Introduction à La Gestion de Risque Informationel

INTRODUCTION LA GESTION DE RISQUE INFORMATIONNEL

P A R M A R C - A N D R L G E R

C R H O M ACentre de recherche Hochelaga-Maisonneuve

C e n t r e d e r e c h e r c h e H o c h e l a g a - M a i s o n n e u v e1 6 9 1 , P i e - I X , M o n t r a l , Q c , H 1 V 2 C 3 T l p h o n e : 5 1 4 - 8 2 4 - 6 3 0 2 h t t p : / / w w w. l e g e r. c a

Introduction la gestion de risque informationnel

par marc-Andr Lger1691, boul Pie-IX, Montral, Qubec, Canada, H1V 2C3

http://[email protected]

Livre lectronique : isbn 978-2-9813728-1-9

Version imprime: isbn 978-2-9813728-2-6

publi le 1er mars 2013

Dpt lgal - Bibliothque et Archives nationales du Qubec, 2013

Dpt lgal - Bibliothque et Archives Canada, 2013

2

Table des matiresChapitre 1: La scurit! 9

Informatique ou informationnel ?! 12Mise en oeuvre sur le terrain! 16Le risque! 24La gestion de risque! 28Exercice raliser en classe! 37Questions de rvision! 39Bibliographie de ce chapitre! 46

Chapitre 2: La gestion de risque informationnel! 47La perception! 52Le changement! 56Questions de rvision! 62Bibliographie! 68

Chapitre 3: Lala! 69Les menaces pouvant causer des dommages matriels! 71Les menaces pouvant causer des dommages immatriels! 73Hackers! 80Alas dans les projets TI! 82Alas en impartition! 85Alas en infonuagique! 87Sources dalas potentiels en infonuagique! 88Exercice faire en classe! 90Bibliographie! 99

Chapitre 4: Les vulnrabilits! 101Questions de rvision! 110

Chapitre 5: Limpact! 115Externalisation! 122Assurance! 123Exercices raliser en classe! 124Questions de rvision! 127Bibliographie! 131

3

Chapitre 6: La norme ISO 27005 ! 133Les domaines de la norme! 136Les critres de base dISO 27005! 138Les critres dacceptation des risques dISO 27005! 140Lorganisation de gestion de risque informationnel! 142Lvaluation des risques:! 144Lidentification des actifs informationnels! 146Lidentification des contrles existants! 149Lidentification des consquences! 152Les mthodes de mesure du risque selon ISO 27005! 154Lestimation qualitative du risque! 154Lestimation quantitative du risque! 155Lvaluation des consquences! 156Lvaluation de la probabilit de ralisation des incidents! 158Estimation du niveau de risque! 160Lvaluation du risque! 160

Chapitre 7: Les mthodologies danalyse de risque! 163Comprendre ce quest une mthodologie.! 164La validit interne et externe! 166La mesure des variables! 167Les chelles de mesure! 169L'chantillonnage! 171OCTAVE! 172MHARI! 176Les lments de MHARI! 177EBIOS! 180Ltablissement du contexte! 181Lapprciation des risques! 181Le traitement des risques! 183La validation du traitement des risques! 183La communication et la concertation relatives aux risques! 183La surveillance et la revue des risques! 185Une dmarche itrative en cinq modules! 185

4

Module 1 tude du contexte! 185Module 2 tude des vnements redouts! 186Module 4 tude des risques! 186Module 5 tude des mesures de scurit! 187Questions de rvision! 188

Chapitre 8: Le processus IPM! 195Avant de dbuter lanalyse! 196Phase 1: identification et valuation des scnarios de risque! 198Cration des portfolios de risque! 214Proposition et approbation du plan directeur! 217Mise en oeuvre du plan directeur! 217Slection dun portfolio! 217Proposition et approbation du plan directeur de gestion du risque informationnel!218Mise en oeuvre du plan directeur! 218Exercice en classe! 219Questions de rvision! 223

Bibliographie! 229

5

Ce livre porte sur la gestion du risque informationnel, cest--dire sur la gestion des risques associs la gestion des informations dans les organisations. Nul ne douteront que les organisations modernes ncessitent de grande quantits dinformations pour crer et maintenir un avantage comptitif. Aujourdhui, cette gestion de linformation ncessite lutilisation par les organisations dune multitude de technologies de linformation et de la communication, les TIC. Lutilisation de technologies complexes et htrognes, comme les TIC, crent des risques que les organisations doivent matriser. De plus, laccs linformation et la connaissance quelle transporte, par des utilisateurs autoriss, au moment opportun et dans divers lieux, est critique au fonctionnement efficace des organisations en ces temps de globalisation. Cest ce qui rend un livre comme celui-ci essentiel tous les gestionnaires, les responsables des TIC, les quipes techniques et lensemble de ceux qui voluent dans lcosystme informationnel de lorganisation.

Du matriel multimdia et des vidos accompagne ce livre via le lien internet suivant: http://crhoma.org/blogue/materiel/

Introduction

I n t r o d u c t i o n l a g e s t i o n d e r i s q u e i n f o r m a t i o n n e lp a r M a r c - A n d r L g e r

Chapitre 1: La scurit

Lorganisation qui souhaite grer ses risques informationnels le fait souvent dans une optique de scurit, quil sagisse de scurit informatique ou scurit de linformation. Il est donc utile de dbuter par une dfinition de ce quest la scurit.

Cette dfinition gnrale est applicable dans plusieurs contexte. Par exemple, un individu se sentira en scurit sil peroit quil nest pas en prsence de risques quil considre inacceptables ou quun danger est imminent. Sil souhaite traverser la rue, unrisqueinacceptable pour un individu serait une automobile qui arrive dans sa direction. Dans ce cas il ne traversera pas la rue, il attendra que la lautomobile ai pass et que la situation soit devenue scuritaire. Ainsi la notion de scurit est indissociable de celle durisque.

Dune certaine faon la scurit est le contraire durisque, il y a de la scurit quand il ny a pas derisqueinacceptable. De mme, plus lerisqueest acceptable et plus la scurit est lev.Il y a plusieurs lments importants cette dfinition:

La scurit est un concept gradu; La scurit comporte une dimension subjective; et


9

La scurit dsigne un tat de fait, labsence derisqueinacceptables.

Lacceptabilit du risque varie selon le contexte.

La scurit est un concept gradu

Cest--dire que lon peut tre plus ou moins en scurit, dpendant de lintensit durisqueauquel nous faisons face, et ltendue des intrts viss.Il nexiste aucun seuil mtaphysique au-del duquel nous entrons dans un tat de scurit, et en de duquel on peut dire que la scurit manque.

La scurit comporte une dimension subjective

La scurit est un sentiment qui, au mme titre que la confiance, varie en fonction des individus, des communauts et du contexte.Le sentiment de scurit, cest--dire, le sentiment que nos intrts les plus fondamentaux ne sont pas menacs par des agents disposs poser des gestes susceptibles de nous tre prjudiciables, fait que nous navons pas faire des investissements de ressources matrielles ou psychologiques dmesures pour protger ces intrts, que nous pouvons au contraire investir ces ressources dans des activits productives. Ce sentiment est intimement li la prvisibilit. Le sentiment de scurit nexige pas que nous soyons labri de tout risqueinacceptable, mais plutt que ceux auxquels nous faisons face se situent lintrieur dun cadre de rgles et de pratiques auxquels nous consentons. Le sentiment de scurit peut tre influenc par des biais varis. Ces biais, sils sont avrs, causeront un dcalage entre la situation relle et la situation perue de scurit ou dinscurit.

Chapitre 1

10

Lacceptabilit du risque varie selon le contexte

Ce qui est acceptable ou inacceptable pour un individu, un moment donn, dans un contexte donn peut varier.

Cette tolrance lacceptabilit peut varier dans le temps et selon le contexte. Par exemple, il est possible de tolrer un risque si les bnfices envisags par une activit, mme court terme, sont perus comme tant suffisamment levs pour justifier les possibles rsultats non dsirables.


11

Un fumeur qui, par habitude ou par addiction, considre le tabagisme comme un risque acceptable.

Un individu de 24 ans qui sadonne dans ses loisirs un sport extrme, par exemple la parachutisme depuis un immeuble ou un pont (base jumping),

dont il retire un plaisir apport par une surdose dadrnaline, considre lexercice de ce sport comme un risque acceptable. 50 ans, il est

moins certain quil pratiquerait ce sport.

Informatique ou informationnel ?

Linformatique, dans ce livre, rfre aux technologies utilises: les ordinateurs, priphriques et autres lments techniques qui sont utiliss en TIC. Linformatique est le support physique linformation sous une forme numrique.

Linformationnel est en relation aux informations, cest--dire aux donnes structures, qui sont emmagasines, manipuls et transmises

en utilisant des outils informatiques.

En considrant que ce qui contribue le plus la cration dun avantage comptitif dune organisation cest linformation et non linformatique, laccent de ce livre est sur linformationnel. Nous parlerons donc de scurit de linformation et de risque informationnel. Quand nous parlerons de mesures particulires qui ont pour but de permettre de rduire, contrler ou mitiger les risques, alors nous entrerons dans la scurit informatique, cest--dire associ des TIC.

La scurit de linformation est une sous-catgorie de la scurit de faon gnrale telle que nous lavons prsent prcdemment. Elle est dfinie comme lensemble des actions et des procdures conues pour prvenir, avec un niveau de certitude dmontrable, la divulgation, le transfert, la modification ou la destruction non autorise, volontaire ou accidentelle des informations dtenues par une organisation. Lensemble des ces

Chapitre 1

12

informations forment le patrimoineinformationnel de lorganisation. Par patrimoineinformationnel, nous entendons les donnes, informations, ressources informationnelles, actifs informationnels et lensemble des TIC qui sont utiliss durant le cycle de vie de linformation.

Les principaux objectifs de la scurit de linformation sont:

la confidentialit des donnes, lintgrit des donnes, la disponibilit des donnes,

Ces objectifs varient selon les situations, les contextes et le temps. Les objectifs de scurit proviennent de diffrentes sources:

besoins d'affaires, analyse de risque, politiques de scurit, recueilsde pratiques exemplaires, obligations lgales ou contractuelles, lois et rglements, accords internationaux, codes d'thique, de dontologie ou de gouvernance, normes locales, sectorielles, nationales ou internationales.

