Quel est votre véritable RISQUE ?

La menace est également un facteur de calcul du risque. Quelles sont les plus grandes menaces auxquelles vous êtes confronté ? Elles vont des catastrophes naturelles à l'espionnage d'entreprise, en passant par les espions, les employés mécontents... En gros, si vous exercez une activité qui consiste à fournir quelque chose que quelqu'un veut, il y a de fortes chances que quelqu'un d'autre veuille savoir ce que vous savez ou posséder ce que vous possédez. Les menaces sont les éléments qui causeront des dommages à votre organisation.

Les vulnérabilités sont le point d'entrée dans l'organisation ou permettent d'accéder à des informations de valeur. En ce qui concerne la sécurité informatique, les vulnérabilités peuvent être l'exposition sur l'internet, l'accès facile au réseau de l'entreprise, ou des machines clientes et des serveurs compromis. Mais les vulnérabilités comprennent également le fait de ne pas contrôler toutes les personnes entrant dans le bâtiment, les entrées latérales non verrouillées ou non surveillées, la perte ou l'abandon d'informations, ou même une soirée en ville avec les cadres. Ne négligez jamais l'erreur humaine et l'ego. Les personnes ivres aiment parler et ne sont pas toujours conscientes de leur environnement. Vous ne savez jamais quand quelqu'un peut écouter vos conversations ou fouiller dans les poches du manteau que vous avez enregistré au vestiaire.

Exemple inventé :

L'entreprise X est une grande entreprise mondiale. Elle possède des bureaux et des usines répartis dans le monde entier. Elle s'est développée très rapidement et n'a pas mis à jour sa sécurité (vilain vilain...). Elle possède bien sûr des informations que quelqu'un d'autre pourrait vouloir obtenir, mais elle est aussi une cible comme toute autre entreprise, simplement parce qu'elle existe. Que se passerait-il si une petite partie de leur activité tombait en panne ? Disons une région où elle fabrique le produit Z. Combien de personnes seraient touchées ? Quels seraient les coûts ? Peut-on chiffrer cette attaque ? Oui, nous le pouvons.

Cette attaque hypothétique a frappé la région avec un bon vieux casier cryptographique qui a été introduit par une campagne de phishing ciblée et qui s'est appuyé sur des systèmes obsolètes auxquels il manque des correctifs de sécurité indispensables.

Le premier coût que nous examinons est la perte de production de tout ce qui est fabriqué. Supposons que leur production journalière s'élève à 1 000 000 € et qu'ils sont restés inactifs pendant deux semaines ! Cela représente une perte de 10 à 14 millions d'euros (en fonction des week-ends de congé). Et comme ils ont pris du retard, ils devront peut-être augmenter leur production pour rattraper ce retard lorsqu'ils redémarreront. Mais ce n'est pas le seul coût. Il y aura sans aucun doute des personnes qui travailleront jour et nuit pour arrêter l'attaque, essayer de la réparer et comprendre ce qui a mal tourné. Disons qu'une centaine de personnes ont travaillé d'arrache-pied pendant un mois pour contenir et réparer l'attaque afin que la production puisse reprendre. 100 personnes avec un coût moyen (estimons-le) de 50 €/heure pour l'entreprise, à raison de 10 heures par jour. Cela représente un coût supplémentaire de 1 500 000 euros ! Rien que pour les personnes qui tentent de contenir l'incident. D'autres coûts pourraient inclure le remplacement de l'équipement qui aurait pu être endommagé.