{"id":39,"date":"2023-11-06T10:00:00","date_gmt":"2023-11-06T09:00:00","guid":{"rendered":"https:\/\/iqcyber.org\/?p=39"},"modified":"2023-11-07T11:43:00","modified_gmt":"2023-11-07T10:43:00","slug":"fair-spice-seuils-de-decision-strategique-pour-le-decideur-dans-le-management-de-son-risque-cyber","status":"publish","type":"post","link":"https:\/\/iqcyber.org\/?p=39","title":{"rendered":"FAIR \u2013 SPICE Seuils de d\u00e9cision strat\u00e9gique pour le d\u00e9cideur dans le management de son risque cyber"},"content":{"rendered":"\n<p><em>Les pr\u00e9occupations et les responsabilit\u00e9s du dirigeant face au risque cyber et aux d\u00e9cisions qu\u2019il doit prendre pour prot\u00e9ger la valeur de son entreprise en termes d\u2019investissements cyber et du financement du risque par son transfert du vers l\u2019assurance.<\/em><\/p>\n\n\n\n<p>Une attaque cyber peut affecter le d\u00e9veloppement et la cr\u00e9ation de valeur.<\/p>\n\n\n\n<p>Au vu du contexte actuel \u2013 digitalisation des organisations, t\u00e9l\u00e9travail impos\u00e9 par la crise sanitaire, mont\u00e9e en puissance des attaques cyber, la cyber s\u00e9curit\u00e9 n\u2019est plus une option et l\u2019appr\u00e9hender comme un simple centre de co\u00fbt ni m\u00eame une activit\u00e9 qualifi\u00e9e de <em>cost avoidance<\/em> n\u2019est plus satisfaisant. L\u2019id\u00e9e fait son chemin, <em>les investissements en cyber s\u00e9curit\u00e9 participent au d\u00e9veloppement et \u00e0 la protection de la cr\u00e9ation de valeur<\/em>. Oui mais o\u00f9 investir, dans quelle proportion avec <em>quel retour sur investissement<\/em> dans un environnement budg\u00e9taire contraint tout en sachant que le risque z\u00e9ro en cyber s\u00e9curit\u00e9 n\u2019existe pas et que l\u2019obsolescence de l\u2019investissement cyber est rapide compte tenu de la vitesse de l\u2019\u00e9volution des usages et des technologies ainsi que de la sagacit\u00e9 des attaquants. A un moment, la courbe des investissements cyber devient exponentielle alors que le risque demeure. Que d\u00e9cider, quels sont les seuils de d\u00e9cision. <em>Sur quels indicateurs fonder une d\u00e9cision objectiv\u00e9e<\/em>&nbsp;?<\/p>\n\n\n\n<p><\/p>\n\n\n\n<p>Le d\u00e9cideur est confront\u00e9 \u00e0 des demandes de validation de budgets massifs en p\u00e9riode d\u2019\u00e9volution critique du syst\u00e8me d\u2019information et, selon la taille de l\u2019organisation, il peut ne pas avoir la vue sur la ventilation du budget de son DSSI ou de son RSSI. A l\u2019inverse, les DSSI et les RSSI peuvent \u00e9prouver de la difficult\u00e9 \u00e0 justifier et valider leurs budgets op\u00e9rationnels. Toutefois, l\u2019interrogation est partag\u00e9e, <em>quel est le co\u00fbt des impacts directs et indirects d\u2019une attaque cyber<\/em>, <em>quel est le niveau d\u2019exposition de l\u2019organisation<\/em>, <em>quels sont les investissements n\u00e9cessaires<\/em> <em>pour que les impacts financiers pour l\u2019entreprise soient minima<\/em>, <em>comment financer le risque<\/em> et quelles en sont les options&nbsp;?