Présentation

Article

1 - IDENTIFICATION DES CYBERMENACES

  • 1.1 - Vulnérabilité permanente
  • 1.2 - Catégories de vulnérabilités
  • 1.3 - Catégories de menaces
  • 1.4 - Cyber-risque et risque majeur
  • 1.5 - Cyber-risque et continuité d’activité

2 - DÉTECTION DES CYBER-RISQUES

3 - ANALYSE DES CYBER-RISQUES

4 - ACTEURS AUTOUR DE LA CYBERSÉCURITÉ

  • 4.1 - Différents types de hackers et d’acteurs malveillants
  • 4.2 - Rôle des agences et autorités
  • 4.3 - Experts internes aux organisations

5 - DIFFÉRENTS TYPES DE MOYENS DE MAÎTRISE

6 - CONCLUSION

7 - GLOSSAIRE

Article de référence | Réf : SE2505 v2

Glossaire
Maîtrise des risques cyber - Identification, détection, analyse, traitement et transfert de risque

Auteur(s) : Nicolas DUFOUR, Matthieu BARRIER

Date de publication : 10 sept. 2022

Pour explorer cet article
Télécharger l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !

Sommaire

Présentation

Version en anglais En anglais

RÉSUMÉ

Cet article traite de la manière dont les entreprises gèrent le risque cyber. En abordant à la fois les parties prenantes internes et externes de l’organisation face à ce risque, il fournit différents exemples et éléments de retours d’expérience confirmant la nécessité d’une gestion globale des risques. Il détaille les types de menaces et de vulnérabilités auxquelles sont exposées les organisations, exemples illustratifs à l’appui, et aborde de manière précise les éléments de maîtrise des risques possibles (programme d’assurance, programme d’audit, contrôles, mesures de sécurité).

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

ABSTRACT

Cyber risk management. Identification, detection, analysis

This article discusses how companies manage cyber risk. By addressing both the internal and external stakeholders of the organization with regard to this risk, the article provides various examples and feedback elements confirming the need for a comprehensive risk management. The article complements previous dossiers on this topic by detailing the types of threats and vulnerabilities to which organisations are exposed, with illustrative examples. It differs, however, in that it deals specifically with the possible elements of risk control (insurance programme, audit programme, controls, security measures).

Auteur(s)

  • Nicolas DUFOUR : Docteur en sciences de gestion, - Professeur des universités associé, CNAM LIRSA, - Risk manager secteur assurance, ANTONY France

  • Matthieu BARRIER : Expert en cyber sécurité, MB CONSEIL, Paris France

INTRODUCTION

C omment les cyber-risques saturent l’actualité ?

La notion de cyber-risques peut se définir comme l’ensemble des menaces exploitant l’espace informatique et Internet afin de profiter des vulnérabilités des organisations pour s’introduire dans leurs systèmes et ainsi récupérer leurs actifs financiers ou immatériels (données sensibles et personnelles, par exemple). Le risque cyber a souvent des conséquences médiatiques pour les entreprises victimes, du fait qu’il se traduit par des impacts financiers, réputationnels, réglementaires, voire de discontinuité d’activité. De nombreux cas d’entreprises l’illustrent (Yahoo, Uber, Sony PlayStation Network, EasyJet, British Airways, MMA). Aucune entreprise, ni aucun secteur, ne peut se considérer comme à l’abri de ces risques souvent considérés comme externes et subis. Le propos de cet article est d’envisager les acteurs abordant ce sujet, mais aussi les impacts de ce risque ainsi que les mesures de gestion des risques associées.

Le cyber-risque peut se définir comme l’ensemble des risques liés aux menaces d’intrusion externes ou de vulnérabilités et malveillances internes utilisant les canaux de transmission de données Internet et les périphériques et technologies associés (espace partagé de stockage de données, messageries d’entreprises, spot Wi-Fi). L’objectif de ces intrusions est le plus souvent le vol d’informations, de données critiques pour la continuité d’activité de l’entreprise, mais aussi sensibles pour les clients et salariés de ces dernières (données bancaires, données personnelles, données de santé), permettant l’extorsion de sommes d’argent.

Toutes les entreprises sont, depuis le début des années 2010, susceptibles de faire face à une cyberattaque, mais lorsque cette dernière se produit : comment réagir ensuite ? Répondre à cette question suppose de bien appréhender les enjeux réputationnels, de continuité d’activité, mais aussi financiers et de pertes d’exploitation associés à ce risque. Afin d’aborder ce risque, nous détaillerons successivement dans cet article l’identification des cybermenaces, la détection et l’analyse de ce risque, puis nous aborderons les acteurs et les différents types de moyens de maîtrise.

Les articles [SE 2 500] et [SE 2 501] traitent de la nécessité de mettre en œuvre une approche complète de sécurité informatique, abordant notamment une synthèse du risque informatique ou l’exposition au risque de virus informatique et une synthèse des méthodes d’analyse [H 5 440] et [H 5 842]. D’autres articles se centrent sur l’importance de la protection des données dans le domaine informatique [H 5 455].