Ce sont ces sources des objectifs de scurit de linformation qui doivent tre identifies afin dfinir les objectifs et les besoins de scurit de linformation (confidentialit, intgrit, disponibilit, etc.) qui seront utiliss engestionde risque informationnel.


13

Par exemple, dans le contexte dun organisation dans le domaine de la sant au Qubec (Canada), nous identifions des objectifs de gestion de risque informationnels qui peuvent tre catgoriss selon les multiples lments suivants:

Confidentialit des donnes cliniques obtenues dun patient par un professionnel de la sant;

Intgrit des donnes cliniques afin de sassurer quelles ne sont pas altrs; Disponibilit des donnes au moment opportun pour le bien-tre des patients; Non-rpudiation de laccs et de lutilisation des donnes par les professionnels de

la sant; Respect de lintgrit des individus et de leur dossier clinique, par exemple en

exigeant un consentement libre et clair lors de la saisie des donnes et de leur utilisation;

Transparence dans lutilisation des donnes cliniques, par exemple en interdisant le transfert des donnes dun patient un tiers qui les utiliserait des fins de publicit ou de vente de mdicaments;

Mise en oeuvre du principe de prudence.

En plus daider lorganisation atteindre ses objectifs, la scurit de linformation est ncessaire parce que la technologie applique linformation cre des risques. Des composants logicielles peuvent comporter des failles ou des bogues. Les composantes matrielles peuvent tre dfectueuses, souffrir de bris ou suser.

Globalement, linformation pourrait tre indment communiqu (sa confidentialit pourrait tre compromise), modifi de manire inapproprie (son intgrit peut tre compromise), dtruite ou perdue (sa disponibilit pourrait tre compromise). Cette

Chapitre 1

14

compromission des donnes pourra causer une rduction de lavantage comptitif que lorganisation esprait obtenir des TIC, tel que des pertes conomiques au propritaire de linformation, quelles soient avres ou non. La perte pourrait tre directe (par la rduction de la valeur de lactif dinformation lui-mme) ou indirecte (par le biais dinterruption de service, des dommages la rputation, la perte dun avantage concurrentiel, la responsabilit juridique, etc.).


15

Mise en oeuvre sur le terrain

Nous proposons la mise en oeuvre de la scurit de linformation sur le terrain en utilisant le modle des trois P (Prvention, protection, punition) de mise en oeuvre de la scurit de linformation. Ce modle est structur selon 3 axes:

la prvention: des mesures de prvention seront mise en oeuvre dans lorganisation. Par exemple, une politique de scurit, un processus formel danalyse de risque, des audits TI annuels et un programme de sensibilisation des employs et de formation des ressources informatiques.

la protection: la mise en oeuvre dactions de mitigation de risque ou lallocation des rles et des responsabilits en matire de gestion de risque des individus dans lorganisation et la mise en oeuvre de processus de gestion des incidents, de recouvrement en cas de sinistres et de continuit des affaires.

la punition: il sera ncessaire de prvoir des actions punitives en cas de non respect ou de contournement volontaires des deux premiers axes.

Chapitre 1

16

3PPrventionProtectionPunition

La politique de scurit

Sur le terrain, la mise en oeuvre de la scurit de linformation dbute par llaboration dune politique de scurit qui sintgre dans le premier P: la prvention. Cette politique dcrit ce qui est autoris et ce qui est interdit.La politique de scurit de linformation devraitmettre en vidence la valeur de linformation et la mesure dans laquelle on en a besoin, ainsi que limportance de la scurit de linformation pour lorganisation. Elle devrait identifier les exigences minimales au plan de la conformit et des rglements en matire de scurit.

La politique de scurit inclut des lments tels que: la politique degestiondes risques, la catgorisation et ltiquetage dinformation, la scurit du personnel et matrielle, les exigences juridiques et contractuelles, llaboration et le fonctionnement des systmes, la planification de la poursuite des activits, la production de rapports sur les incidents et les exigences dintervention, lapplication de mesures en cas de violation et la sensibilisation la scurit et la formation.

La politique peut tenir compte de tout systme dinformation critique ou des exigences pertinentes. Elle doit cependant identifier les besoins en matire de scurit de linformation dveloppe en fonction des sept objectifs mentionns prcdemment. Il est ncessaire que soient assign les rles et les responsabilits en matire de scurit de linformation et la distribution des responsabilits dans la structure organisationnelle. Dans les organisations qui effectuent des projets de dveloppement, il faut inclure la scurit de linformation dans le dveloppement de systmes dinformation et dans les


17

processus de mise en place ou dachats de systmes dinformation. De plus la politique devrait au minimum:

dfinir les rgles et les procdures en matire de scurit de linformation; dfinir les procdures pour lidentification de la nature sensible et la classification

de linformation; identifier la stratgie degestiondurisque; dfinir les besoins en matire de continuit des affaires; dfinir des normes degestiondes ressources humaines; prvoir des plans de sensibilisation des employs et de formation continue en

matire de scurit de linformation; encadrer les obligations lgales; identifier les rgles de lagestionde limpartition et des tiers; et dfinir la stratgie degestiondes incidents.

Chapitre 1

18

Mise en oeuvre de la politique

Une fois quune politique de scurit de linformation a t dfinie, la tche suivante consiste appliquer la politique. Pour ce faire, lorganisation dploie un mlange de processus daffaireset de mcanismes techniques. Ce sont ces mcanismes de scurit de linformation qui forment la scurit informatique.

Ces processus et mcanismes entrent dans six catgories:

Les mesures de prvention, tels que la sensibilisations de ses employs et la formation de son personnel technique.

Les mesures de protection, ce qui consiste mettre en place des processus daffaires et des mcanismes techniques qui visent prvenir que des alas se produisent, rduire la probabilit quils se produisent ou minimiser leur impact.

Les mesures de dtection qui servent alerter lorganisation quand des alas surviennent afin quelle puisse prendre des actions afin deminimiser leur impact sur lorganisation.

Les processus et mesures de rponse face aux consquences dalas afin doptimiser le retour tat dquilibre. Des processus de rponses peuvent aussi inclurent des mesures punitives selon le troisime P: punition (rprimandes ou renvoi demploys), criminelles (rfr du dossier des forces policires) ou lgales (poursuites).

Les mesures dassurance afin de valider lefficacit et le bon fonctionnement de la protection, de dtection et les mesures dintervention.

Laudit pour dterminer lefficacit des processus et des mesures.


19

Cration dun comit de scurit

Il est recommand de crer un comit de scurit de linformation pour assister lorganisation dans llaboration de sa politique de scurit et pour lensemble des activits degestiondurisqueinformationnel.Le comit devrait comprendre de quatre (4) sept (7) membres et devrait comprendre:

un membre identifi comme chef de projet; le principal responsable de la scurit sil y en a un; des reprsentants du groupe ayant la responsabilit oprationnelle et budgtaire

des TIC; des reprsentants des responsables de lexcution de la mission de lorganisation; un reprsentant des ressources humaines; et un conseiller juridique.

Des accommodements sont ncessaire selon la taille de lorganisation.

Dans un premier temps le chef de projet devrait tre identifi. Celui-ci pourra prendre en charge le suivi des diffrentes tapes de la mthodologie, dont la cration du comit de scurit de linformation. Il pourra documenter les rgles de fonctionnement du comit et sassurer de conserver des minutes des rencontres. Les membres du comit pourront varier selon les besoins de lorganisation et les priorits des gestionnaires de lorganisation. La structure et le modus operandi du comit de scurit de linformation devraient tenir compte de cette possibilit.

Chapitre 1

20

Les objectifs de scurit

Lorganisation devra dfinir ses objectifs de scurit, les exprimer en terme de besoins spcifiques (confidentialit,intgrit ,disponibilit, etc.) et faire un inventaire des lments de son patrimoineinformationnel. Entre autre, cela lui permettra didentifier les lments risquequi sont plus prioritaires auxquels les efforts degestionderisquedevront sattaquer en premier. Il est propos de rencontrer les ayants cause de la scurit, cest--dire les membres de lorganisation qui ont un rle jouer da la scurit de linformation, les propritaire des actifs informationnels et les gestionnaires de lorganisation pour valider avec eux les besoins de scurit.


21

Obligations lgales et contractuelles Objectifs daffaires

Normes et pratiques exemplaires

Objectifs de scurit

Politique de scurit

Amlioration continue

videmment, le travail nest jamais termin.La scurit de linformation doit appliquer les principes damlioration continue.La dfinition de la politique, la protection, et les tches de vrification sont effectues maintes et maintes fois, et les leons apprises chaque fois travers le cycle sont appliques lors du prochain cycle.

Chapitre 1

22

Principe de prudence

La scurit de linformation doit appliquer le principe de prudence. En cas de doutes sur limportance relative dun actif informationnel, sur limportance des dommages, sur la probabilit de ralisation dun ala ou en cas dincertitude quant aux rsultats, les individus impliqus en gestion de risque informationnel devraient choisir la dcision sage, vertueuse et prudente afin de minimiser les risques. Ils devraient diligemment chercher obtenir suffisamment dinformations pour prendre une dcision claire. Ceci ne signifie pas quil est prfrable de ne pas prendre de dcision, ce qui peut tre pire. Mais dans le doute, le gestionnaire devrait agir en bon pre de famille.


23

Le risque

Nous avons mentionn que la scurit est dfinie par labsence derisqueinacceptables. De plus, la mise en oeuvre de la scurit de linformation, qui dbute par la politique de scurit de linformation et lidentification des objectifs de scurit, doit sappuyer sur lidentification du risque et la dtermination de ce qui est acceptable et, plus prcisment, non-acceptable dans un contexte organisationnel particulier. Il est important de comprendre ce que signifie lerisqueen gnral et lerisque informationnelplus prcisment.

Il ny a pas une seule dfinition durisque. Une recherche sur Google avec les motsrisqueou risk propose plus de 800 000 000 rsultats. Il ressort dune analyse de la littrature scientifique sur le risque que beaucoup de ce qui a t crit sur cesujetest bas sur des donnes anecdotiques et sur des tudes limites un aspect ou un domaine particulier. Dans cette section, nous prsentons les principales dfinitions du risque qui sont utile pour la comprhension des concepts prsents. Notre objectif est de prsenter au lecteur les lments dune dfinition contextuelle durisqueappliqu la scurit de linformation qui permettra didentifier les variables qui pourrons tre utiliss pour la gestiondurisqueinformationnel.