&nbsp;<\/p>\n\n\n\n<p>Comment puis-je en tant que dirigeant <em>justifier aupr\u00e8s du conseil d\u2019administration<\/em>, des fonds d\u2019investissement qu\u2019il est urgent d\u2019investir&nbsp;sans \u00eatre en mesure de pr\u00e9senter un retour sur investissement et lorsque le risque cyber ne peut pas \u00eatre mat\u00e9rialis\u00e9 en tant que tel dans un bilan comptable ?&nbsp;<\/p>\n\n\n\n<p>L\u2019autre question du dirigeant est celle de <em>la RCMS<\/em> \u2013 quand est-il de ma responsabilit\u00e9 en tant que mandataire social face au risque cyber?<\/p>\n\n\n\n<p>A l\u2019heure d\u2019aujourd\u2019hui, aux questions pos\u00e9es, des r\u00e9ponses d\u2019ordre technique&nbsp;sont apport\u00e9es : voici ce qui est d\u00e9pens\u00e9 dans la protection, la d\u00e9tection, le traitement des incidents et la continuit\u00e9 d\u2019activit\u00e9, voici ce qui va permettre d\u2019assurer la confidentialit\u00e9, l\u2019int\u00e9gralit\u00e9 et la disponibilit\u00e9 des donn\u00e9es dans le respect de la r\u00e9glementation (ex. RGDP). L\u2019analyse de risque doit d\u00e9sormais contenir un volet financier comme pr\u00e9conis\u00e9 dans la d\u00e9marche ANSSI AMRAE \u2013 Comprendre son risque num\u00e9rique \u00e9tape 4 ou dans le cadre d\u2019une d\u00e9marche globale d\u2019analyse du risque telle que EBIOS Risk Management. N\u00e9anmoins, les analyses de risque avec un volet <em>Business Impact Assessment<\/em> n\u2019offrent pas une vue holistique pour un risque de niveau <em>Entreprise Risk<\/em>.<\/p>\n\n\n\n<p>Nous proposons de <em>changer de paradigme et d\u2019aborder le cyber sous l\u2019angle financier par une approche par le risque business (et son corollaire l\u2019opportunit\u00e9) afin de <\/em>le <em>traduire en acceptabilit\u00e9 du risque en ayant connaissance du niveau exposition de l\u2019organisation<\/em>. En l\u2019absence de normes comptables pour les donn\u00e9es intangibles et immat\u00e9rielles, il s\u2019agit de confronter la technique aux enjeux m\u00e9tiers et traduire ces derniers en des termes financiers des impacts directs et indirects pour faciliter la prise de d\u00e9cision.<\/p>\n\n\n\n<p>Est-ce possible de traduire le risque cyber en des termes financiers&nbsp;?&nbsp;<\/p>\n\n\n\n<p>Oui, deux m\u00e9thodes peuvent le faire sur la base de sc\u00e9narios d\u2019attaque rapport\u00e9s au m\u00e9tier et \u00e0 l\u2019activit\u00e9 de l\u2019organisation. La difficult\u00e9 principale de la traduction en termes financiers des cons\u00e9quences financi\u00e8res d\u2019une attaque cyber est essentiellement <em>la probl\u00e9matique de la capacit\u00e9 \u00e0 prendre en compte plusieurs risques en m\u00eame temps<\/em>. De plus, la quantification financi\u00e8re d\u2019un sc\u00e9nario m\u00e9tier n\u2019est pas \u00e9gale \u00e0 la somme des diff\u00e9rentes \u00e9tapes qui composent le ou les sc\u00e9narios. Plusieurs incidents se d\u00e9roulent en parall\u00e8le. Le total des impacts n\u2019est pas \u00e9gal \u00e0 la somme des impacts car certains sont transverses. <em>Ce qui rend complexe la m\u00e9thode de calcul des accumulations<\/em>.