Méthode d’évaluation des risques, outils d’analyse

Ce cours de Master (semestre 4, UE « Gestion des risques et analyse des vulnérabilités ») forme les futurs RSSI adjoints, auditeurs et analystes à identifier, évaluer et traiter les risques de sécurité de l’information avec des méthodes éprouvées et des outils d’analyse des vulnérabilités. Il approfondit les bases vues en S1 (analyse et gestion des risques) en mettant l’accent sur la conduite complète d’une étude (ISO/IEC 27005, EBIOS Risk Manager, OCTAVE), sur l’exploitation raisonnée des scanners de vulnérabilités (Nessus, OpenVAS/Greenbone, Qualys) dans un cadre autorisé, et sur la décision chiffrée (ALE, ROSI, BIA). Les exemples sont tirés de contextes nigériens : banques de Niamey, opérateurs de mobile money, administrations fiscales, microfinance.

Objectifs d’apprentissage

• Maîtriser le vocabulaire et le processus normalisés de gestion des risques (ISO 31000, ISO/IEC 27005).
• Conduire une appréciation des risques avec ISO 27005, EBIOS RM et OCTAVE Allegro et en produire les livrables.
• Classer et prioriser les vulnérabilités (CVE, CWE, CVSS, EPSS, KEV) et interpréter les rapports des scanners.
• Chiffrer les impacts (BIA, SLE, ALE) et justifier les investissements (ROSI).
• Élaborer un plan de traitement des risques et le piloter par des indicateurs.

Prérequis

Notions de base en gestion des risques et en cybersécurité (UE S1 « Gestion des risques en sécurité de l’information »), connaissances des réseaux et des systèmes.

Plan du cours

1. Leçon 1 — Fondamentaux de la gestion des risques cyber et panorama des méthodes
2. Leçon 2 — Conduire une appréciation des risques avec ISO 27005, EBIOS RM et OCTAVE
3. Leçon 3 — Identification, classification et analyse outillée des vulnérabilités
4. Leçon 4 — Évaluation des impacts, priorisation et plans de mitigation

Modalités d’évaluation

Volume : 30 h de CM, 30 h de TD, 0 h de TP et 60 h de travail personnel (TPE) ; 6 crédits. Évaluation : contrôle continu (40 % : quiz en ligne, études de cas en TD, mini-registre des risques réalisé en groupe) et examen terminal écrit (60 % : cas intégré d’appréciation et de traitement des risques).

Bibliographie

• ISO/IEC 27005:2022, Sécurité de l’information, cybersécurité et protection de la vie privée — Préconisations pour la gestion des risques liés à la sécurité de l’information, ISO.
• ANSSI (2018), EBIOS Risk Manager — Le guide, Agence nationale de la sécurité des systèmes d’information.
• NIST (2012), SP 800-30 Rev. 1 — Guide for Conducting Risk Assessments ; et Stoneburner, G., Goguen, A. & Feringa, A. (2002), SP 800-30 — Risk Management Guide for Information Technology Systems, NIST.
• Alberts, C. & Dorofee, A. (2002), Managing Information Security Risks: The OCTAVE Approach, Addison-Wesley.
• Freund, J. & Jones, J. (2014), Measuring and Managing Information Risk: A FAIR Approach, Butterworth-Heinemann.