Lerisqueest un construit social, il dpend de celui qui le peroit, de la nature durisqueet du domaine dans lequel on sintresse aurisque.Selon les diffrentes sources que lon retrouve, le motrisquetire ses origines de plusieurs sources, entre autres:

Chapitre 1

24

du terme italien (Moyen ge)riscosignifiant rocher escarp, ou cueil, utilis par les premires compagnies dassurance pour dsigner le pril couru en mer,

du latinresecumsignifiant coupant et du mot araberizq.

Lerisquerfre des situations par lesquelles un individu assigne des probabilits mathmatiques aux vnements alatoires auxquels il fait face.

Je lance un d normal, dot de 6 faces. Si je souhaite obtenir le 3, je peux pense quil y a une chance sur six que cela se produise. Je peux donc

estimer le risque que cela ne se produise pas 5/6.

Le risque est prsent mme si cette assignation est subjective et utilise des chelles nominative (par exemple bas, moyen ou lev). Lerisqueest aussi dfini comme une variation possible des rsultats sur une priode dtermin dans une situation donne. On retrouve dans le risque une notion implicite de discontinuit, de dsastres, de surprise, dinconnu ou mme dignorance.

Lerisqueest souvent dfini comme une combinaison de la probabilit doccurrence dun dommage et de sa gravit. Cette dfinition est valable seulement dans les cas ou nous disposons de donnes probantes suffisantes, par exemple si nous disposons de donnes historiques suffisantes, qui permettent de dmontrer que les probabilits d'occurrence dalas comparables sont distribu galement dans le temps. Dans cette situation, il sagira


25

derisqueobjectif, lorsque la variation existe dans la nature et est la mme pour tous les individus dans une situation identique. Le risque objectif se diffrencie durisquesubjectif, cest--dire lorsquil y a estimation durisqueobjectif par un individu.

Chapitre 1

26

Ce qui nest pas du risque

Quand on ne peut exprimer lalatoire par des probabilits, mmes subjectives, on doit plutt parler dincertitude. Il est important de distinguer ces deux termes,risqueet incertitude. Car, bien quon puisse esprer grer le risque, il est impossible de grer lincertitude.

Lincertitude nest pas du risque: on ne peut lexprimer par des probabilits.

Le motrisqueest gnralement utilis lorsquil existe au moins la possibilit de consquences ngatives dun ala, tel quune rduction de lavantage comptitif attendu (consquence ngative) dun processus daffaire ou dun systme dinformation aprs une intrusion par un cybercriminel ou hacker (lala). Sil ne sagit que de consquences probables positives, on parlera plutt de possibilits. Lagestionde possibilits ne fera pas appel des mesures de mitigation de risque, onaccueillera favorablement le bnficeinattenduou inespr.Ainsi, la gestion des possibilits positives nest pas de la gestion de risque.

De mme, si un rsultat est invitable on utilisera le terme certitude: la mort ventuelle de tout organisme vivant est une certitude. On pourra la retarder, mais pas lviter. Nul ne peut grer la certitude, on peux sy prparer et, dans les meilleurs cas, retarder linvitable.


27

La gestion de risque

Lide moderne que lerisquepeut tre gr peut tre compris comme une consquence long terme dun dsastre naturel qui sest produit Lisbonne, au Portugal, en 1755, combin la dcouverte des probabilits par Blaise Pascal et dautres avances en mathmatiques dabord et en sciences de lagestionensuite. Le dsastre de Lisbonne marque un point tournant dans le monde occidental moderne de la vision de lala comme un acte divin, tel quillustr par un pome de Voltaire, vers une approche rationnelle qui peut tre soumise un traitement scientifique. Cest la rponse de Rousseau Voltaire qui sme le germe degestiondurisque:

Serait-ce dire que lordre du monde doit changer selon nos caprices, que la nature doit tre soumise nos lois, et que pour lui interdire un tremblement de terre en quelque lieu, nous navons qu y btir une ville?

Lagestionest la mise en uvre de moyens humains et matriels dune organisation pour atteindre des objectifs pralablement fixs. La croissance des bureaucraties professionnelles dans nos socits a transform les organisations en une puissante machine degestiondont les oprations visent lefficacit et la prvisibilit dans latteinte de ses objectifs.

Dans une organisation du secteur priv, lefficacit est mesur avec des variables de nature pcuniaire ou mesurs en part de march. Dans le cas dun organisation du secteur public, lefficacit peut tremesur par une livraison efficiente de services la population. Par

Chapitre 1

28

exemple, dans uneorganisation publique du secteur de la sant, telle quelles existent au Qubec, lefficacit peut tre mesurepar une amlioration de la qualit de vie, la rduction de la morbidit ou de la mortalit dans une population cible de la zone dactivit de celle-ci.

La machine degestiondune organisation sexprime par des actes visant une transformation du monde rel par le travail, la mdiation ou linstrumentation. Lagestion durisqueest ncessaire parce les organisations doivent identifier ce qui est prvisible afin dassurer leur prennit et identifier les actions susceptibles de produire des rsultats qui rduisent son efficacit, qui vont lencontre de latteinte de ses objectifs ou qui produisent des rsultats ngatifs.

Lorganisation doit identifier les risques les plus significatifs pour elle. Ainsi, lagestionderisqueest lune des composantes dune gestionprudente et diligente. Cest--dire que, sachant quil existe la possibilit quils se produisent des alas susceptible de rduire lutilit espre ou de nuire latteinte efficace des objectifs, le gestionnaire, en tant quacteur individuel vertueux, doit tenir compte durisque. De plus, la saine gouvernance dune organisation, par exemple dans le cadre normatif de gouvernance tel que ISO 38500, la conformit des cadres de gestion, tel que COBIT ou ISO 27001,requiert la mise en oeuvre dun programme de gestionderisqueformalis.

Fondamentalement, lagestiondurisqueest accomplie par des activits didentification (I) et dvaluation des scnarios derisque(les combinaisons dlment risque, alas et de vulnrabilits susceptible de causer des dommages), de la priorisation (P) de ces scnarios


29

(en fonction de limportance des dommages ou de la rduction de lUtilit espre (#) au del delapptenceaurisquede lorganisation)et des actions de mobilisation (M) de ses ressources humaines et financires pour un traitement appropri durisque: le processus IPM qui sera trait plus en dtails plus loin.

Ces actions de mobilisation vont gnralement prendre les formes suivantes:

Ignorer lerisque: lorganisation peut dcider consciemment dignorer lerisque. viter lerisque: lorganisation pourra dcider de ne pas poursuivre une

opportunit car elle considre que lerisquene vaut pas la chandelle. Accepter lerisque: lorganisation dtermine que lerisqueassoci un scnario

donne est acceptable pour lorganisation compte tenu de ses contraintes, des ses objectifs daffaires ou de sa rsilience.

Chapitre 1

30

IPMIdentification

Priorisation

Mobilisation

Mitiger lerisquepar la mise en oeuvre de mcanismes de protection, de dtection ou de rponse: par exemple par la mise en place dun pare- feu, une organisation rduira la menace dintrusion de son rseau informatique via lInternet.

Transfrer lerisque: une organisation pourrait dcider de prendre une police dassurance qui couvre unrisqueprcis, une organisation pourrait aussi transfrer lerisque, contractuellement, un tiers ou lexternaliser via dautres mcanismes.

Les actions de mobilisation ($) seront diverses et nombreuses en fonction des diffrents risques auxquels fait face lorganisation. Lensemble des actions de mobilisation ($), pourune priode de temps (%t) dfini priori dans un espace (s) donn, formeront le portfolio de mesures (&) compos des actions de mobilisation individuelles ($n).La gestionderisqueest discut avec plus de dtails dans le chapitre suivant.

Enrisque informationnel, ladjectifinformationnelfait rfrence linformation. Notamment, le risque informationnel sintresse aux risques relatifs la slection, la mise en forme, le transfert et lutilisation de linformation dans un contexte organisationnel.Lerisque informationnelest lerisque, cest--direla possibilit de dommages, de consquences ngatives ou de rsultat (outcomes)indsirables,associ la slection, la mise en forme, le transfert et lutilisation de linformation.

Par exemple, la possibilit que delinformation transmise via un rseau de tlcommunications par des employs de lorganisation soit indment communiqu, modifi, dtruite ou perdue, causant des pertes directe ou indirecte lorganisation constitue un risque.


31

Ala ou menace

Vuln

rabi l

i t(s

Dommage ou impact

Risque(E,t,s)

Nous utilisons le triangle durisque, prsent ci-dessus,comme cadre de rfrence pour comprendre lerisque informationnel.

Chapitre 1

32

Ce que le triangle durisque illustre est que pour que lerisque existe, trois composantes doivent co-exister pour un lment risquedonn (E) ayant une valeur pour lorganisation, son utilit espre (x), dans un temps (t) et un espace (s) donn:

un ala (A), qui peut tre assimil une menace; une vulnrabilit (')que lala (A) pourra exploiter, un dommage((), aussi nomm impact, qui rsultera de lexploitation de la

vulnrabilit (')par lala (A).

Si lun de ces lments manque, il ne peut y avoir de risque. En sappuyant sur le triangle du risque, nous utilisons la dfinition suivante pour lerisque:

Le risque est la rduction de lutilit espre (#)dun lment risque(E) par un ala (A) dans un espace dfini (s) et une intervalle de temps prcis (%t), compte tenu de sa rsilience()).


33

Dfinitions importantes

lment risque(E): lment (actif, processus, systme, etc.) ou ensemble dlments ayant une Utilit espre (#) pendant une priode de temps (%t) dans un espace (s) donn. Llment risque(E) a une valeur intrinsque (par exemple sa valeur de remplacement) et une Utilit espre (par exemple, sa contribution aux bnfices de lorganisation).

Ala (A): vnement rel, envisag ou peru, ou squence dvnements rsultant de lexploitation dune vulnrabilit (') dun lment risque(E) pouvant causer un dommage (() pendant une priode de temps (%t) dans un espace (s) donn. Lala peut tre caus par une menace (m).