&nbsp;<\/p>\n\n\n\n<p>De m\u00eame, <em>une approche par risque unitaire ne permet pas d\u2019appr\u00e9cier financi\u00e8rement les mesures de mitigation qui permettront de r\u00e9duire l\u2019impact financier sur plusieurs sc\u00e9narios<\/em>. En l\u2019\u00e9tat de l\u2019art, il est impossible de remonter (d\u2019agr\u00e9ger) tous les co\u00fbts unitaires des incidents qui dessinent un sc\u00e9nario d\u2019attaque du niveau <em>Risk<\/em> <em>Entreprise<\/em>.<\/p>\n\n\n\n<p>En revanche, <em>deux m\u00e9thodes apportent des \u00e9l\u00e9ments de quantification financi\u00e8re \u00e0 partir de sc\u00e9narios m\u00e9tier<\/em>. <em>Compl\u00e9mentaires, elles n\u2019adressent pas le m\u00eame niveau de risque<\/em>. Leur combinaison permet d\u2019avoir une vue correcte sur les impacts financiers. Mais il faudra aller plus loin dans la r\u00e9flexion pour avoir une vue consolid\u00e9e de bout en bout des impacts financiers op\u00e9rationnels et strat\u00e9giques d\u2019un ou plusieurs sc\u00e9narios d\u2019attaque.&nbsp;<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<p id=\"_ftnref1-2\">Les m\u00e9thodes FAIR<sup><a href=\"#_ftn1\">[1]<\/a><\/sup> et SPICE<sup><a href=\"#_ftn2\">[2]<\/a><\/sup> permettent de quantifier financi\u00e8rement le risque cyber.&nbsp;<\/p>\n\n\n\n<ul>\n<li>FAIR permet de quantifier financi\u00e8rement des incidents cyber probables, fr\u00e9quents \u00e0 faibles impacts financiers pris individuellement mais qui deviennent importants lorsqu\u2019ils se cumulent.<\/li>\n<\/ul>\n\n\n\n<ul>\n<li>SPICE quantifie l\u2019impact financier de sc\u00e9narios d\u2019attaque catastrophiques qui mettent en danger la r\u00e9silience de l\u2019organisation \u00e0 faible probabilit\u00e9 et haut impact financier par nature.<\/li>\n<\/ul>\n\n\n\n<p>FAIR s\u2019adresse aux RSSI et <em>risk managers<\/em> et leur permettant de calculer le co\u00fbt cyber \u00e0 un niveau op\u00e9rationnel. On entend par risque op\u00e9rationnel cyber, le risque qu\u2019un incident cyber affecte la confidentialit\u00e9, l\u2019int\u00e9grit\u00e9 et la disponibilit\u00e9 de quelques serveurs, postes de travail, applications et donn\u00e9es. FAIR est l\u2019outil des RSSI. Ses r\u00e9sultats justifient les demandes de budget aupr\u00e8s de la DSSI voire de la Direction financi\u00e8re&nbsp;pour arbitrer entre investissements pour le d\u00e9ploiement, par exemple, d\u2019un nouvel ERP dans le budget allou\u00e9 aux syst\u00e8mes d\u2019information. FAIR quantifie l\u2019op\u00e9rationnel. Dans son radar, FAIR met en \u00e9vidence les faiblesses de l\u2019organisation dans le traitement des risques \u00e0 impact normal et probabilit\u00e9 (fr\u00e9quence) normale. Une vision technique avec comme enjeu de d\u00e9fendre d\u2019un budget technique sur une ann\u00e9e mais sans pouvoir justifier le ratio d\u2019investissement cyber en regard du&nbsp; niveau de r\u00e9silience de l\u2019organisation face \u00e0 une menace en constante \u00e9volution.&nbsp;<\/p>\n\n\n\n<p>Or, le d\u00e9cideur a besoin d\u2019\u00e9l\u00e9ments objectifs qui lui permettent de faire des arbitrages sur les 5 prochaines ann\u00e9es par rapport \u00e0 ses enjeux m\u00e9tiers. Si j\u2019investi l\u00e0 vous me le demandez, serais-je mieux prot\u00e9g\u00e9 dans les ann\u00e9es \u00e0 venir au regard de Business Plan et des objectifs annonc\u00e9s&nbsp;? Rapporter le cyber au Business. Que faire pour que les d\u00e9penses en cyber s\u00e9curit\u00e9 deviennent un levier de croissance de mon activit\u00e9&nbsp;? Ramener la question du cyber aux enjeux m\u00e9tiers.