Le présent article se concentre plus particulièrement sur le risque cyber, ses menaces et les éléments de maîtrise des risques associés. Son objectif est de faire comprendre l’écosystème (acteurs internes et externes à l’organisation abordant le risque cyber), les enjeux de gestion globale du risque à prendre en compte et la diversité des moyens à mettre en œuvre en prévention, détection et traitement du risque. Il vise également à apporter des pistes de réflexion au regard d’impacts et de retours d’expérience.

Cet article est réservé aux abonnés.
Il vous reste 92% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

KEYWORDS

audit   |   cyber risk   |   risk management devices

VERSIONS

Il existe d'autres versions de cet article :

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v2-se2505


Cet article fait partie de l’offre

Sécurité et gestion des risques

(475 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Présentation
Version en anglais En anglais

7. Glossaire

Hameçonnage ; phishing

Ce schéma d’escroquerie vise à tromper un internaute en se faisant passer pour un tiers de confiance soit par la création d’un faux site, soit par exemple par l’usurpation d’une marque ou d’un nom de domaine, ou encore en imitant une messagerie. Cela peut aussi être le fait de s’introduire dans un système en ayant recours à un lien corrompu avec la création d’un faux site ou d’un faux mail.

Hacker – Pirate informatique

Personne physique ou organisation informelle cherchant à s’introduire dans un système de manière illicite à des fins d’enrichissement personnel direct ou indirect.

Intrusion cyber

C’est le fait de s’introduire dans un système et d’avoir accès aux données que ce dernier contient en lecture (modification, effacement, création de nouveaux fichiers), voire en écriture (modification, suppression, ajout de données), ce en utilisant les ressources Internet pour réaliser ladite intrusion (accès à un site extranet d’une entreprise, par exemple).

Sécurité informatique

Ensemble des éléments de maîtrise des risques techniques, logiques, organisationnels ou humains visant à protéger un système, notamment contre le risque d’intrusion.

Sécurité logique

Ensemble des éléments de sécurité permettant de sécuriser un système d’information, ses processus et ses données, comprenant l’accès ordonné (contrôle des données, de leur exhaustivité et de leur piste d’audit) à ce dernier. Cela inclut aussi l’autorisation des utilisateurs dans les accès à des informations comprises dans des systèmes. La sécurité logique complète la sécurité physique. Cela inclut les outils de veille et de contrôle technologique, les systèmes de sécurisation des accès Internet et des messageries, par exemple.

Sécurité physique

Ensemble des mesures de sécurité visant à limiter, restreindre ou empêcher l’accès à un matériel comprenant des données informatiques. La sécurité physique concerne notamment l’ensemble des fermetures physiques, dont l’accès à une salle de serveurs ; elle peut aussi inclure la sécurité contre le risque incendie ou de surchauffe du matériel.

...

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Sécurité et gestion des risques

(475 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Glossaire
Sommaire
Sommaire

BIBLIOGRAPHIE

  • (1) - BARR (A.), RAIMBAULT (C.A.) -   Risques émergents, un pilotage stratégique.  -  Economica (2010).

  • (2) - DARSA (J.-D.), DUFOUR (N.) -   Le coût du risque, un enjeu majeur pour l’entreprise.  -  Dd. Gereso (2014).

  • (3) - DIARD (C.), DUFOUR (N.) -   Cybersurveillance des salariés : quels risques pour l’entreprise ?  -  Face au risque [en coll. DIARD (C.)] (2019) https://www.faceaurisque.com/2019/01/14/ cybersurveillance-des-salaries-quels-risques-pour-lentreprise/

  • (4) - MIGNOT (V.) -   Usurpation d’identité : Tracfin ciblée par des fraudeurs.  -  Moneyvox (2015) https://www.moneyvox.fr/actu/52958/ usurpation-identite-tracfin-ciblee-par-des-fraudeurs

  • (5) - FOUCAULT-DUMAS (C.) -   GitHub résiste à la plus grave attaque DDoS de tous les temps.  -  ICT journal (2018) https://www.ictjournal.ch/etudes/2018-03-02/github-resiste-a-la-plus-grave-attaque-ddos-de-tous-les-temps

  • ...

1 Sites Internet

Hack this site http://www.hackthissite.org

Newbie Contest http://www.newbiecontest.org

ANSSI (Agence nationale de la sécurité des systèmes d’information) https://www.ssi.gouv.fr/

Guides des bonnes pratiques de l’ANSSI https://www.ssi.gouv.fr/entreprise/bonnes-pratiques/

HAUT DE PAGE

2 Normes et standards

ISO/IEC 27001:2013 (2013), Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences

ISO/IEC 27002:2013 (2013), Technologies de l’information – Techniques de sécurité – Code de bonne pratique pour le management de la sécurité de l’information

HAUT DE PAGE

3 Réglementation

Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité...

Cet article est réservé aux abonnés.
Il vous reste 93% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Sécurité et gestion des risques

(475 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS