1. Comprendre les bases, sans jargon
Un risque concerne un événement possible et ses conséquences. Pour l’évaluer, on examine ce qui a de la valeur, les menaces, les faiblesses, la vraisemblance et l’impact. Les priorités dépendent du contexte.
Avant de retenir les mots techniques, essaie de reformuler cette idée avec tes propres mots. Tu n'as pas besoin de tout mémoriser du premier coup : comprendre vient avant apprendre par cœur.
2. Le cours expliqué en détail
Comprendre le risque
Un actif est ce qu’on protège : informations, service ou équipement. Une menace peut exploiter une vulnérabilité et causer un impact. Une estimation de risque tient compte de la vraisemblance et des conséquences.
Traitement du risque
Une organisation peut réduire, éviter, transférer ou accepter un risque, selon ses obligations et ses objectifs. Le RSSI conseille, mais les décisions importantes impliquent la direction.
Cadres de référence
Le NIST CSF 2.0 organise la démarche autour de six fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. Le RGPD encadre les données personnelles ; les obligations NIS2 dépendent du secteur et de la réglementation applicable.
Mise en situation
Une association conserve des inscriptions : elle identifie les données sensibles, limite les accès et prévoit leur suppression lorsque leur conservation n’est plus nécessaire.
Évalue trois risques d’une bibliothèque fictive et propose une mesure raisonnable pour chacun.
🧩 Comprendre simplement : Le risque est une décision, pas seulement un problème technique
Un actif est quelque chose de précieux. Une menace peut exploiter une faiblesse. Le risque dépend de la probabilité et des conséquences, avec des incertitudes.
🔎 Exemple pas à pas
Exemple : un club conserve les inscriptions de ses membres. Le risque de divulgation peut être réduit en limitant les accès, en protégeant les comptes et en supprimant les données devenues inutiles.
💡 Ce qu’il faut retenir
Le directeur peut choisir de réduire, éviter, transférer ou accepter certains risques, selon les obligations et la stratégie.
3. Exemple concret expliqué étape par étape
Décider quels risques traiter en premier
Une petite panne d’imprimante et l’indisponibilité d’un dossier médical n’ont pas les mêmes conséquences. Un RSSI doit expliquer ces différences à la direction.
4. Exercice pratique sans danger
Remplis un tableau pour une école fictive : risque, conséquences, probabilité estimée, mesure proposée et responsable.
Comment travailler : commence par écrire ta réponse sur une feuille, puis compare avec les explications du cours. Tu peux recommencer autant de fois que nécessaire. Travaille uniquement sur des exemples fictifs ou tes propres systèmes.
⚠️ L’erreur la plus fréquente
Appeler « risque » un simple objet (« le serveur »).
🌍 Dans la vraie vie
Une entreprise compare une panne fréquente et brève avec une fuite rare mais grave. Elle protège d’abord ce qui menace le plus son activité.