5.2 - Stratégies de gestion des risques
L'objectif 5.2 du Security+ SY0-701 couvre la manière dont les organisations traitent le risque. Il existe quatre stratégies clés. Le transfert de risque reporte l'impact sur un tiers, comme lorsqu'une entreprise souscrit une cyber-assurance pour couvrir des pertes de violation qu'elle ne peut pas entièrement prévenir. L'atténuation réduit le risque par des contrôles, comme installer des systèmes d'extinction et déménager vers un site durci pour réduire un risque d'incendie. L'évitement supprime entièrement le risque, comme quand une entreprise annule une fonctionnalité trop risquée. L'acceptation tolère sciemment un risque résiduel. Tu dois aussi connaître l'évaluation des risques, les registres, l'appétence et la tolérance, les termes quantitatifs (SLE, ALE, ARO), et les métriques de reprise - le RPO définit la perte de données maximale acceptable et le RTO le temps d'arrêt maximal acceptable. Attends-toi à des mises en situation demandant la bonne stratégie ou métrique.
Souscrire une assurance (reporter l'impact) = transfert. Ajouter des contrôles pour réduire = atténuation. Annuler la chose risquée = évitement. Tolérer sciemment = acceptation. Perte de données max = RPO ; arrêt max = RTO.
Questions d'entraînement
1. Le RPO (objectif de point de récupération) définit :
- À quelle vitesse restaurer le service
- La perte de données maximale acceptable (bonne réponse)
- Le coût total d'une violation de données
- Le nombre d'admins d'astreinte
RPO = quelle quantité de données (en temps) on peut perdre → dicte la fréquence de sauvegarde. RTO = à quelle vitesse restaurer le service après une panne.
2. Souscrire une cyber-assurance pour compenser le coût d'une violation est quel traitement du risque ?
- Évitement du risque
- Transfert du risque (bonne réponse)
- Acceptation du risque
- Exploitation du risque
L'assurance transfère le risque financier à un tiers. Éviter=ne pas faire l'activité, atténuer=le réduire, accepter=l'assumer.
3. Une équipe de direction place les risques selon probabilité et impact sur une grille colorée pour les prioriser. Cet outil est une :
- Un schéma de topologie réseau
- Une matrice des risques (heat map) (bonne réponse)
- Un organigramme du personnel
- Un diagramme de Gantt de projet
Une matrice/heat map des risques croise probabilité et impact pour classer et prioriser visuellement les risques, guidant les décisions de traitement. Courante en analyse qualitative.
4. En analyse de risque quantitative, l'ALE se calcule comme :
- Valeur de l'actif moins l'exposition
- SLE multiplié par l'ARO (bonne réponse)
- Impact divisé par la probabilité
- Menace fois vulnérabilité
ALE = SLE × ARO. SLE = valeur de l'actif × facteur d'exposition ; ARO = taux annuel d'occurrence. L'ALE estime la perte annuelle attendue pour justifier les contrôles.
5. Un document central listant les risques identifiés, leurs responsables, gravité et statut de traitement est un :
- Une analyse d'impact métier
- Un registre des risques (bonne réponse)
- Un accord de niveau de service
- Un rapport de test d'intrusion
Un registre des risques suit chaque risque avec son responsable, sa probabilité, son impact, son traitement et son statut. L'appétence/tolérance guident quoi atténuer, accepter ou transférer.
6. Une analyse qui identifie les processus critiques et l'impact de leur interruption dans le temps est une :
- Un test d'intrusion externe
- Une analyse d'impact métier (BIA) (bonne réponse)
- Une analyse de vulnérabilités automatisée
- Une politique d'usage acceptable signée
Une BIA identifie les fonctions critiques, dépendances et l'impact d'une interruption, alimentant RTO/RPO et les priorités de continuité. MTTR et MTBF décrivent réparation/défaillance.