Risques

La page Risques

• Onglets par méthode : Simplifiée, ISO 27005, EBIOS RM.
• Indicateurs : total des risques, risques critiques et élevés, revues dues. Les risques clôturés, en brouillon ou acceptés ne comptent pas parmi les risques critiques, élevés ni les revues dues, et ne figurent pas dans la matrice : un risque accepté est une décision prise, pas un risque à traiter.
• Matrice des risques, avec une bascule Inhérent / Résiduel. La probabilité et l’impact résiduels ne se saisissant pas dans l’interface, la vue résiduelle place les risques dans les mêmes cases que la vue inhérente. Une case qui contient des risques prend leur niveau (le plus sévère s’ils diffèrent) ; une case vide, celui de son score sur l’échelle de la méthode affichée.
• Liste : code (R-001…), titre, méthode, catégorie, score inhérent et résiduel, traitement, propriétaire, date de revue.

La lecture est ouverte à tous les rôles ; la création et la modification sont réservées aux Administrateurs, RSSI et Contributeurs. Les boutons restent affichés pour les Auditeurs, mais l’action leur est refusée.

Créer un risque

L’assistant « Nouveau risque » se déroule en trois temps :

1. la méthode ;
2. le titre, la description, la catégorie (proposée ou libre) et le propriétaire ;
3. l’évaluation :
   • méthode simplifiée : probabilité et impact de 1 à 3, score sur 9 ;
   • ISO 27005 et EBIOS RM : probabilité de 1 à 5, et confidentialité, intégrité, disponibilité de 1 à 5 ; l’impact retenu est le plus élevé des trois, score sur 25.

Le niveau (Faible, Moyen, Élevé, Critique) découle du score et de seuils propres à chaque échelle :

Échelle	Faible	Moyen	Élevé	Critique
Simplifiée (score sur 9)	1 à 2	3 à 4	5 à 6	7 à 9
ISO 27005 (score sur 25)	1 à 5	6 à 10	11 à 17	18 à 25
EBIOS RM, risque saisi dans le registre (score sur 25)	1 à 5	6 à 10	11 à 17	18 à 25
EBIOS RM, risque généré par une étude (score sur 16)	1 à 4	5 à 8	9 à 12	13 à 16

Ces seuils sont ceux par défaut ; ils ne sont pas modifiables depuis l’interface. Ce sont les mêmes partout : fiche et liste des risques, matrice et indicateurs, tableau de bord, rapports et plan d’action du groupe. L’API les expose (GET /entities/{entityId}/risk-thresholds), une ligne par échelle (scale : Simple, Iso27005, EbiosRm, EbiosRmStudy, avec son score maximal maxScore), sous forme de bornes hautes incluses : lowMax 5, mediumMax 10, highMax 17 pour ISO 27005 et EBIOS RM ; 4, 8 et 12 pour les risques générés par une étude EBIOS RM ; 2, 4 et 6 pour la méthode simplifiée. L’API permet aussi de les modifier pour une entité (PUT /entities/{entityId}/risk-thresholds, en nommant l’échelle par scale ou la méthode de ses risques par methodology) ; l’échelle EbiosRmStudy des risques générés par une étude n’est pas modifiable et la requête est refusée (400). Le niveau affiché par l’assistant pendant la saisie applique ces mêmes seuils.

À la création dans l’assistant, un risque dont le score inhérent le classe Critique (18 et plus sur 25 en ISO 27005 et EBIOS RM, 7 et plus sur 9 en méthode simplifiée) notifie son propriétaire et les RSSI de l’entité, sauf l’auteur du risque. Les risques générés par une étude EBIOS RM ne déclenchent pas cette notification.

Traiter un risque

Dans la fiche d’un risque :

• Modifier change le titre, la description et la catégorie (le score et le propriétaire ne sont pas modifiables après la création) ;
• Plan de traitement : Accepter, Réduire, Transférer ou Éviter.
  • Accepter est enregistré dès le clic ; le score résiduel devient égal au score inhérent. Une « Justification de l’acceptation » peut ensuite être saisie (« Enregistrer la justification »).
  • Éviter ramène le score résiduel à 0.
  • Réduire, Transférer et Éviter se déclinent en actions : une action est créée « En attente » et peut être marquée « Terminé » (le statut « En cours » n’est pas proposé). Pour Réduire et Transférer, le score résiduel n’est pas recalculé : il reste « N/A », ou garde la valeur fixée par une stratégie choisie auparavant.
• Liens vers des contrôles, actifs, fournisseurs et incidents ;
• Historique des revues, en lecture ;
• Clôturer, avec une justification : le risque quitte la liste.

Lorsqu’un risque a une date de revue, son propriétaire reçoit un rappel 30 jours avant ; la date de revue ne se saisissant pas encore dans l’interface, ce rappel ne se déclenche pas aujourd’hui.

Limites actuelles : en dehors de la clôture, le statut d’un risque créé à la main ne se modifie pas depuis l’interface. Il reste « Brouillon », et les risques en brouillon figurent dans la liste mais ni dans la matrice, ni dans les indicateurs de la page Risques, ni dans ceux du tableau de bord. La date de revue et la saisie d’une revue ne sont pas proposées.

EBIOS RM

Les études EBIOS RM se mènent en cinq ateliers (cadrage et socle, sources de risque, scénarios stratégiques, scénarios opérationnels, puis traitement, où sont générés les risques). La création d’une étude n’est pas encore proposée dans l’interface : ce module n’est pas utilisable de bout en bout aujourd’hui. Les risques évalués selon la méthode EBIOS RM peuvent en revanche être saisis avec l’assistant ci-dessus.

Un risque généré par une étude est évalué sur l’échelle de l’étude : la gravité (la plus élevée des événements redoutés de l’étude, de 1 à 4) multipliée par la vraisemblance de son scénario opérationnel (de 1 à 4), soit un score sur 16, avec ses propres seuils (tableau ci-dessus) : un risque de score 16 y est Critique, là où un risque EBIOS RM saisi dans le registre avec le même score est Élevé. Sa fiche affiche son score sur 16, sa vraisemblance et sa gravité sur 4. Dans la matrice EBIOS RM (5 × 5), il occupe les quatre premières lignes et colonnes, et sa case prend son niveau. Une règle d’automatisation sur seuil de score (par défaut 18, début du niveau Critique sur 25) ne se déclenche jamais pour lui : son score ne dépasse pas 16.