Quantification du risque cyber : méthode FAIR et logiciel pour une ETI
Quantification du risque cyber : pourquoi passer d'une évaluation qualitative à un modèle financier
La gestion des risques cyber repose dans la plupart des organisations sur des matrices de risque qualitatives -- rouge, orange, vert -- qui classent les risques sans les mesurer. Cette approche présente une limite fondamentale : elle ne permet pas de comparer l'investissement en sécurité à la perte potentielle évitée, ni de prioriser les traitements sur une base économique. La quantification du risque cyber traduit les risques identifiés en valeurs financières exprimées en monnaie, ce qui permet à la direction générale de prendre des décisions d'investissement en sécurité sur la même base que n'importe quelle autre décision de gestion du risque. La méthode FAIR (Factor Analysis of Information Risk) [lu : Open Group Standard, Risk Taxonomy, document n° C13K] est le cadre de quantification du risque cyber le plus largement adopté. Elle décompose le risque en deux paramètres fondamentaux : la fréquence probable des événements de perte et la magnitude probable des pertes associées. Optivalue.ai guide les ETI dans la mise en place d'un programme de quantification des risques cyber fondé sur la méthode FAIR, depuis la collecte des données jusqu'à la communication des résultats à la direction.
Comment la méthode FAIR décompose-t-elle la Loss Event Frequency et la Loss Magnitude ?
La méthode FAIR [lu : Open Group Standard, Risk Taxonomy, document n° C13K] décompose le risque cyber en deux branches. La première branche est la Loss Event Frequency (LEF), c'est-à-dire la fréquence probable à laquelle des événements de perte vont se produire sur une période de référence. La LEF est le produit du Contact Frequency (fréquence à laquelle un acteur de menace entre en contact avec l'actif) et de la Probability of Action (probabilité que l'acteur agisse). Pour chaque action, la Vulnerability (probabilité que l'action aboutisse à un événement de perte) filtre les tentatives réussies. La seconde branche est la Loss Magnitude (LM), c'est-à-dire la magnitude probable des pertes par événement. La LM se décompose en pertes primaires (impact direct sur l'organisation) et en pertes secondaires (conséquences résultant de la réaction des parties tierces : régulateurs, clients, partenaires). Cette décomposition permet d'identifier les leviers de réduction du risque les plus efficaces : réduire la fréquence d'occurrence ou réduire la magnitude des pertes par événement.
Quelles sources de données permettent de calibrer les estimations FAIR ?
La quantification FAIR repose sur des estimations probabilistes exprimées sous forme de distributions, et non de valeurs ponctuelles. La calibration de ces distributions nécessite des données de plusieurs types. Les données de fréquence de menaces peuvent être issues des bases de données publiques d'incidents cyber comme le DBIR (Verizon Data Breach Investigations Report) [lu : Verizon DBIR, édition annuelle] ou des bases sectorielles comme celles de l'ENISA. Les données de vulnérabilité s'appuient sur les scores CVSS des vulnérabilités connues et sur les résultats des tests d'intrusion et des scans de vulnérabilités de l'organisation. Les données de magnitude des pertes sont estimées à partir des coûts d'incidents passés dans l'organisation, des devis de réponse à incident, des tarifs de cyberassurance et des statistiques sectorielles publiées. La cartographie des risques cyber, point de départ de la quantification, fournit l'inventaire des actifs et des scénarios de risque à quantifier en priorité.
Comment communiquer les résultats de la quantification à la direction ?
La communication des résultats de la quantification FAIR à la direction générale repose sur trois éléments clés. Premièrement, exprimer le risque en termes financiers annualisés (Annualized Loss Expectancy, ALE) avec une fourchette de confiance plutôt qu'une valeur ponctuelle, pour refléter l'incertitude inhérente aux estimations. Deuxièmement, présenter les résultats par scénario de risque priorisé, non par actif technique, de manière à aligner la discussion sur les enjeux métiers. Troisièmement, relier chaque scénario aux options de traitement disponibles en comparant le coût du traitement à la réduction de la perte attendue, selon les principes de la décision économique. NIS2 et DORA qui imposent une évaluation chiffrée des risques ICT s'appuient sur des métriques quantifiées pour justifier les plans d'investissement en sécurité, ce qui renforce la cohérence entre la démarche FAIR et les exigences réglementaires.