Vulnrabilit ('): fragilit (relative) dun lment risque(E) un ala (A)

Dommage : Impact rel, envisag ou peru.Rduction de lUtilit espre (#)dun lment risque(E) par un ala (A)

Rsilience ()): capacit dun lment risque(E) de passer au travers un ala (A) en minimisant le dommage ((), dutiliser ladversit comme catalyseur damlioration ou de tolrer une variabilit de lUtilit espre (#). Le niveau de maturit est li la rsilience.

Temps (%t): intervalle de temps, dfinie priori

Espace (s) : espace dlimit

Utilit espre (#(x)): un gain, une amlioration dune position ou un bnfice espr par un lment risque(E) x, aprsune priode de temps (%t) dfini priori dans un espace

Chapitre 1

34

(s) donn. LUtilit espre est fonction de la valeur pour lorganisation V(x) de llment risquex.

La formule ci-haut prsente le risque thorique (R) comme une fonction dun lment risque (E), ayant une utilit espre pour une organisation (#), dun ala et dune vulnrabilit dans un contexte limit sans le temps et lespace, et une fonction inverse de la rsilience.


35

Chapitre 1

36

Exercice raliser en classe

En quipe de deux (2) ou trois (3) tudiants,identifier un lments risquedu patrimoine informationnelde lorganisation dun des tudiants etdeux alas rels (des vnements qui sont survenus dans le pass) qui ont compromis llment risquechoisi.Pour chaque ala choisi rpondre aux questions.

Elment risque: ___________________________________________

Ala 1: ____________________________________________________

Quelle est la vulnrabilit qui fut exploit ?

Quels furent les dommages ?

Quand et o sest-il produit ?


37

Ala 2: ____________________________________________________

Quelle est la vulnrabilit qui fut exploit ?

Quels furent les dommages ?

Quand et o sest-il produit ?

Par la suite, une discussion a lieu avec lensemble des tudiants et le professeur sur le triangle durisqueet sur la ncessit dtre en prsence des trois composantes du triangle prsentesdans un temps et un espace dlimitpour quunrisquepotentiel existe

Chapitre 1

38

Questions de rvision

1) Indiquez si lnonc suivant est vrai (V) ou faux (F):

_____ :La scurit dsigne labsence derisqueinacceptables._____ :La scurit est le contraire durisque._____ :La scurit est un concept gradu_____ :La scurit est un conceptabsolu._____ :Il existe un seuil mtaphysique au-del duquel nous entrons dans un tat de scurit._____ :Il nexiste pas de seuil en de duquel on peut dire que la scurit manque._____ :La scurit comporte ensuite une dimension proprement subjective._____ :La scurit ne varie pas en fonction des individus et des communauts._____ :Le sentiment de scurit est intimement li la prvisibilit._____ :Le sentiment de scurit nexige pas que nous soyons labri de tout risqueinacceptable.


39

2) Apparier le bon terme avec la description qui lui convient le mieux:

A. certitudeB. incertitudeC. possibilitsD. risque_____ : Lesconsquences probables sont ngatives_____ : lesconsquences probables sont impossible dterminer_____ : Lesconsquences probables sont positives_____ : Lersultat est invitable_____ : Il y arduction de lUtilit espre

Chapitre 1

40

3)Indiquez si lnonc suivant est vrai (V) ou faux (F):

_____ :Il y a une seule dfinition durisque._____ : Les dfinition durisquesont bas sur des donnes anecdotiques_____ : La dfinition durisquepermet didentifier les variables utiliser._____ :Lerisquenest pas un construit social._____ :Lerisquedpend de celui qui le peroit,_____ :Lerisquedpendde la nature durisqueet du domaine._____ :Le motrisquetire ses origines du termerisco_____ :Le motrisquetire ses origines du latinresecum_____ :Le motrisquetire ses origines du mot araberizq._____ :Lerisqueest une combinaison de la probabilit doccurrence dun dommage et de sa gravit._____ :Lerisquerfre des situations par lesquelles le dcideur assigne des probabilits mathmatiques aux vnements alatoires._____ :Lerisqueest une variation dans les rsultats qui peuvent survenir sur une priode dtermin dans une situation donne._____ :Dans lerisque, il ny a pas de notion de discontinuit._____ :Lerisqueest subjectif lorsque la variation existe dans la nature et est la mme pour tous les individus dans une situation identique._____ :Lerisqueobjectif lorsquil y a estimation durisqueobjectif par un individu.


41

4)Apparier le bon terme avec la description qui lui convient le mieux:

A. AlaB. DommageC. lment risqueD. RsilienceE. Utilit espreF. Vulnrabilit

1._____ :Bnfice espr par un lment risqueaprsune priode de temps dfini priori dans un espace donn.

2._____ : Capacit dun lment risquede passer au travers un ala en minimisant le dommage.

3._____ :Capacit dun lment risquedutiliser ladversit comme catalyseur damlioration.

4._____ :Capacit dun lment risquede tolrer une variabilit de lUtilit espre.

5._____ :lment (actif, processus, systme, etc.) ou ensemble dlments ayant une Utilit espre (#) pendant une priode de temps (%t) dans un espace (s) donn. Llment risque(E) a une valeur intrinsque (par exemple sa valeur de remplacement) et une Utilit espre (par exemple, sa contribution aux bnfices de lorganisation).

Chapitre 1

42

6._____ :vnement rel, envisag ou peru rsultant de lexploitation dune vulnrabilit dun lment risquepouvant causer un dommage.

7._____ : Fragilit dun lment risque un ala.

8._____ :Impact rel, envisag ou peru.

9._____ : Rduction de lUtilit espre dun lment risquepar un ala.

10._____ :Squence dvnements rsultant de lexploitation dune vulnrabilit dun lment risquepouvant causer un dommage.

11._____ :Un gain, une amlioration dune positionaprsune priode de temps dfini priori dans un espace donn.


43


! A. Accepter

! B. viter

! C. Ignorer

! D. Mitiger

! E. Transfrer

1.! _____ :Lorganisation mets en oeuvre de mcanismes de protection anti-virus.

2.! _____ :Lorganisation imparti ses TI.

3.! _____ :Lorganisation ne fait rien car elle ignore que lerisqueexiste.

4.! _____ :Lorganisation dcide de ne pas poursuivre une opportunit.

5.! _____ :Lorganisation mets en oeuvre de mcanismes de dtection des intrusions.

6.! _____ :Lorganisation dtermine que lerisqueest acceptable et ne prends aucunes mesures particulires.

7.! _____ :Lorganisation mets en oeuvre des mcanismes de rponse automatiques des attaques son rseau informatique via lInternet.

Chapitre 1

44

8.! _____ :Lorganisation mets en oeuvre de mcanismes de prise de copies de sauvegarde automatiques.

9.! _____ :Lorganisation prends une assurance qui couvre les risques informationnels

10.! _____ :Lorganisation passe une architecture infonuagique (cloud computing).


45

Bibliographie de ce chapitre

Blakley, B., McDermott, E., Geer, D. (2001),Session 5: less is more: Information security is information risk management, Proceedings of the 2001 workshop on New security paradigms, September 2001

Lagadec, P. (2003),Risques, Crises et Gouvernance: ruptures dhorizons, ruptures de paradigmes, Ralits Industrielles, Annales des Mines, numro spcial: Sciences et gnie des activits risques, Mai 2003, pages 5-11

Guide ISO 73,Management durisque Vocabulaire, International Standards Organisation, 25 p.

Stoneburner, G., Goguen, A., Feringa, A. (2002),Risk Management Guide for Information Technology Systems, Recommendations of the National Institute of Standards and Technology, Special Publication 800-30, NIST, July 2002, 55 p.

Chapitre 1

46

Chapitre 2: La gestion de risque informationnel

Fondamentalement, tout individu est un expert durisque. Notre expertise individuelle est base sur nos expriences quotidiennes et notre capacit apprendre de ces expriences. Lerisque est un phnomne naturel qui est prsent partout. Les individus y sont confronts tout au long de leur vie. Chez les humains, les rflexes naturels de la peur et de lanxit, sont un indicateur de la prsence dunrisqueinopin. Dans le cas de lHomme cest une question de survie qui a emmen le dveloppement dun sens naturel didentification du risque. Cette habilit intrinsque est inscrite dans son code gntique, dvelopp et affin de gnration en gnration par le principe de slection naturelle depuis que le genre humain apparut.

Dj lre prhistorique, les individus qui avaient le plus d'habilets identifier les risques ont survcus et, fort probablement, se sont

multiplis. Ceux avec le moins d'habilets sont morts, possiblement victimes dun prdateur et nont pas eu de progniture.


I n t r o d u c t i o n l a g e s t i o n d e r i s q u e i n f o r m a t i o n n e l

Pour une organisation, il ny a pas de mcanismes naturels pour identifier la prsence durisque, encore moins pour alerter lorganisation dun danger ou prendre des actions dfensives par rapport une situation risque, comme la peur engendre des ractions instinctives et des mcanismes de protection chez lhumain. Lorganisation doit faire le choix de crer et de mettre en oeuvre ces mcanismes.

Tel que mentionn au chapitre 1, lagestiondurisqueest accomplie par un processus IPM:

I: identification et dvaluation des scnarios derisque; P: priorisation des scnarios; M: mobilisation de ses ressources pour un traitement appropri durisque.

Nous devons dabord comprendre ce quest un scnario derisque. Nous avons mentionn, au chapitre prcdent que, pour que lerisqueexiste, trois composantes doivent co-exister pour un lment risquedonn (E), dans un temps (t) et un espace (s) donn:

la prsence relle, probable ou perue dun ala (A); lexistence dune vulnrabilit (') que lala pourra exploiter; et un dommage ((), qui rsultera de cette exploitation.

Nous dfinissons donc un scnario derisquecomme la description de lala (A) et des vnements ou squences dvnements, des actions, des dcisions et des facteurs connexes qui ont rendu possible lexploitation dune vulnrabilit (')dont le rsultat est undommage((), cest dire la rduction de lutilit espre (#), dun lment risque(E). Dit plus simplement, cest lhistoire de ce qui peut arriver ou qui est arriv, des causes,

Chapitre 2

48

dun incident envisag.Dans ce livre, nous utiliserons le symbole *n(A,',()pour identifier les scnarios derisque, ou n est un numro identifiant le scnario.

