La matrice 5x5 ne suffit plus
Si votre dernier rapport de risque a indiqué au comité d'audit que « le risque de violation de données est élevé, l'impact sur l'activité est élevé, la remédiation est en cours », et que le comité d'audit a demandé « élevé par rapport à quoi ? », vous avez déjà rencontré la limite de la gestion qualitative du risque. Trois couleurs et une heatmap ne peuvent pas répondre à des questions comme :
- Combien devrions-nous budgétiser pour l'assurance cyber l'année prochaine ?
- Les 4 M€ que nous dépensons en EDR génèrent-ils un retour sur investissement ?
- Lequel de ces deux investissements en contrôles réduit le plus de risque par euro dépensé ?
Pour répondre à ces questions, il faut des chiffres. Plus précisément, des chiffres financiers assortis d'intervalles de confiance. La bonne nouvelle : les méthodes permettant de les produire sont utilisées depuis des décennies en actuariat, en finance et en fiabilité de l'ingénierie. Le risque cyber est enfin en train de rattraper son retard.
Le vocabulaire
Avant d'aller plus loin, trois termes que tout RSSI doit maîtriser :
- SLE : Single Loss Expectancy (perte unitaire attendue). Le montant en euros perdu si un événement de risque spécifique se produit une fois. Pour une violation de données : coût de l'investigation + notification + juridique + amendes réglementaires + remédiation + perte de clients. Généralement une fourchette, pas un chiffre unique.
- ARO : Annualized Rate of Occurrence (taux de fréquence annualisé). La fréquence attendue de l'événement par an. Souvent une fraction (un événement récurrent tous les 5 ans a un ARO de 0,2).
- ALE : Annualized Loss Expectancy (perte annuelle attendue). SLE × ARO. La perte annuelle attendue de ce risque, en euros. C'est le chiffre que votre directeur financier comprend.
Jusqu'ici, il ne s'agit que d'arithmétique simple. La difficulté est que le SLE et l'ARO ne sont pas des chiffres uniques. Ce sont des distributions de probabilité. Une violation de données peut coûter entre 500 K€ et 15 M€ selon le nombre d'enregistrements concernés, la juridiction et le déroulement de la réponse à l'incident. L'ARO peut être d'une fois tous les 2 ans pour un événement probable ou d'une fois tous les 30 ans pour un événement de queue de distribution.
Pourquoi les estimations ponctuelles mentent
Supposons que vous annonciez au conseil : « l'ALE d'un événement ransomware est de 1,2 M€ ». Ils entendront cela comme la réponse. Mais derrière ce chiffre unique se cache une large distribution : peut-être que 50 % des scénarios plausibles coûtent entre 200 K€ et 500 K€, 30 % coûtent entre 1 M€ et 3 M€, 15 % coûtent entre 5 M€ et 20 M€, et 5 % coûtent plus de 20 M€. Le 1,2 M€ est la moyenne. C'est aussi le chiffre qui ne se produit presque jamais réellement : la perte réelle est soit bien plus petite, soit bien plus grande.
Les conseils d'administration prennent leurs décisions d'allocation de capital sur la base du risque de queue, pas de la moyenne. Si le pire scénario est de 20 M€ avec une probabilité de 5 %, cela représente une perte de queue attendue de 1 M€ que le conseil doit capitaliser séparément. Si vous ne présentez que la moyenne de 1,2 M€, cette décision n'est jamais prise.
La simulation de Monte Carlo en termes simples
La simulation de Monte Carlo est la technique standard pour traiter des distributions plutôt que des estimations ponctuelles. La procédure :
- Pour chaque variable d'entrée (SLE, ARO), spécifiez une distribution de probabilité, généralement triangulaire ou lognormale, entre une estimation basse, une estimation la plus probable et une estimation haute.
- Exécutez la simulation 10 000 fois ou plus. Chaque itération tire un échantillon aléatoire de chaque distribution d'entrée et calcule la perte annuelle correspondante.
- Agrégez les résultats en une distribution des pertes annuelles sur l'ensemble des itérations.
- Relevez les indicateurs pertinents : moyenne (ALE), médiane, P90 (perte au 90ᵉ centile), P95, P99.
Le résultat ressemble à ceci :
- Perte annuelle moyenne : 1,2 M€
- Perte annuelle médiane : 450 K€
- P90 (dans 90 % des cas, la perte est au plus de) : 2,8 M€
- P95 : 5,1 M€
- P99 : 18 M€
Ce sont les chiffres sur lesquels votre directeur financier et votre comité d'audit peuvent agir. Le P95 en particulier est le seuil de « valeur à risque » communément utilisé : le chiffre servant à dimensionner les plafonds d'assurance cyber et le capital de réserve.
