Depuis des années, le secteur de la cybersécurité s'appuie sur des matrices de risques qualitatives pour communiquer sur les risques. Nous nous sommes habitués à attribuer des couleurs comme le Rouge, l'Orange et le Vert pour représenter les menaces. Cependant, alors que les dirigeants d'entreprise exigent plus de transparence concernant l'exposition financière réelle de l'organisation, ces étiquettes subjectives ne sont plus suffisantes. Chez iExperts, nous préconisons une transition vers la quantification du risque cyber (CRQ), une méthodologie qui traduit les vulnérabilités techniques en termes monétaires.

Le fondement de l'ISO 31000

Pour s'orienter vers une gestion des risques pilotée par les données, nous devons nous tourner vers des cadres établis. L'ISO 31000 fournit les principes et les lignes directrices génériques sur la gestion des risques qui permettent aux organisations d'intégrer le risque dans leur gouvernance globale. En appliquant ces principes à la cybersécurité, nous pouvons nous éloigner des préoccupations informatiques cloisonnées pour entrer dans le domaine du risque d'entreprise. Cette approche nécessite d'identifier les actifs spécifiques à risque et la fréquence des événements de perte potentiels.

• Identification des actifs : Déterminer la valeur financière des données et des systèmes les plus critiques pour les opérations.
• Analyse de fréquence : Utiliser des données historiques et le renseignement sur les menaces pour estimer la fréquence à laquelle un événement spécifique pourrait se produire.
• Ampleur de l'impact : Calculer le coût potentiel d'une violation, y compris les frais juridiques, les amendes réglementaires et l'arrêt des opérations.

"Lorsque vous dites à un CFO qu'un risque est élevé, il demande ce que cela signifie pour les résultats. Lorsque vous lui dites qu'il représente une perte annuelle attendue de 3,2 millions de dollars, il demande comment l'atténuer."

Livrables clés pour une réussite quantitative

La transition vers un modèle quantitatif nécessite un changement dans la manière dont les données sont collectées et traitées. L'équipe de iExperts recommande de se concentrer sur les indicateurs de base suivants pour construire un modèle financier fiable du risque cyber :

• Perte annuelle attendue (ALE)
• Espérance de perte unique (SLE)
• Taux d'occurrence annuel (ARO)
• ROI de la réduction des risques

Conseil d'expert

Lors du calcul de la perte, n'oubliez pas d'inclure la Perte secondaire. Cela fait référence aux coûts associés à la réaction des parties prenantes, tels que la volatilité du cours des actions, la perte de confiance des clients et les dommages à long terme pour la marque, qui l'emportent souvent sur les coûts primaires de réponse aux incidents.

Conclusion

Passer de l'évaluation qualitative à l'évaluation quantitative des risques n'est pas seulement une mise à niveau technique ; c'est une amélioration de la communication. Cela permet à l'équipe de sécurité de parler le langage de l'entreprise. En s'appuyant sur les principes de l' ISO 31000 et l'expertise de iExperts, les organisations peuvent prioriser leurs investissements de sécurité en fonction de l'impact financier réel plutôt que d'une perception subjective. Dans le paysage des menaces moderne, les données sont votre outil le plus puissant pour défendre l'entreprise.