Dans la phase didentification et dvaluation des scnarios derisque(les combinaisons dlment risque, alas et de vulnrabilits susceptible de causer des dommages) lorganisation cherchera :

Identifier ou concevoir les scnarios envisager dans lanalyse derisque Prvoir les consquences, les dommages et les rduction de lUtilit espre,

possibles de chaque scnario envisag et valuer, objectivement et subjectivement, leur possibilit de se raliser.

Dans la phase de priorisation des scnarios lorganisation cherchera :

Identifier les variables susceptibles dinfluencer lUtilit espre et ajuster en fonction des contextes,

valuer les probabilits assigner aux contextes retenus

Finalement, dans la phase de mobilisation, lorganisation:

Appliquera une stratgie dcisionnelle.

La gestion de risque informationnel

49

Dans la phase de mobilisation les actions retenues aprs lapplication des stratgies dcisionnelles seront mises en oeuvre, gnralement sous la forme de projets, en tenant compte des aspects relis la gestion du changement dont nous avons discuts prcdemment.Lensemble des actions de mobilisation ($), pourune priode de temps (%t) dfini priori dans un espace (s) donn, formeront le portfolio de mesures (&) compos des actions de mobilisation individuelles ($n).

Ces actions de mobilisation vont gnralement prendre les formes suivantes:

viter le risque: lorganisation pourra dcider de ne pas poursuivre une opportunit car elle considre que le risque ne vaut pas la chandelle.

Accepter le risque: lorganisation dtermine que le risque associ une situation donne est acceptable pour lorganisation compte tenu de ses contraintes, des ses objectifs daffaires ou de sa rsilience.

Mitiger le risque : par la mise en oeuvre de mcanismes de protection, de dtection ou de rponse, par exemple par la mise en place dun pare-feu, une organisation rduira la menace dintrusion de son rseau informatique via lInternet.

Transfrer le risque: une organisation pourrait dcider de prendre une police dassurance qui couvre un risque prcis, une organisation pourrait aussi transfrer le risque, contractuellement, un tiers ou lexternaliser via dautres mcanismes.

Ignorer le risque: lorganisation peut dcider consciemment ou inconsciemment dignorer le risque.

Chapitre 2

50

Les principales stratgies dcisionnelles sur lerisquesont :

Nadmettre que les scnarios non domines: dans une dcision rgie par le principe dadmissibilit, ne sont admissibles que les scnarios qui ne sont pas domins par dautres. On dit quun scnario nest pas domin par un autre scnariosi lUtilit espre de ce dernier est suprieure dans un contexte au moins et infrieure dans aucuns.

Maximaliser lUtilit espre minimum: on considre lUtilit espre la moins avantageuse de chaque scnario et on slectionne le scnario qui prsente le minimum le moins bas. Cest un faon de mettre les choses au pire et de limiter lesdgts.

Maximaliser lUtilit espre moyenne: on considre lUtilit espre moyenne de chaque scnario et on choisit lutilit moyenne la plus leve.

Maximaliser lUtilit espre dans le contexte le plus probable: le dcideur fait lhypothse quil se trouve dans le contexte le plus probable et choisi le scnario qui offre lutilit la plus grande dans ce cas.

Maximaliser lUtilit espre: Cette stratgie consiste prendre pour chaque scnario lUtilit espre moyenne et choisir le scnario offrant la plus grande Utilit espre.

Minimiser le regret maximum: Pour chaque scnario on identifie le regret maximum et on choisi le scnario qui reprsente le regret maximum le plus bas. Cest la logique desi javais su, quaurais-je d faire.Un regret peut se manifester ex post dans la mesure o la dcision adopte ne savre pas forcment la meilleure dans le contexte o je me trouve finalement


51

La perception

Fondamentalement, il y a deux approches qui sont utilises pour obtenir des donnes qui peuvent tre utiliss engestionderisque: lapproche scientifique et lapproche non scientifique.

Lapproche scientifique permettra de quantifier lerisque, en sappuyant sur des principes scientifiques, des paradigmes analytiques et des donnes probantes qui peuvent provenir des donnes historique de lorganisation ou dorganisations similaires. Lapproche scientifique sopre dans un paradigme rationaliste et sintressera des aspects de scientificit des mesures, de rigueur mthodologique, de fidlit et de validit qui seront prsents de faon plus dtaille au chapitre 7.

Lapproche non scientifique se fondera sur lexprience et lintuition.

Lespartisansdes deux approches ont leur propre notion de lobjectivit au sujet du risque. Il y a des similitudes dans la faon dont ils arrivent leurs dcisions: les deux feront appel au dialogue et la comparaison avec leurs pairs, afin darriver un accord entre eux ou par consensus sur ce quest ce qui est la ralit objective. Cependant, il existedes diffrences entre lapproche rationnelle scientifique et lapproche non scientifique. Cette diffrence est trs apparente dans dans le traitement durisque, les actions de mobilisation et les dcisions.

Par exemple, les chances de gagner la loterie 6/49 au Qubec sont mathmatiquement trs faibles, de lordre de 1/13 983 816. La dcision rationnelle serait de ne pas acheter de

Chapitre 2

52

billet, minimisant la perte. Pourtant des millions de personnes chaque semaine achtent des billets dans lespoir de devenir millionnaire.

En plus du choix de lapproche (scientifique ou non scientifique), la prise de dcisions impliquant lerisquesubit linfluence de facteurs socio-culturels. Lorsquun individu estime la probabilit et la crdibilit quun ala se produise, il est biais par des hypothses sociales et culturelles. Selon le contexte social dans lequel les normes et les expriences de lindividu se construisent,son apptit et sa tolrance au risque varie. Ses notions derisqueacceptable diffrent grandement de celles des autres: ses expriences, son ducation, ses croyances et dautres facteurs culturels, au sens ethnologique du terme, crent des filtres travers lesquels il voit le monde. Des variations de sa perception sont introduites dues lappartenance diffrents groupes socio-culturels.

Mmes les professionnels de lagestiondes risquessont sujets aux influences de la socit et des groupes socio-culturels dont ils sont issus.Pour ces raisons, lerisque doit tre compris comme une construction culturelle.Cependant, ces facteurs socio-culturels ne sont quune part de lquation. La propension aux risques, qui est une volont des individus prendre ou viter les risques, a un impact surla construction durisquechez les individus et la prise de dcisions impliquant lerisque.

Si un individu particulier a une aversion aurisque, cest--dire sil naime pas sexposer aux risques, il sera plus probable quil soit plus pessimiste sur les rsultats. Il surestimera la rduction de lutilit espre (#), la perte possible,et vitera de sengager dans une action ou un projet ncessitant la prise derisque. Au contraire, lindividu qui a une


53

propension aurisque, cest--dire quil accueille la prise de risques,sexposera aurisqueavec une vision plus optimiste des rsultats attendus. Ilsous-estimerala rduction de lutilit espre (#), la perte.

Laversion ou la propension aurisque dun individu aura un influence sursur la prise de dcisions impliquant lerisque. Dautres facteurs peuvent aussi influencer lindividu impliqu dans des dcisions impliquant le risque. Nous avons mentionn prcdemment que lapproche non scientifique se fonde sur lexprience et lintuition. Il est important de comprendre quil existe deux faons dobtenir de linformation sur le monde qui nous entoure :

directement peru par les sens (par exemple on peut toucher, sentir, voir, entendre, etc.);

par intuition qui amne du contenu de linconscient au conscient (par exemple la mmoire de connaissances acquises).

La psychologie cognitive enseigne que cette information, bien quelle soit exacte du point de vue de lindividu comme acteur particulier, est sujette des biais, entre autres :

Les paralogismes (erreurs de raisonnement) formels et informels La dissonance cognitive Les heuristiques de jugement Les limites de la vigilance

Un autre facteur qui aura une influence est le langage utilis pour communiquer sur les risques. Le choix des mots a un effet sur la perception durisquedes individus, plus

Chapitre 2

54

prcisment surla manire dont les individus valuent de faon asymtrique leurs perspectives de perte et de gain. Comme lexplique le thorie des perspectives (Prospect Theory), le cadrage du problme, la faon dont il est prsent et la mise en situation sont tous des lments qui influent la construction durisque, la prise de dcision et les rsultats.Le point de rfrence adopt par les individus afin destimer les situations risqueaffecte la prise de risque.

Le rsultats de ces lments, le choix de lapproche, les aspects culturels, la propension aux risques, et le langage, auront un impact sur le comportement des individus dont il rsultera une sous-estimation ou une survaluation de la probabilit de ralisation dalas, des dommages et de la vulnrabilit dun lment risque ceux-ci. Lestimation subjective, non scientifique, passe par le prisme des individus. Elle ne peut se conformer adquatement aux besoins des organisations en matire degestion de risque. Cependant elle ne peut tre compltement mise de ct, car il est difficile dliminer laspect subjectif de certaines dcisions. De plus, il nest pas toujours possible dobtenir des sources fiables de donnes probantes couvrant tout les risques potentiels. Finalement, la complexit de lcosystme organisationnel rends difficile une vue de la situation dans sa totalit. Les organisations devraient opter pour une approche scientifique de gestiondes risques, mais il est presque impossible de le faire compltement.

Ainsi, il est ncessaire de mettre en place des mcanismes pour limiter limpact de la subjectivit inhrente aux approches non scientifiques et aux biais qui les accompagnes.


55

Le changement

Lhistoire des civilisation est celle dune continuit de changements. Le changement continu est normal. Ce qui est anormal est de tenter de contrler et restreindre le changement, ce que de nombreuses organisations tentent de faire. La mobilisation deressources pour un traitement appropri durisqueest une source importante de changement. Elle est une des composantes de lagestionderisque. Il est essentiel daborder les principaux concepts du changement avant daborder en plus de dtails lagestionderisque. Une comprhension des enjeux de lagestiondu changement augmentera le succs des efforts degestionderisque et en particulier aux mesures de mitigation du risque.

