Coter un risque cyber : matrice, risque brut, risque résiduel

Votre matrice, pas une échelle imposée

Chaque organisation a déjà sa façon de coter, souvent héritée de la gestion des risques de l'entreprise. AIRA la reprend au lieu de la remplacer. La matrice se règle une fois pour tout l'espace :

• trois formats proposés, 3×3, 4×4 et 5×5, et un éditeur qui monte jusqu'à six niveaux, avec des axes de tailles différentes si vous le souhaitez (5×4, par exemple) ;
• des libellés et des couleurs que vous renommez à votre vocabulaire ;
• une note de risque égale à l'impact multiplié par la probabilité, rangée dans des bandes de niveau.

Par défaut, la matrice est en 4×4 :

Toutes les analyses, qu'elles viennent de l'IA ou d'une saisie manuelle, sont cotées sur cette même matrice. C'est ce qui rend deux risques comparables, et une carte des risques lisible.

Risque brut et risque résiduel

Le risque brut (ou inhérent) est le risque tel qu'il existerait sans aucune mesure de sécurité. Le risque résiduel est ce qu'il reste une fois les mesures prises en compte. L'écart entre les deux dit ce que vos mesures rapportent, et c'est souvent la question que pose une direction.

Lors d'une analyse automatisée, AIRA propose les deux notes pour chaque scénario, avec leur justification :

• les mesures déjà déployées sur l'actif sont créditées en premier, puis les mesures recommandées ;
• le risque résiduel n'est jamais supérieur au risque brut ;
• sans aucune mesure en place, le risque résiduel est égal au risque brut : on ne réduit pas un risque avec des intentions.

Il ne s'agit pas d'une formule cachée qui produirait un chiffre indiscutable. C'est une proposition argumentée, que l'analyste lit, corrige s'il le faut, puis accepte. La justification reste attachée au risque, et elle figure dans la lettre de risque.

Traduire le risque en euros

Avec l'offre Pro et supérieures, la matrice peut passer en mode quantitatif. Chaque niveau d'impact reçoit une plage en euros (par défaut : moins de 100 k€, de 100 à 500 k€, de 500 k€ à 1 M€, plus de 1 M€), et chaque niveau de probabilité une fréquence annuelle. La carte des risques affiche alors, pour chaque case, une perte annuelle attendue.

Pour un scénario donné, AIRA calcule une estimation inspirée de la méthode FAIR, simplifiée, dès que le coût de l'actif est renseigné :

• la perte unitaire (SLE) : le coût de l'actif multiplié par un facteur qui dépend du niveau d'impact ;
• la fréquence annuelle (ARO) : déduite du niveau de probabilité ;
• la perte annuelle attendue (ALE) : le produit des deux.

Les plages sont celles que vous fixez, et l'analyste peut ajuster la perte unitaire et la fréquence. Les montants ne viennent jamais du modèle d'IA, à qui il est interdit d'en inventer.

L'impact par dimension

Avec l'offre Enterprise, l'impact d'un scénario se décompose en trois dimensions : financière, réglementaire et réputationnelle. L'impact retenu est soit la plus forte des trois, soit leur moyenne pondérée, selon votre réglage. Une dimension pour laquelle aucune donnée n'existe est déclarée « non cotée » plutôt que devinée : sans coût renseigné, pas de note financière.

Des risques opérationnels aux risques majeurs

Une direction ne lit pas deux cents risques d'actifs. Avec l'offre Pro et supérieures, vous regroupez les risques opérationnels sous des risques majeurs, au niveau de lecture d'un comité de direction. Leur cotation est la moyenne des risques qui leur sont rattachés, et chacun porte une appétence au risque (faible, modérée ou élevée). Un risque majeur suit donc la réalité du terrain au lieu d'être noté à part.