Risque inhérent et risque résiduel : définitions et calcul

Le risque résiduel est le risque qui subsiste une fois les mesures de sécurité appliquées ; le risque inhérent est celui que l'on court sans aucune mesure. Comparer les deux montre ce que vos mesures apportent réellement, et c'est le risque résiduel, pas le risque inhérent, que la direction doit accepter en connaissance de cause.

Le risque inhérent, que l'on appelle aussi risque brut, est le niveau de risque d'un scénario avant toute action de l'organisation pour le réduire. Le glossaire du NIST, l'institut américain des normes et de la technologie, reprend la définition du référentiel COSO de gestion des risques d'entreprise : le risque auquel une entité est exposée en l'absence de toute action directe ou ciblée de la direction pour en modifier la gravité.

Concrètement, on se demande : « si nous n'avions rien mis en place, que se passerait-il et avec quelle probabilité ? ». Pour un cabinet comptable qui conserve les dossiers de ses clients sur un serveur de fichiers, le scénario « un rançongiciel chiffre le serveur et ses sauvegardes en pleine période fiscale » a une gravité maximale et, sans protection particulière, une vraisemblance très forte. Sur des échelles de 1 à 4, il vaut 4 x 4 = 16.

Coter le risque inhérent peut sembler théorique, puisque aucune organisation ne part de zéro. C'est pourtant utile pour deux raisons : il fait apparaître les scénarios qui seraient catastrophiques si une mesure venait à tomber, et il permet de mesurer l'apport de chaque mesure. Un risque inhérent élevé ramené à un risque résiduel faible signale une mesure critique, à surveiller de près.

Le risque résiduel est défini par le Guide ISO 73:2009, longtemps la référence du vocabulaire du management du risque (remplacé depuis par ISO 31073:2022), et par l'édition 2018 d'ISO/IEC 27000, le vocabulaire de la sécurité de l'information, comme le risque qui subsiste après le traitement du risque. Les deux textes ajoutent deux précisions : le risque résiduel peut contenir des risques non identifiés, et on peut aussi le désigner comme le risque « conservé ». Le NIST parle de la part du risque qui demeure une fois les mesures de sécurité appliquées.

Trois idées en découlent. D'abord, le risque résiduel n'est jamais nul : aucune mesure ne supprime totalement la menace, sauf à renoncer à l'activité. Ensuite, il dépend des mesures réellement en place et efficaces, pas de celles prévues au budget. Enfin, il inclut une part d'inconnu, ce qui justifie de réviser l'analyse régulièrement.

Il n'existe pas de formule officielle : ni ISO 27005 ni EBIOS Risk Manager n'imposent d'échelle. La démarche la plus répandue, et la plus facile à défendre devant un auditeur, consiste à recoter le scénario en tenant compte des mesures. Elle tient en quatre étapes.

• Coter le risque inhérent. Estimez la gravité des conséquences et la vraisemblance du scénario sans mesure, puis combinez-les, souvent par un produit sur une matrice des risques.
• Recenser les mesures existantes. Pour chaque scénario, listez les mesures qui agissent dessus. Une mesure joue soit sur la vraisemblance (elle rend l'attaque plus difficile), soit sur la gravité (elle limite les dégâts), parfois sur les deux.
• Vérifier leur efficacité. Une mesure déclarée n'est pas une mesure appliquée. Une sauvegarde jamais restaurée ou une double authentification qui exclut les comptes d'administration ne doivent pas faire baisser la cote.
• Recoter et justifier. Le nouveau couple gravité-vraisemblance donne le risque résiduel. Notez, pour chaque cran gagné, la mesure qui le justifie.

Le schéma ci-dessous reprend l'exemple du cabinet comptable. Cochez les mesures et observez le point descendre dans la matrice : les mesures préventives le font glisser vers la gauche (vraisemblance), les mesures de protection et de reprise le font descendre (gravité).

Calculer le risque résiduel ne suffit pas : il faut que quelqu'un décide de le garder. La norme ISO/IEC 27001:2022 l'exige explicitement. Sa clause 6.1.2 demande de fixer à l'avance des critères d'acceptation des risques, et sa clause 6.1.3 demande d'obtenir des propriétaires de risques l'approbation du plan de traitement et l'acceptation des risques résiduels. Depuis l'édition 2022, ISO 27005 présente d'ailleurs l'acceptation comme une décision prise à l'issue du traitement, et non plus comme une étape séparée.

La méthode EBIOS Risk Manager va dans le même sens. Son atelier 5, consacré au traitement du risque, a pour objectifs d'identifier les risques résiduels et de définir le cadre de leur suivi ; il produit une synthèse des risques résiduels, d'après le guide de l'ANSSI. Dans le secteur public, cette synthèse nourrit le dossier d'homologation, et c'est l'autorité d'homologation qui accepte les risques résiduels en signant la décision.

Une acceptation utile contient quatre éléments

• Un niveau : la cote résiduelle et le critère auquel on la compare.
• Un décideur identifié : le propriétaire du risque, qui a l'autorité pour engager des moyens.
• Une justification : pourquoi aller plus loin n'est pas raisonnable aujourd'hui (coût, délai, contrainte métier).
• Une échéance : la date de la prochaine revue, ou l'événement qui la déclenchera.

Risque inhérent et risque résiduel sont les deux bornes de toute analyse de risques. On les retrouve à trois endroits.

• Dans la matrice. Une même matrice des risques peut montrer chaque scénario deux fois, avant et après traitement, avec une flèche entre les deux. C'est souvent la vue la plus parlante pour un comité de direction.
• Dans la cartographie. Une cartographie des risques présentée à la direction devrait toujours préciser si elle montre des risques bruts ou nets : les deux ne racontent pas la même histoire.
• Dans le suivi. Le risque résiduel n'est pas figé. Une mesure qui se dégrade (un correctif non appliqué, un prestataire qui change de sous-traitant, voir notre article sur la gestion des risques tiers) le fait remonter. C'est pourquoi la surveillance fait partie du processus ISO 27005.

Enfin, la cotation de la gravité repose sur les besoins de sécurité de ce que l'on protège. Les exprimer d'abord, par exemple avec les critères DICP, rend les cotations inhérente et résiduelle plus cohérentes d'un scénario à l'autre.

• Compter des mesures prévues comme acquises. Tant qu'elle n'est pas déployée, une mesure n'abaisse pas le risque résiduel. Elle figure au plan d'action avec un risque résiduel « cible ».
• Tout faire baisser d'un cran. Une mesure agit sur un scénario précis. Le filtrage de la messagerie réduit l'hameçonnage, pas la panne d'un hébergeur.
• Oublier le risque inhérent. Sans lui, impossible de repérer les mesures dont la défaillance serait catastrophique.
• Accepter sans décideur. Un risque résiduel élevé noté « accepté » dans un tableur, sans nom ni date, n'est pas une acceptation.
• Ne jamais revoir la cote. Les menaces évoluent : un risque accepté il y a trois ans peut ne plus l'être.

Dans un tableur, le risque résiduel devient vite une colonne que l'on oublie de mettre à jour. Le logiciel d'analyse de risques Phinasoft relie chaque analyse, menée selon EBIOS RM avec un module labellisé par l'ANSSI, selon ISO 27005 ou selon votre méthode, à votre plan d'action : le niveau de risque évolue au fur et à mesure que les mesures sont mises en œuvre. Les circuits de revue et de validation formalisent les décisions, les relances automatiques font avancer les plans d'action, et chaque périmètre se réévalue à partir de la version précédente, ce qui garde l'historique des cotations. Pour le voir sur vos propres scénarios, vous pouvez demander une démonstration.