Les changements dans une organisation suivent des processus dacculturation et dassimilation similaire ceux quobservera lethnologue. Ces migrations culturelles se font par diffusion inter-culturelle entre les individus, groupes et structures de lorganisation.Dans le processus de changement des dysfonctions entre les structures formelles, illustre par lorganigramme hirarchique, les valeurs culturelles et les reprsentations symboliques de lorganisation apparatrons. Chacune des composantes de lorganisation (individus, stratgies, processus, systmes, etc.) sont soumise des pressions auxquelles elles ragiront par des mcanismes diffrents dadaptation et dintgration. Il en rsultera un tat de tension, de dissonance ou de dsynchronisation organisationnelle.

Chapitre 2

56

Il est ncessaire de prvoir des processus et des mcanismes degestiondu changement que lorganisation pourra mettre en oeuvre lorsque se dveloppe ces dsynchronisations. Si elle ne le fait pas, il pourra en rsulter le rejet de la nouvelle faon de faire, un rejet du changement propos. Engestionderisque, ce rejet rduira lefficacit des actions entreprises pour grer le risque.

Il est essentiel de connatre les cinq phases du changement afin de les reconnatre sur le terrain et de mettre en oeuvre priori des mesures, des mthodes ou des processus degestionafin de limiter ou de contrler leur impacts sur lorganisation.

Le processus de changement sopre en cinq (5) phases:

Le refus La rsistance La dcompensation La rsignation Lintgration

Lorsquun changement qui ne correspond pas aux aspirations dun individu est annonc, la premire phase observable est celle du refus de comprendre.Dans un premier temps, par rflexe naturel, lindividu ne comprend pas ce quon lui dit. La relation affective de lindividu avec ce que lon souhaite changer conditionne lampleur et la dure de cette phase. Celui qui introduit le changement est tent dtablir un lien entre le refus de comprendre et lintelligence de son interlocuteur, ce qui aggrave la situation.La phase de


57

refus de comprendre peut tre brve. Cependant, dans le cas de changements majeurs, elle peut prendre des proportions considrables.

La seconde phase estla rsistance au changement. Entre la moiti et le trois-quart des projets de changement organisationnels chouent la phase de rsistance au changement. Malgr cela, cette phase est souvent minimis dans la planification des projets de nature technologique.La rsistance au changement est souvent un frein majeur dans la mise en oeuvre de nouveaux moyens degestionet dans de nombreux projets degestionde la qualit, qui ont des similitudes avec les degestionde risque.Dans un contexte organisationnel, la rsistance au changement est gnralement perue comme un frein au progrs, surtout du point de vue de ceux qui initient le changement.Assimile une vision passiste, anti-progressiste et excessivement conformiste voire ractionnaire, elle est pourtant naturelle, inne, et elle peut mme tre utile et ncessaire.

Lutilit de la rsistance au changement repose sur quatre lments :

Dun point de vue psychologique, la rsistance nous permet de raliser le changement. En verbalisant nos arguments, nous pouvons exorciser le sentiment de frustration qui nous treint. En fait, la rsistance nous permet dvacuer notre stress, dobjectiver notre ralit et celle qui nous est impose.

Dun point de vue oprationnel, tout changement annonc nest pas ncessairement le meilleur possible. Tout changement annonc peut, le plus souvent, tre amlior dans la forme et sur le fond. Le cas chant, la rsistance travers largumentation permet damliorer le changement ou den montrer les limites.

Chapitre 2

58

Dun point de vue thique, certains changements tentent de se faire au mpris des valeurs ou des croyances dun individu ou dun groupe. La rsistance permettra de faire chec ces changements. Elle est une protection contre labusif, larbitraire, linconsquence et lirresponsabilit.

Dun point de vue humain, elle permet de rguler les risques dabus de pouvoir.

La rsistance se manifeste principalement sous quatre formes :

Linertie, largumentation, la rvolte et le sabotage.

Ces quatre expressions alternent au cours de la phase de rsistance. Le choix de la forme de rsistance est dict autant par lindividu que par lenvironnement. Les rsistances ne comportent bien sr pas toutes lensemble des expressions. Largumentation, nanmoins, est toujours prsente.

La troisime phase du changement estla dcompensation. Elle se caractrise par labandon de la rsistance sous toutes ses formes. Lorsque la rsistance contre un changement en contradiction avec les aspirations est sans effet, les individus dcompensent: ils se sentent las, incompris ou non reconnus. Plus la rsistance fut forte, plus la dcompensation est grande, la mesure de limpact du changement et de son importance. Elle prsente les symptmes de la dpression.La dcompensation sopre par rapport aux repres internes. Plus lindividu et sentimental et motif, plus la dcompensation est vidente. Au contraire, plus il est rflchi, moins elle est


59

observable.La dcompensation peut durer quelques minutes ou plusieurs annes. Les deux facteurs-cls de la dure et de lintensit de la dcompensation sont dune part la distance affective par rapport lobjet du changement, et dautre part le niveau de stress li laccumulation des changements.

La quatrime phase estla rsignation.La rsignation est souvent la phase la plus longue dans un processus individuel de changement, car elle correspond lacceptation du changement propos. Lorsque lindividu entre dans cette phase, il fait contre mauvaise fortune bon coeur. Sil accepte le changement, il ne pourra se dfendre contre la nostalgie du pass et de lancienne ralit, partags entre le dsir dchapper au stress li au changement et ses instincts de conservation. Dans cette phase, lindividu rationalise son acceptation du changement sans enthousiasme. Il aura des bouffes de tristesse qui alimentent sa nostalgie. Cette nostalgie est le meilleur indice de sa rsignation au prsent. La rsignation permet dachever le travail de deuil lors dun changement individuel.La rsignation cde finalement la place lintgration, parfois graduellement, parfois brutalement.

La cinquime et dernire phase du changement estlintgration.Lintgration dun changement, cest son acceptation totale dans la ralit prsente et virtuelle.

Distinguons deux niveaux dintgration:

lintgration conceptuelle et lintgration comportementale.

Chapitre 2

60

Lintgration du changement saccompagne le plus souvent dun enthousiasme recouvr, dune nergie positive tourne vers laction, dun sentiment de bien-tre, voire de srnit. La nostalgie du pass tend disparatre, le deuil est fait et le processus de changement est complt avec succs.


61

Questions de rvision

1) Indiquez si lnonc suivant est vrai (V) ou faux (F) ?

1.! _____ :Lexpertise individuelle du risque est base sur nos expriences quotidiennes.

2.! _____ :Lexpertise individuelle du risque est base sur notre incapacit apprendre de nos expriences.

3.! _____ :Dans les organisations, les rflexes naturels de la peur et de lanxit, sont un indicateur de la prsence dun risque inopin.

4.! _____ :Dans le cas de lHomme cest une question de survie qui a emmen le dveloppement dun sens naturel didentification du risque, la peur.

5.! _____ :Pour une organisation, il ny a pas de mcanismes naturels possible pour identifier la prsence du risque ou dun danger.

Chapitre 2

62

2) Indiquez si lnonc propos sapplique lapproche scientifique (S) , lapproche non scientifique (N) ou aux deux (2) approches de gestion de risque.

1.! _____ :Sopre dans un paradigme rationaliste.

2.! _____ :Permet de quantifier le risque en sappuyant sur des paradigmes analytiques.

3.! _____ :Se fonde sur lexprience et lintuition.

4.! _____ :Permettra de quantifier le risque en sappuyant sur desdonnes probantes.

5.! _____ :Fait appel au dialogue et la comparaison avec les pairs.

6.! _____ :Permet de quantifier le risque en sappuyant sur desdonnes historique.

7.! _____ :Sintresse des aspects de scientificit des mesures.

8.! _____ :Sintresse des aspectsde rigueur mthodologique.

9.! _____ :Sintresse des aspectsde fidlit et de validit (interne et externe).

10.! _____ :Recherche le consensus sur ce quest ce qui est la ralit objective.


! A. Dcompensation


63

! B. Intgration

! C. Refus de comprendre

! D. Rsignation

! E.Rsistance au changement

1.! _____ : Cest la premire phase du changement.

2.! _____ : Cest la seconde phase du changement.

3.! _____ : Cest la troisime phase du changement.

4.! _____ : Cette phase estla quatrime phase du changement.

5.! _____ : Cette phase est la cinquime phase du changement.

6.! _____ : Cette phaseprsente les symptmes de la dpression : fatigue, ides noires, tristesse, etc.

7.! _____ : Se produit lorsquun changement qui ne correspond pas aux aspirations dun individu est annonc.

8.! _____ : Cette phasepermet dachever le travail de deuil lors dun changement individuel.

9.! _____ :Entre la moiti et le trois-quart des projets de changement organisationnels chouent cette phase.

Chapitre 2

64

10.! _____ : Cette phase estla dernire phase du changement.

11.! _____ : Dans un contexte organisationnel, cette phase est gnralement perue comme un frein au progrs, surtout du point de vue de ceux qui initient le changement.

12.! _____ : Cette phaseest naturelle, inne et peut mme tre utile et ncessaire.

13.! _____ : Cette phase se produit lorsque la rsistance contre un changement en contradiction avec les aspirations est sans effet

14.! _____ : Lors de cette phase les individusse sentent las, incompris ou non reconnus.

15.! _____ :Plus la rsistance fut forte, plus cette phase est grande, la mesure de limpact affectif du changement et de som importance.

16.! _____ :Plus lindividu et sentimental et motif, plus cette phase est vidente. Au contraire, plus il est rflchi, moins elle est observable.

17.! _____ : Cette phasepeut durer quelques minutes ou plusieurs annes. Les deux facteurs-cls de la dure et de lintensit de cette phase sont dune part la distance affective par rapport lobjet du changement, et dautre part le niveau de stress li laccumulation des changements.

18.! _____ : Cette phaseest souvent la phase la plus longue dans un processus individuel de changement, car elle correspond lacceptation du changement propos.


65

19.! _____ :Lorsque lindividu entre dans cette phase, il fait contre mauvaise fortune bon coeur.

20.! _____ :Dans cette phase, lindividu rationalise son acceptation du changement.

21.! _____ : Cette phasecde finalement la place lintgration, parfois graduellement, parfois brutalement.

22.! _____ : Cette phaseest lacceptation du changement dans la ralit prsente et virtuelle.

23.! _____ :Cette phase est souvent minimis dans la planification des projets de nature technologique.