<\/p>\n\n\n\n<p>Comment d\u00e9cider, en l\u2019absence d\u2019indicateurs de performance, de retour sur investissement des investissements en cyber s\u00e9curit\u00e9&nbsp;?<\/p>\n\n\n\n<p>L\u2019approche par le calcul et la r\u00e9duction des impacts financiers de sc\u00e9narios catastrophiques selon la m\u00e9thode SPICE apporte des r\u00e9ponses aux questions ci-pos\u00e9es.&nbsp;<\/p>\n\n\n\n<p>SPICE permet de quantifier financi\u00e8rement des sc\u00e9narios m\u00e9tiers d\u2019attaque par un vecteur cyber dont les impacts directs et indirects sont catastrophiques car ils atteignent le niveau de r\u00e9silience de l\u2019organisation. Le point o\u00f9 les plans de continuit\u00e9 d\u2019activit\u00e9 et le plan de reprise d\u2019activit\u00e9 ne donneront pas tous les r\u00e9sultats escompt\u00e9s en termes de temporalit\u00e9 pour un retour \u00e0 une activit\u00e9 nominale.&nbsp;<\/p>\n\n\n\n<p>SPICE a \u00e9t\u00e9 cr\u00e9\u00e9 <em>pour r\u00e9pondre \u00e0 4 questions simples<\/em> : quel est le co\u00fbt d\u2019une attaque cyber majeure, quelle est l\u2019exposition de mon entreprise au risque cyber&nbsp;; est-ce qu\u2019avec ces nouveaux investissements suis-je plus prot\u00e9g\u00e9&nbsp;; comment puis-je financer mon risque par une assurance d\u00e9di\u00e9e&nbsp;? Et permettre au dirigeant de se positionner sur les 3 options qui se pr\u00e9sentent \u00e0 lui&nbsp;: je ne souhaite pas que cela m\u2019arrive&nbsp;; si cela m\u2019arrive il ne faut pas que cela me co\u00fbte plus que tant&nbsp;; je souhaite financer une partie de mon risque.<\/p>\n\n\n\n<p>SPICE permet de r\u00e9fl\u00e9chir via le prisme de la r\u00e9duction de l\u2019impact&nbsp;: est-ce qu\u2019un sc\u00e9nario grave peut se produire par un vecteur cyber, ou bien est-ce que le cyber est un facteur aggravant&nbsp;? En effet, la dimension humaine de l\u2019attaquant doit \u00eatre prise en compte. Ce dernier cherche \u00e0 tirer le profit maximum de son action. Il souhaite faire le plus mal possible et obliger sa cible \u00e0 payer. C\u2019est ce que montre l\u2019\u00e9volution du <em>business model<\/em> des <em>ransomware<\/em> o\u00f9 l\u2019attaquant met sa cible dans l\u2019obligation de payer. Les entreprises qui ne peuvent pas se permettre de voir divulgu\u00e9es des donn\u00e9es personnelles (le secteur de la sant\u00e9) sont cibl\u00e9es en priorit\u00e9.&nbsp;<\/p>\n\n\n\n<p>Penser en termes de r\u00e9duction de l\u2019impact financier d\u2019un sc\u00e9nario d\u2019attaque m\u00e9tier donne de nouvelles options en offrant une vue globale sur les investissements en cyber s\u00e9curit\u00e9 qui deviennent strat\u00e9giques d\u2019un point de vue m\u00e9tier. Cela permet d\u2019identifier quelles sont les mesures de mitigation sur lesquelles investir en priorit\u00e9 pour baisser non pas la probabilit\u00e9 d\u2019occurrence qui est faible mais l\u2019impact financier. Par exemple, une attaque qui pourrait verrouiller le syst\u00e8me d\u2019information, la production, tout ou partie de la cha\u00eene d\u2019approvisionnement, bloquerait