Quel est votre véritable RISQUE ?

La menace est également un facteur à prendre en compte lors du calcul du risque. Quelles sont les principales menaces auxquelles vous êtes confronté ? Celles-ci vont des catastrophes naturelles à l’espionnage industriel, en passant par les espions et les employés mécontents… En gros, si vous exercez une activité quelconque consistant à fournir quelque chose que quelqu’un désire, il y a de fortes chances que quelqu’un d’autre veuille savoir ce que vous savez, ou s’approprier ce que vous possédez. Les menaces sont les éléments susceptibles de causer du tort à votre organisation.

Les vulnérabilités constituent le point d’entrée dans l’organisation ou permettent l’accès à des informations de valeur. En matière de sécurité informatique, les vulnérabilités peuvent prendre la forme d’une exposition sur Internet, d’un accès trop facile au réseau de l’entreprise, ou encore de machines et de serveurs clients compromis. Mais les vulnérabilités incluent également le fait de ne pas contrôler toutes les personnes entrant dans le bâtiment, des entrées latérales non verrouillées ou non surveillées, la perte ou l’égarement d’informations, voire une soirée en ville avec les dirigeants. Ne sous-estimez jamais l’erreur humaine et l’ego. Les personnes ivres aiment parler et ne sont souvent pas conscientes de ce qui les entoure. On ne sait jamais quand quelqu’un pourrait écouter vos conversations ou fouiller dans les poches du manteau que vous avez déposé au vestiaire.

Exemple fictif :

L’entreprise X est une immense multinationale. Elle possède des bureaux et des sites de production répartis aux quatre coins du monde. Elle s’est développée très rapidement et n’a pas mis à jour ses mesures de sécurité (vilain, vilain…). Elle détient bien sûr des informations qui pourraient intéresser des tiers, mais elle constitue également une cible, comme n’importe quelle autre entreprise, simplement parce qu’elle existe. Que se passerait-il si une petite partie de ses activités venait à être paralysée ? Imaginons une région où elle fabrique le produit Z. Combien de personnes seraient touchées ? Quels en seraient les coûts ? Peut-on chiffrer le coût de cette attaque ? Oui, c’est possible.

Cette attaque hypothétique a paralysé la région à l’aide d’un bon vieux rançongiciel qui s’est introduit via une campagne de phishing ciblée et a profité de systèmes obsolètes auxquels il manquait les correctifs de sécurité indispensables.

Le premier coût à prendre en compte est la perte de production de ce qu’ils fabriquent, quelle que soit la nature de ce produit. Imaginons que leur production quotidienne s’élève à 1 000 000 € et qu’ils aient été à l’arrêt pendant deux semaines ! Cela représente entre 10 et 14 000 000 € de pertes (selon qu’ils ont ou non droit aux week-ends). Et comme ils ont pris du retard, ils devront peut-être augmenter leur production à la reprise pour rattraper ce retard. Mais ce n’est de loin pas le seul coût. Il y aura sans aucun doute des personnes qui travailleront 24 heures sur 24 pour contrer l’attaque, tenter de la résoudre et comprendre ce qui s’est passé. Imaginons simplement qu’une centaine de personnes aient travaillé d’arrache-pied pendant un mois pour maîtriser et résoudre le problème afin que la production puisse redémarrer. 100 personnes dont le coût moyen pour l’entreprise s’élève (estimation) à 50 € de l’heure, à raison de 10 heures par jour. Cela représente un coût supplémentaire de 1 500 000 € ! Et ce, rien que pour le personnel chargé de maîtriser cet incident. D’autres coûts pourraient inclure le remplacement des équipements qui auraient pu être endommagés.