cadre réglementaire NIS2 et DORA, voir l'article NIS2 et DORA : préparer la conformité réglementaire.
Comment un logiciel soutient-il la cartographie des risques cyber ?
Un logiciel soutient la cartographie des risques cyber en structurant l'inventaire des actifs, en organisant les ateliers d'identification des scénarios, en conservant les cotations avec leur justification et en produisant les livrables attendus (matrice, plan de traitement). [lu : cartographie-des-risques-cyber.com, index.md] Il facilite aussi la mise à jour périodique : lorsqu'un nouvel actif est ajouté ou qu'une nouvelle menace est identifiée, le logiciel permet de cibler la révision sur les zones affectées sans refaire la cartographie entière. La traçabilité des versions est ce que les régulateurs vérifient pour s'assurer que la cartographie est maintenue à jour.
Questions fréquentes
Qui pilote la cartographie des risques cyber dans l'organisation ? La cartographie est généralement conduite par le RSSI, avec le soutien de la direction des risques pour l'alignement avec les autres domaines de risque de l'entreprise. La présentation au comité de direction est une étape clé pour garantir que les décisions de traitement sont prises au bon niveau.
À quelle fréquence mettre à jour une cartographie des risques cyber ? La pratique courante est une révision annuelle complète et une mise à jour ciblée après tout changement significatif : acquisition ou cession d'un système, évolution du périmètre exposé, incident de sécurité majeur ou nouvelle exigence réglementaire.
EBIOS Risk Manager est-elle la seule méthode acceptée par l'ANSSI ? EBIOS Risk Manager est la méthode recommandée par l'ANSSI pour les opérateurs de services essentiels en France. Elle n'est pas la seule méthode acceptable : ISO/IEC 27005 et d'autres cadres reconnus sont utilisables, à condition que l'organisation documente sa démarche.
Optivalue.ai guide-t-il dans la construction d'une cartographie des risques cyber ? Optivalue.ai guide les équipes sécurité et risques à travers la méthode et la documentation. Pour en savoir plus : demander une démonstration.
Haut de page