Choisir une méthode d’analyse
Aucune méthode n’est universellement supérieure. Le bon choix dépend de la question posée, du temps disponible et de l’auditoire à qui le résultat est destiné.
| Méthode | Nature | Entrée principale | Sortie | Quand la retenir | |
|---|---|---|---|---|---|
| ÉMRS Cyriskintel |
Semi-quantitative, modulaire | Criticité de l’actif, scénarios de menace, prédispositions, mesures | Risque inhérent, ajusté et résiduel sur 5 niveaux | Analyse complète d’un actif ou d’un service, avec traçabilité du raisonnement. | Ouvrir |
| NIST SP 800-30 r1 | Qualitative, par événements | Sources et événements de menace, vulnérabilités, impacts | Vraisemblance (G-5) et risque (I-2) | Contexte réglementaire nord-américain, alignement avec le NIST CSF ou le RMF. | Ouvrir |
| ISO/IEC 27005 | Qualitative, par actifs | Valeur de l’actif (DIC), menaces, vulnérabilités | Matrice vraisemblance × conséquence | Système de management ISO 27001, registre des risques structuré par actif. | Ouvrir |
| Quantification ALE | Quantitative | ARO, valeur de l’actif, facteur d’exposition | Perte annualisée attendue, en argent | Justifier un investissement, comparer des options devant la direction. | Ouvrir |
| FAIR | Quantitative probabiliste | Fréquence et ampleur, en intervalles min / probable / max | Risque annuel, centiles et courbe de dépassement des pertes | Analyse financière approfondie des risques déjà jugés élevés ; discussion d’appétit au risque. | Ouvrir |
Qualitatif, quantitatif ou les deux ?
L’approche qualitative
Elle classe les risques sur des échelles ordinales et se lit d’un coup d’œil sur une matrice. Elle est rapide et parlante, mais multiplier des valeurs ordinales n’a pas de sens mathématique, et les seuils d’acceptation deviennent vite rigides.
L’approche quantitative
Elle exprime le risque en argent : ALE = ARO × SLE. Elle parle directement à la direction et permet de comparer un investissement à la perte évitée, au prix d’un effort d’estimation plus soutenu.
L’approche semi-quantitative
Elle combine les deux : on hiérarchise d’abord qualitativement, puis on chiffre financièrement les risques élevés et très élevés. C’est la logique de l’ÉMRS et l’enchaînement que propose ce site.