24.! _____ : Cette phasesaccompagne le plus souvent dun enthousiasme recouvr, dune nergie positive tourne vers laction, dun sentiment de bien-tre, voire de srnit.

25.! _____ : Cette phase est aussi appel la phase de dni

Chapitre 2

66

4) Mettre la stratgie avec la dfinition qui lui corresponds le mieux:

A. Minimiser le regret maximumB. Maximaliser lUtilit espre minimumC. Maximaliser lUtilit espreD. Maximaliser lUtilit espre moyenneE. Maximaliser lUtilit espre dans le contexte le plus probableF. Nadmettre que les scnarios non domines

1.! _____ :Ne sont admissibles que les scnarios qui ne sont pas domins par dautres.

2.! _____ :Lon considre lUtilit espre moyenne de chaque scnario et on choisit lutilit moyenne la plus leve.

3.! _____ :Le dcideur fait lhypothse quil se trouve dans le contexte le plus probable et choisi le scnario qui offre lutilit la plus grande dans ce cas.

4.! _____ :Consiste prendre pour chaque scnario lUtilit espre moyenne et choisir le scnario offrant la plus grande Utilit espre.

_____ :Pour chaque scnario on identifie le regret maximum et on choisi le scnario qui reprsente le regret maximum le plus bas.


67

Bibliographie

Beucher, S., Reghezza, M., (2004)Les risques (CAPES Agrgation),Bral

Carton,GD.(2004)logeduchangement:mthodesetoutilspourrussirunchangementindividuelet professionnel, 2dition,ditions VillageMondial,Paris

Costermans, J. (1998)Les activits cognitives, raisonnement, dcision et rsolution de problmes,dition DeBoeck Universit, France

Douglas, M., Wildavsky, A. (1984),Risk and Culture, cit dans Beucher et Reghezza (2004)

Kahneman, D., Tversky, A. (1979)Prospect theory: An analysis of decision under risk,Econometrica,47, 263-291.

Chapitre 2

68

Chapitre 3: Lala

Lala pouvant tre caus par une menace, il est important de comprendre lidentification des menaces. Il faut cependant prciser que la menace unique nest pas ncessairement la cause dun ala, lala peut aussi tre caus par un ensemble de facteurs ou par une squence dvnements qui incluent une menace.

Dans la cration de scnarios de risque, ce sont les participants au processus de cration des scnarios dans lorganisation qui devraient identifier les menaces qui seront envisages. Les menaces envisages serviront identifier les scnarios envisagsdans lanalyse de risque, prvoir les dommages possibles de chaque scnario envisag et valuer leur possibilit de se raliser.

Le processus didentification des menaces peut sappuyer sur plusieurs sources, selon que lapproche de gestion de risque est scientifique ou non-scientifique. Dans une approche scientifique, la tenue dun registre des incidents est une des principales sources dinformation pour le processus didentification des menaces.


I n t r o d u c t i o n l a g e s t i o n d e r i s q u e i n f o r m a t i o n n e l

Comme lapproche non scientifique se fonde sur lexprience et lintuition, elle fera appel des sources telles que:

Lhistorique rcente de lorganisation, Des menaces qui ont cr des alas dans des organisations similaires, Lexprience des participants, Les tendances de lindustrie,

Lorganisation pourra aussi utiliser des sources trouves sur internet, tels que des bases de donnes, des associations professionnelles ou des articles.

Sans surprises, cette approche hautement subjective sera fortement teint par les biais de ceux qui font le travail. Afin dencadrer la subjectivit, une liste de dpart, forme de menaces gnriques et dune systme de catgorisation des menaces dans le contexte de la gestion du risque informationnel est prsent. Cette liste devrait tre enrichi par une revue de littrature, des recherches en ligne et la cration de scnarios de risque avec les parties prenantes de lorganisation. Elle sera finalement valide auprs de participants dans lorganisation.

Nous proposons une liste des menaces comme point de dpart aux discussions. Dans cette liste, les menaces ont t classes en deux catgories ceux pouvant causer des dommages matriels et ceux causant des dommages immatriels.

Chapitre 3

70

Les menaces pouvant causer des dommages matriels

La catgorie des dommages matriels comprend les dommages matriels ou physiques aux divers lments des systmes dinformation dune organisation. Ces atteintes ne reprsentent quun faible pourcentage des sinistres informatiques. Les pertes associes ces dommages sont values en fonction de la valeur de remplacement. De faon gnrale, ces menaces peuvent causer la modification ou la destruction non autorise, volontaire ou accidentelle des donnes, ressources informationnelles, actifs informationnels ou systmes dinformation dune organisation.

Phnomnes accidentels

Les phnomnes accidentels identifient les vnements causs par lenvironnement technique des systmes dinformation. Ceux-ci incluent des vnements naturels dont les consquences sont aisment identifiables. Nous proposons ceux-ci:

Menace Exemple

Bris accidentel Le bris dun appareil.

Panne Panne de courant caus par une tempte de neige.

Accident Un vhicule qui roule sur une route voisine de limmeuble entre en collision avec celui-ci.

Lala

71

Incendie Un incendie caus par un problme lectrique dans limmeuble.

Inondation Une crue des eaux dune rivire avoisinante.

Vandalisme

Le vandalisme identifie des situations par lesquelles une ou plusieurs personnes dtruisent sciemment ou subtilisent un systme dinformation. Parmi les diffrentes catgories de menaces associes au vandalisme, nous proposons celles-ci:

Menace Exemple

Vol Le vol dquipements informatiques durant une fin de semaine.

Incendie Un incendie criminel caus lors dune manifestation ou une grve.

Sabotage Des dommages causs par des terroriste ou des activistes lors dune manifestation.

Chapitre 3

72

Les menaces pouvant causer des dommages immatriels

La catgorie des dommages immatriels comprend des menaces qui, si elles survenaient, pourraient causer des dommages aux donnes, programmes, logiciels contenus dans un systme dinformation. Ces atteintes reprsentent le plus grand nombre des sinistres informatiques. Lvaluation des pertes associes des dommages immatriels est difficile valuer. De faon gnrale, ces menaces pourraient causer la divulgation, le transfert, la modification ou la destruction non autorise, volontaire ou accidentelle de donnes ou dactifs informationnels de lorganisation.

Erreur

Lerreur est lacte involontaire dun membre de lorganisation ou dun utilisateur lgitime dun systme dinformation la suite dune mauvaise manipulation. Il en rsulte des dommages immatriels comme la perte dun fichier, la mauvaise excution dun programme ou lexcution dune commande destructrice. Ces phnomnes peuvent aboutir des pertes trs importantes pour lorganisation. Nous proposons celles-ci:

Menace Exemple

Erreur de manipulation

Le vol dquipements informatiques durant une fin de semaine.

Erreur de manipulation

Un incendie criminel caus lors dune manifestation ou une grve.

Lala

73

Sabotage Des dommages causs par des terroriste ou des activistes lors dune manifestation.

La fraude

La fraude reprsente une partie importante des sinistres informatiques. Il sagit le plus souvent de virements bancaires frauduleux ou du vol de fichiers contenant des numros de cartes de crdits. Ces actes peuvent tre luvre de tiers mais sont souvent le fait de membres dune organisation. Nous proposons ceux-ci:

Menace Exemple

Virement frauduleux

Un employ transfert de largent du compte de lorganisation un compte personnel.

Dtournement Un employ modifie un systme de vente en ligne pour que les paiements, ou une fraction de ceux-ci, soient effectus dans un compte dont il est le propritaire.

Chapitre 3

74

Espionnage Un agent externe lorganisation coute les transmissions sur le rseau afin de transmettre des secrets commerciaux un tiers.

Vol didentit Une personne non-autorise utilise des informations contenues dans nos bases de donnes internes acquises malicieusement pour usurper l'identit dun de nos clients i=ou dun de nos employs.

Les cybercrime

Les cybercrimes, des infractions commises au moyen dun ordinateur et de rseaux informatiques.Selon les donnes du ministre de la Scurit publique, compiles partir des statistiques annuelles des enqutes menes par les diffrents corps de police de la province.ont connu une hausse vertigineuse de 70 % au Qubec, en 2010.Le Ministre dnombre pas moins de 1270 crimes comportant lutilisation dun ordinateur ou dInternet, en 2010, soit 520 de plus que lanne prcdente. Les donnes indiquentdes hausses marques des enqutes sur des cas de fraudes lectroniques, de possession ou de distribution de pornographie juvnile et de leurre dun mineur des fins dordre sexuel. Il sagit duneralit contre-courant de la baisse globale de 4,8 % du nombre de crimes (370 052) perptrs au total, au Qubec, durant 2010, par rapport 2009. Nous avons donc

Lala

75

apport une attention particulire cette catgorie de menace. Nous avons regroup sous le nom de cybercrimes les fraudes informatiques ralises par lintermdiaire des systmes dinformations ou de rseaux de tlcommunications, tel que le rseau Internet. Cest lintrusion illgale dun tiers lintrieur dun systme dinformation, dune base de donnes afin de les manipuler, les altrer ou en tirer profit. Nous proposons ceux-ci:

Menace Exemple

coute (Keylogging)

Les clients dune banque reoivent des courriels de la banque. Il s'agissait d'une proposition d'installation d'un logiciel de lutte contre le courrier indsirable contenant un cheval de Troie qui affiche un message invitant le client saisir nouveau ses donnes d'accs. Le keylogger, intgr au cheval de Troie, enregistre les donnes saisies et les transmets l'individu mal intentionn l'origine de l'attaque.

Chapitre 3

76

coute rseau (Sniffer)

Un sniffer est un formidable outil permettant d'tudier le trafic d'un rseau. Il sert gnralement aux administrateurs pour diagnostiquer les problmes sur leur rseau ainsi que pour connatre le trafic qui y circule. sniffer peut servir une personne malveillante ayant un accs physique au rseau pour collecter des informations. Ce risque est encore plus important sur les rseaux sans fils car il est difficile de confiner les ondes hertziennes dans un primtre dlimit, si bien que des personnes malveillantes peuvent couter le trafic en tant simplement dans le voisinage.