le fonctionnement de l\u2019<em>extended entreprise<\/em> tout en chiffrant les sauvegardes \u2026&nbsp;<\/p>\n\n\n\n<p>D\u00e9terminer le niveau exposition au risque cyber de niveau <em>Entreprise risk<\/em> rend possible des arbitrages d\u2019investissements qui soutiennent la strat\u00e9gie de d\u00e9veloppement de l\u2019entreprise. Le dirigeant peut conduire ses arbitrages d\u2019un point de vue m\u00e9tier sur la base d\u2019\u00e9l\u00e9ments financiers objectifs. Le dirigeant qui peut d\u00e9fendre ses options devant son Conseil d\u2019administration et ses investisseurs et orienter la ventilation du budget de sa DSSI.<\/p>\n\n\n\n<p>La juxtaposition des deux m\u00e9thodes FAIR et SPICE offre un 360 sur les investissements n\u00e9cessaires. FAIR arbitre des investissements qui font baisser la probabilit\u00e9 d\u2019occurrence. SPICE adresse les grands risques et la r\u00e9duction des impacts financiers, les meilleures mesures \u00e0 mettre en place pour r\u00e9duire plusieurs risques. FAIR rassure les assureurs sur la baisse de la fr\u00e9quence d\u2019occurrence des sinistres. SPICE les rassure sur la baisse de leur impact financier.&nbsp;<\/p>\n\n\n\n<p>SPICE d\u00e9 risque \u00e9galement les futurs investissements et business plans, les acquisitions capitalistiques, les risques d\u2019entreprise \u00e9tendue et de <em>supply chain<\/em>.<\/p>\n\n\n\n<p><strong>Pour aller plus loin<\/strong><\/p>\n\n\n\n<p>Les deux m\u00e9thodes ne sont pas compl\u00e9mentaires dans le sens o\u00f9 le continuum entre les deux p\u00e9rim\u00e8tres qu\u2019elles adressent n\u2019est pas possible \u00e0 conduire en l\u2019\u00e9tat de l\u2019art.<\/p>\n\n\n\n<p>Pour d\u00e9passer cet obstacle, IQ Cyber souhaite approfondir ses r\u00e9flexions sur la quantification financi\u00e8re du risque cyber et les seuils de prise de d\u00e9cisions pour un dirigeant au travers du concept de \u00ab&nbsp;<em>Dette de S\u00e9curit\u00e9<\/em> \u00bb ou comment structurer, mat\u00e9rialiser des investissements cyber sur les 5 prochaines ann\u00e9es dans un bilan comptable alors que le calcul d\u2019un retour sur investissement en reste difficile \u00e0 d\u00e9terminer.&nbsp;<\/p>\n\n\n\n<p>Comment d\u00e9montrer que la cyber s\u00e9curit\u00e9 n\u2019est d\u00e9finitivement plus un centre de co\u00fbt mais qu\u2019investir permet de ne pas perdre d\u2019argent (et d\u2019en gagner). Comment traduire en termes comptables le montant du d\u00e9faut d\u2019investissement en cyber lorsque surviendra une d\u00e9faillance du syst\u00e8me d\u2019information face \u00e0 une attaque cyber&nbsp;? Peut-on pr\u00e9senter les chiffres sous forme d\u2019une dette n\u00e9gative ou positive \u00e0 terme ? Peut-on montrer que l\u2019on pourrait seulement payer des int\u00e9r\u00eats et ne pas rembourser la dette le cas \u00e9ch\u00e9ant. L\u2019objectif premier \u00e9tant de ne pas payer des int\u00e9r\u00eats exorbitants en cas de survenance d\u2019une attaque avec un fort impact financier n\u00e9cessitant une forte injection de moyens financiers pour assurer la r\u00e9silience. Ce serait un moyen de valoriser financi\u00e8rement les investissements en cyber s\u00e9curit\u00e9 et de se rapprocher d\u2019un retour sur investissement.