FAIR : la méthodologie derrière les chiffres
La méthodologie Factor Analysis of Information Risk (FAIR), développée par Jack Jones et standardisée par l'Open Group, est le référentiel dominant pour l'analyse quantitative du risque cyber. FAIR décompose le risque en Fréquence des Événements de Perte et Ampleur des Pertes, chacune étant elle-même décomposée en sous-facteurs mesurables. Le résultat d'une analyse FAIR est exactement le type de distribution que la simulation de Monte Carlo est conçue pour exploiter.
Il n'est pas nécessaire d'être analyste certifié FAIR pour commencer. Un point de départ raisonnable :
- Pour chaque risque majeur de votre registre, recueillez trois estimations (scénario optimiste, le plus probable, pessimiste) pour la fréquence annuelle et pour la perte par événement.
- Utilisez une distribution triangulaire, sauf si vous disposez de données permettant d'ajuster une distribution lognormale.
- Exécutez 10 000 itérations.
- Validez le résultat par rapport aux référentiels du secteur (Verizon DBIR, IBM Cost of Data Breach, Allianz Cyber Risk Report).
Si votre résultat indique une perte annuelle de 15 M€ pour le ransomware alors que le rapport IBM situe la perte moyenne à 5 M€, soit vos hypothèses sont trop pessimistes, soit vous opérez dans un environnement plus exposé que la moyenne — auquel cas, documentez pourquoi.
Ce que cela permet
Le risque quantitatif produit trois choses que le risque qualitatif ne produit pas.
Un budget d'assurance cyber défendable. Les assureurs tarifent la couverture en fonction de la perte attendue majorée d'un chargement de risque. Si vous pouvez présenter un chiffre P95, votre courtier peut négocier sur cette base. Si vous ne le pouvez pas, vous acceptez ce que l'assureur propose.
Le calcul du ROI des contrôles. Un contrôle réduit l'ARO, le SLE, ou les deux. Si vous relancez la simulation de Monte Carlo avec les nouvelles données après contrôle, la différence d'ALE représente le bénéfice financier du contrôle. Divisez par le coût annuel du contrôle et vous obtenez le ROI. C'est ce calcul qui justifie chaque investissement de sécurité auprès du directeur financier.
L'agrégation à l'échelle du registre des risques. Si chaque risque majeur dispose d'un ALE, vous pouvez les additionner sur l'ensemble du registre (avec une gestion appropriée des corrélations) pour produire une perte attendue au niveau du portefeuille. Vous pouvez désormais parler du risque cyber de la même manière que le directeur financier parle du risque de crédit ou du risque opérationnel : au niveau du portefeuille, et non incident par incident.
Les objections que vous rencontrerez
Objections courantes, et comment y répondre :
- *« Nous n'avons pas assez de données. »* Il n'en faut pas beaucoup. La fourchette honnête « entre 500 K€ et 5 M€, avec un scénario le plus probable autour de 1,5 M€ » suffit pour une distribution triangulaire. Affinez au fil du temps à mesure que les données s'accumulent.
- *« Les chiffres seront faux. »* Tous les chiffres de risque sont faux. Les notations qualitatives le sont aussi, mais elles le dissimulent derrière des couleurs. Les chiffres quantitatifs exposent l'incertitude d'une manière que le comité d'audit peut challenger. C'est une qualité, pas un défaut.
- *« C'est trop compliqué à communiquer. »* Montrez le P95, la moyenne et le pire scénario. Cela fait trois chiffres. Les conseils d'administration travaillent déjà exactement avec ce format pour le risque de crédit, le risque de marché et le risque opérationnel.
Par où commencer
La démarche pragmatique pour la plupart des équipes sécurité :
- Sélectionnez vos cinq risques principaux dans le registre existant.
- Recueillez des estimations à trois points pour le SLE et l'ARO de chacun, lors d'un atelier réunissant risque, sécurité, finance et juridique.
- Exécutez une simulation de Monte Carlo. La plupart des outils de quantification du risque modernes intègrent cette fonctionnalité en standard, avec 10 000 itérations exécutées en moins d'une seconde.
- Présentez, la première fois, ces résultats aux côtés de la heatmap existante, afin que le comité d'audit puisse comparer et développer son intuition.
- Itérez trimestriellement. Les chiffres s'amélioreront à mesure que vous accumulerez des données d'incidents et de sinistres d'assurance.
Après deux ou trois trimestres, le comité d'audit commencera à demander les chiffres quantitatifs en premier et la heatmap en second. Après quatre trimestres, il cessera de demander la heatmap.
En conclusion
L'analyse quantitative du risque ne remplace pas le jugement de sécurité. C'est un langage permettant de communiquer ce jugement aux personnes qui allouent le capital. La matrice 5x5 a été conçue pour que les équipes sécurité parlent à d'autres équipes sécurité. Le conseil d'administration n'est pas une équipe sécurité. C'est un comité d'allocation de capital. Parlez leur langage et vos propositions d'investissement en sécurité auront bien plus de succès.