Virus

Lala

77

Virus Le virus Conficker est un ver dcouvert en novembre 2008. Une fois install sur un ordinateur Windows, il dsactive certaines fonctions (mises jours, centre de scurit). Il se connecte seul des serveurs distants pour recevoir des ordres et transmettre des informations et surtout installer dautres logiciels malveillants sur les ordinateurs infects. Il ne cesse dvoluer et partir de sa version C il est capable de se mettre jour. Jusque l, rien de trs dangereux en soit. Mais partir de sa version E, il tente dinstaller un spambot ainsi quun rogue. Une analogie a souvent t faite entre ce virus et le virus du sida : il bloque les dfenses internes et laisse dautres virus tuer la victime. Le nombre de PC infects par ce virus nest pas certain, mais la socit F-SECURE a avanc le nombre de 9 millions. Ce ver devait lancer une attaque gigantesque le 1er avril 2009 qui neut pas lieu.

Attaques cibles En mars 2013, la socit Spamhaus fut victime dune attaque cible par dni de service distribue record, atteignant 300 Gbps. Spamhaus, un site qui s'est illustr en luttant contre le spam et les pirates, sest attir les foudres des hacjers aprs avoir critiqu les pratiques laxistes de l'hbergeur hollandais Cyberbunker.

Prise de contrle

Cyber squattage

Chapitre 3

78

Cyber sabotage

Cyber activisme

Cyber terrorisme

Lala

79

Hackers

Nous identifions comme hackers des individus qui se considrent comme tels ou qui font partie dun groupe plus ou moins formel dindividus qui sont impliqus, sciemment ou non, dans des activits en tant que membre de cette communaut. Lappartenance ce groupe et lacceptation par groupe de ses membres amne les membres commettre des actes dintrusion dans des systmes dinformation et den divulguer les mthodes et les rsultats avec les autres membres du groupe. Certains participent dans un esprit dapprentissage des technologies en toute lgalit, par exemple dans un cadre scolaire. Dautres commettent des cybercrimes avec des objectifs pcuniaires ou idologiques.

Ils ont leur propre priodiques (notamment 2600 et Phrack), leurs confrences, leurs codes secrets et leurs stars, comme Kevin Mitnick. Plusieurs tudes nous donnent les principales caractristiques de ces groupes de Hackers:

Les membres ont un haut niveau de comptence informatique; Un dsir de secret et danonymat; Un besoin de se valoriser dans le groupe en divulguant leurs exploits; Ce sont des groupes aux frontires et aumembershipfluide; Domins par les hommes de race caucasienne, clibataires, gs entre 12 et 30 ans

et ayant termin leurs tudes secondaires; Ils ont un ensemble de valeurs et de motivations similaires.

Chapitre 3

80

Nous classons les membres de ces groupes sur une chelle de cinq niveaux, reprsents dans le tableau ci-dessous:

Niveau caractristiques

Novice Cest le hacker le moins expriment. Ses activits se limitent de petits mfaits.

tudiant Il sagit dtudiants qui trouvent leurs travaux scolaires ennuyeux. Ils explorent les ordinateurs au lieu de faire leurs travaux.

Touriste Le touriste recherche laventure.

Crasher Le crasher est un destructeur intentionnel.

Criminel Les criminels sont les plus rares, ce sont ceux qui profitent de leurs activits.

Les hackers sont regroups en divers sous-groupes selon des centres dintrts, les crackers (piratage de logiciels), les phreakers (appels tlphoniques), les whitehats (experts en scurit informatique) et plusieurs autres.

Lala

81

Alas dans les projets TI

Selon le Project Management Institute, la gestion de projets est lart de diriger et de coordonner des ressources humaines et matrielles tout au long de la vie dun projet en utilisant des techniques de gestion modernes pour atteindre des objectifs prdfinis denvergure, de cot, de temps, de qualit et de satisfaction des participants.

Plusieurs problmes peuvent survenir dans des projets pour produire des alas. Nous en prsentons ci-dessous un chantillon. Cette liste pourra servir comme point de dpart pour la cration de scnarios de risque. Les dommages, en cours de projet, seront en relation aux cots ou aux dlais.

Problmes de personnelLe personnel cl ne sera pas disponible en cas de besoin au moment opportun.Les comptences cls ne seront pas disponibles en cas de besoin.Le personnel cl quittera au cours du projet.Les sous-traitantssous-performent et ne parviennent pas rpondre leurs missions.

Problmes dquipementLe matriel requis nest pas livr temps.Laccs lenvironnement de dveloppement sera limit.Lquipement tombe en panne.

Problmes du clientLes ressources du client ne sont pas disponiblesau moment opportun.

Chapitre 3

82

Le client ne sera pas en mesure de prendre des dcisions en temps opportun.Les produits livrables ne seront pas examins selon lchancier prvu.Le personnel qui a la connaissance des besoins du client sera remplac par dautres qui sont moins qualifis.Un manque dexprience avec le projet du client se traduira par des retards ou pourra porter atteinte larelation.Des conflits au sein de lorganisation du client quant lopportunit ou la faisabilit duprojet.Un manque de lignes claires de responsabilit et de lescalade va interfrer avec le problme rsoudre.Les bnfices nont pas t quantifis.Les attentes du client pour lapplication dpasse les capacits de la technologie.

Problmes de porteUn manque de clart dans la dfinition de la porte et des objectifs se traduira par des changements frquents et nombreux du primtre du projet.Un manque de clart dans la dfinition de la porte se traduira par des conflits dans le champ dapplication.La porte des changements introduits se fait linsu de la gestion de projet.Un manque de critres dacceptation clairement dfinis entranera un retard dans lacceptation.Une estimation htive ou qui na pas t valid entranera un plan de projet quine sera pas atteint.

Risques technologiquesLa technologie aura des limitations techniques ou des performances qui mettent en danger laprojet.

Lala

83

La technologie des composants ne pas tre facilement intgrs.La technologie nest pas prouve et ne rpond pas aux exigences des clients et des projets.La technologie est nouvelle et mal comprise par lquipe du projet et mettra en placeretards

Problmes de livraisonLe temps de rponse du systme ne sera pas suffisant.Les besoins en capacit du systme dpasseront la capacit disponible.Le systme ne parviendra pas satisfaire aux exigences fonctionnelles.

Problmes physiquesLe bureau sera endommag par un incendie, une inondation ou autre catastrophe.Un virus informatique peut infecter lenvironnement de dveloppement ou dun systme oprationnel.Lquipe nest pas co-localis, ce qui va nuire la communication et dintroduire des erreurs.Un membre de lquipe va voler du matriel de projet confidentiel et mettre la dispositiondes concurrents de ce client.

Problmes de gestionLa relative inexprience du gestionnaire de projet se traduira par des drapages budgtaires ou calendaires.Les gestionnaires jugent que le projet devrait avoir une priorit plus faible.

Chapitre 3

84

Alas en impartition

Limpartition des ressources informationnelles dune organisation peut tre dfinie comme une relation contractuelle par laquelle un client dlgue un fournisseur laresponsabilit dune ou plusieurs activits de gestion de ses actifs informationnels pour une dure dfinie priori. Ltendue de cette dlgation peutvarier entre la sous-traitance et le partenariat. Celle-ci peut prendre la forme de partenariat, dun programme dinvestissement ou dun programme de rmunration li laperformance.

Liste dalas potentiels en situation dimpartition

Manque dexpertise du client avec limpartition Manque dexprience du fournisseur avec lactivit impartie Manque dexprience du client avec lactivit impartie Difficult mesurer lactivit impartie Stabilit financire du fournisseur Taille du fournisseur Interdpendance des activits imparties avec des activits non-imparties Problmes de mesure Complexit des travaux Incertitude face aux besoins daffaires Incertitude de lenvironnement lgal Proximit des comptences de base Envergure du contrat Discontinuit technologique Manque dadquation culturelle client-fournisseur

Lala

85

Envergure du contrat Spcificit des actifs Nombre restreint de fournisseurs

Chapitre 3

86

Alas en infonuagique

Linfonuagique est la prestation de services informatiques sur Internet. Les services dinfonuagique permettent aux personnes et aux entreprises dutiliser les logiciels et le matriel grs par des tierces parties partir de lieux loigns. Parmi les exemples de services dinfonuagique, on compte le stockage des fichiers en ligne, les rseaux sociaux, le courriel Web et les applications dentreprise en ligne. Le modle dinfonuagique permet daccder des donnes et des ressources informatiques partout o est offerte une connexion rseau. Linfonuagique donne accs un bassin commun de ressources, y compris de lespace de stockage dedonnes, des rseaux, des centres de traitement et des applications spcialises pour les entreprises et les particuliers.

Lala

87

Sources dalas potentiels en infonuagique

Coupures du rseau Pertes de trafic Problmes de gestion du rseau (congestion / connexion / usage non-optimal, etc) Interception du code source de lapplication Erreur du panneau de configuration administrateur Employs malicieux Pertes de performance dues lutilisation des ressources du contrleur (CP) Surcharge du systme, impossibilit daugmenter la capacit Compromision du logiciel de gestion ou du systme dexploitation Ingnirie sociale Fuite de donnes en amont ou en aval, intra-nuage Compromission de linterface de gestion Problmes dauthentification des utilisateurs et des identits Dni de service Dni de service distribu Dni de service chez un partenaire Balayages ou tentatives didentification de ports rseaux malicieux ou non-

authorise. Trafic rseau altr Escalation des privilges Vol dquipement informatique Compromision ou bris du systme de comptabilit ou de facturation de

lutilisation des services Replay

Chapitre 3

88

Problmes decompartisation Indisponibilit de services Fuite de donnes Altration des donnes Perte ou compromission des journaux dutilisation Perte ou compromission des journaux de scurit Interception de donnes durant la migration ou la mise jour Dsastres (naturels) Accs non autoris aux locaux du fournisseur dinfonuagique Vol des copies de sauvegarde Perte des clef dencryption Destruction de donnes Perte de gouvernance ou de contrle SLA incomplet (Indicateurs de performance mal dfinis) Faillite du fournisseur ou dun partenaire Acquisition ou transfert de proprit du fournisseur dinfonuagique Responsabilit en relation aux lois et rglements Conflit entre les exigences lgales et les besoins de protection des renseignements

personnels Conflit entre les directives locales et rgionales

Lala

89

Exercice faire en classe

Premirement, identifi

Introduction à La Gestion de Risque Informationel

Documents

Transcript of Introduction à La Gestion de Risque Informationel