II.3 : La hiérarchisation des risques
C'est la hiérarchisation la plus objective possible des
points névralgiques qui permettra de procéder à la
hiérarchisation des valeurs de "G" (gravité) associée
à chaque risque, et donc à la hiérarchisation des
risques.
Cette hiérarchisation s'effectue en fonction de deux
critères :
- Délais de remise en service ou de restauration du
point sinistré,
- Conséquences financières du sinistre. Ces deux
critères sont évidemment très liés.
Il est donc nécessaire d'examiner, point à
point, toutes les conséquences d'un sinistre, et cela de manière
exhaustive : conséquences directes (temps d'arrêt,
réparation) et conséquences indirectes (pertes
immatérielles, coûts supplémentaires, perte de
clientèle, altération d'image, temps de recherche ou de
reconstitution de données, etc.).
Pour cela, nous estimons indispensable que soit
constitué, pendant la démarche d'analyse de
vulnérabilité, un "comité de pilotage" ou "comité
d'application" chargé d'assister l'auditeur pendant la démarche
d'analyse de vulnérabilité. Cette démarche permet alors de
hiérarchiser les risques en les classant, par exemple, en 5
catégories essentielles :
R0. Risque nul ou
négligeable.
Sa réalisation est très improbable et n'aurait
aucune incidence sur les objectifs de l'entreprise.
R1. Risque faible. Les
conséquences peuvent être compensées sans effets
négatifs sur les objectifs de l'entreprise.
Ne justifie pas des mesures contraignantes de
sécurité supplémentaires.
R2. Risque moyen. Sa
réalisation fragilise l'entreprise.
Les objectifs peuvent encore être atteints mais avec des
mesures (et donc des coûts) supplémentaires.
Nécessite un traitement.
R3. Risque fort ou majeur. Sa
réalisation compromet les objectifs de l'entreprise.
Nécessite un plan de traitement avec plan de
redémarrage ou plan de survie avec recours à L'assurance.
R4. Risque catastrophique. Sa
réalisation entraîne la disparition de l'entreprise.
Traitement indispensable, généralement avec
transfert à l'assurance.
Cette échelle des risques permet donc de constituer une
partie importante de référentiel à prendre en compte pour
l'audit de sécurité
| 