Comment un logiciel automatise-t-il les calculs FAIR et le reporting ?
Un logiciel de quantification des risques cyber implémentant la méthode FAIR automatise les calculs de Monte Carlo nécessaires à la génération des distributions de perte à partir des estimations d'entrée. Il maintient le catalogue des scénarios de risque avec leurs paramètres FAIR, les sources de données utilisées pour la calibration et les dates de révision. Il produit les courbes de distribution des pertes par scénario, les agrégations au niveau organisationnel et les comparaisons entre scénarios. Il relie les scénarios aux options de traitement avec une estimation de la réduction de risque attendue pour chaque investissement. Il exporte les tableaux de bord et les rapports destinés à la direction générale dans les formats adaptés à la prise de décision. Optivalue.ai fournit les modèles de scénarios FAIR précalibrés pour les catégories de risques cyber les plus fréquentes dans les ETI françaises et les gabarits de présentation des résultats pour les comités de direction.
FAQ
Quelle est la différence entre la méthode FAIR et une matrice de risque classique ?
Une matrice de risque classe les risques en catégories qualitatives (faible, moyen, élevé) fondées sur des jugements subjectifs de probabilité et d'impact. La méthode FAIR [lu : Open Group Standard, Risk Taxonomy, document n° C13K] produit des distributions de probabilité de pertes exprimées en valeur financière, calculées à partir de paramètres décomposés et calibrés sur des données observées. La différence fondamentale est la comparabilité : deux risques exprimés en matrices peuvent être dans la même case sans que l'on sache lequel est prioritaire, tandis que deux risques quantifiés en FAIR sont directement comparables sur une base économique.
La méthode FAIR est-elle adaptée aux ETI sans département sécurité dédié ?
Oui, à condition de partir des scénarios de risque les plus critiques et de calibrer les estimations sur des données sectorielles publiques plutôt que sur des données internes absentes. La méthode FAIR ne requiert pas une équipe dédiée mais un minimum de trois à cinq heures par scénario pour la première quantification, avec une mise à jour annuelle plus rapide. Un logiciel FAIR adapté aux ETI propose des bibliothèques de scénarios précalibrés par secteur qui permettent de démarrer sans données internes, en les affinant progressivement avec les données propres à l'organisation.
Comment intégrer la quantification FAIR dans les décisions de cyberassurance ?
La cyberassurance s'appuie sur les mêmes paramètres que la méthode FAIR : fréquence et magnitude des pertes. Une quantification FAIR préalable à la souscription permet de dimensionner la couverture d'assurance en cohérence avec le profil de risque de l'organisation, de justifier le niveau de franchise retenu, et de démontrer à l'assureur la maturité des pratiques de gestion des risques. Les courtiers en cyberassurance accordent généralement des conditions plus favorables aux organisations capables de présenter une quantification structurée de leurs risques cyber plutôt qu'une simple auto-déclaration qualitative.
NIS2 et DORA imposent-ils explicitement la méthode FAIR ?
Non. Ni NIS2 (directive (UE) 2022/2555) ni DORA (règlement (UE) 2022/2554) n'imposent une méthode de quantification spécifique. Ils imposent une évaluation des risques proportionnée et une justification des mesures de sécurité en rapport avec les risques identifiés. La méthode FAIR est un cadre reconnu qui permet de satisfaire à cette exigence de proportionnalité en documentant explicitement les paramètres de fréquence et de magnitude utilisés pour fonder les décisions de traitement des risques ICT.
Découvrez comment Optivalue.ai guide la quantification de vos risques cyber
Haut de page
Sur le même sujet