<\/p>\n\n\n\n<p>Comment calculer l\u2019\u00e9rosion de la qualit\u00e9 financi\u00e8re des investissements cyber dont l\u2019obsolescence technique est rapide dans le temps. Int\u00e9grer cette notion.<\/p>\n\n\n\n<p>Comment identifier des investissements pour combiner probabilit\u00e9 et impact.&nbsp;<\/p>\n\n\n\n<p>Comment mieux financer, provisionner son risque cyber.<\/p>\n\n\n\n<p>Ces travaux permettront \u00e9galement d\u2019apporter de nouvelles r\u00e9ponses \u00e0 la question de la quantification financi\u00e8re de l\u2019intangible et du patrimoine immat\u00e9riel.&nbsp;<\/p>\n\n\n\n<p id=\"_ftn1\"><sup><a href=\"#_ftnref1-2\">[1]<\/a><\/sup> <a href=\"https:\/\/www.fairinstitute.org\/what-is-fair\">https:\/\/www.fairinstitute.org\/what-is-fair<\/a><\/p>\n\n\n\n<p id=\"_ftn2\"><sup><a href=\"#_ftnref1-2\">[2]<\/a><\/sup>&nbsp;Scenario Planning for Identification of Cyber Exposure. M\u00e9thode cr\u00e9\u00e9e au sein d\u2019Airbus Defence and Space en 2015 pour l\u2019activit\u00e9 de l\u2019Insurance Risk Manager en charge du risque cyber. Elle a re\u00e7u un ADS Award of Excellence en 2016. La m\u00e9thode est port\u00e9e par BSSI (Olivier Allaire). Elle est d\u00e9ploy\u00e9e chez Airbus depuis 2018 ainsi qu\u2019au sein d\u2019autres organisations. Elle correspond \u00e0 l\u2019\u00e9tape 4 du guide ANSSI-AMRAE \u2013 la ma\u00eetrise du risque num\u00e9rique (15 \u00e9tapes). Elle est promue par l\u2019AMRAE (Philippe Cotelle Administrateur). L\u2019association IQ Cyber a pour objectif d\u2019am\u00e9liorer la m\u00e9thode et promouvoir la r\u00e9flexion autour de la quantification financi\u00e8re du risque cyber et sa valorisation.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Les pr\u00e9occupations et les responsabilit\u00e9s du dirigeant face au risque cyber et aux d\u00e9cisions qu\u2019il doit prendre pour prot\u00e9ger la valeur de son entreprise en termes d\u2019investissements cyber et du financement du risque par son transfert du vers l\u2019assurance. Une attaque cyber peut affecter le d\u00e9veloppement et la cr\u00e9ation de [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[1],"tags":[6,7,5],"_links":{"self":[{"href":"https:\/\/iqcyber.org\/index.php?rest_route=\/wp\/v2\/posts\/39"}],"collection":[{"href":"https:\/\/iqcyber.org\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/iqcyber.org\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/iqcyber.org\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/iqcyber.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=39"}],"version-history":[{"count":3,"href":"https:\/\/iqcyber.org\/index.php?rest_route=\/wp\/v2\/posts\/39\/revisions"}],"predecessor-version":[{"id":47,"href":"https:\/\/iqcyber.org\/index.php?rest_route=\/wp\/v2\/posts\/39\/revisions\/47"}],"wp:attachment":[{"href":"https:\/\/iqcyber.org\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=39"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/iqcyber.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=39"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/iqcyber.org\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=39"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}