La quantification des risques de cybersécurité désigne une approche de l’évaluation des risques utilisant des modèles mathématiques et statistiques permettant de valoriser en termes financiers les conséquences des évènements cyber.
L’agence de notation Moody’s déclarait en 2021 : « La multiplication des mandats de cybersécurité, le contrôle de la conformité et les coûts plus élevés des cyber-incidents façonnent des organisations qui ont de plus en plus besoin de communiquer avec les parties prenantes sur l’exposition financière au risque cybernétique. Par conséquent, nous considérons l’utilisation croissante des pratiques de quantification du risque cybernétique (Cyber Risk Quantification) comme un facteur positif ».
Cette approche quantitative vivement recommandée gagne du terrain dans les analyses de risques de cybersécurité menées au sein des grandes entreprises du Nasdaq et du Dow Jones. La quantification des risques de cybersécurité est alors exploitée comme un outil d’aide à la prise de décision business qui va parler au Board de ces grands groupes. Ce segment de marché est pris d’assaut par des éditeurs logiciels conscients de la demande et du besoin d’industrialisation des analyses quantitatives. Au-delà des déclarations, l’agence Moody’s est positionnée en fer de lance de la Cyber Risk Quantification (CRQ) à travers son partenariat avec la société de rating cyber BitSight qui a développé une solution de CRQ avec l’appui de l’éditeur logiciel Kovrr. Ces solutions de CRQ apportent un second souffle aux méthodes quantitatives qui rappelons-le ne sont pas si récentes. A titre d’exemple, la méthodologie FAIR (Factor Analysis of Information Risk) a été développée depuis 2005 par le FAIR Institute aux Etats-Unis.
Concomitamment, nos entreprises francophones tendent à appliquer des méthodologies qualitatives (EBIOS Risk Manager est la méthode la plus citée aujourd’hui), elles-mêmes promues par les agences nationales de cybersécurité en France, en Belgique et en Suisse. La qualification des risques de cybersécurité est une évaluation des risques à partir de données non mesurables et subjectives collectées auprès des métiers et de l’IT.
Du fait des bénéfices attendus, faut-il abandonner l’approche qualitative au profit d’une approche quantitative ? Utiliser les 2 approches ? Pourquoi l’analyse de risques quantitative se fait difficilement une place sur le marché francophone alors que nos acteurs de la sécurité informatique entendent parler de quantification du risque de façon récurrente dans les forums Cyber ?
Les réponses apportées par la quantification des risques de cybersécurité
Une des réponses à la faible diffusion de l’approche quantitative des risques dans les entreprises francophones réside dans les cas d’usage auxquels elle répond. La quantification des risques est employée pour :
· Communiquer en termes d’exposition financière sur les risques cyber à un comité exécutif.
· Accompagner la prise de décision du comité exécutif.
· Mettre en avant le Return On Investment du Plan de Traitement des Risques.
· Décider ou non de souscrire à une cyber assurance.
· Définir le bon niveau de police d’assurance aligné avec son exposition financière face au risque cyber.
· Améliorer sa cote de crédit intégrant désormais la notation en matière de cybersécurité de l’entreprise.
Sur le terrain, ces cas d’usage commencent à peine à émerger et surtout restent cantonnées à quelques entreprises francophones très matures qui souhaitent considérer la cybersécurité comme un axe de leur modèle de gouvernance.
Les Directions des Systèmes d’Information ont l’habitude de présenter les grands risques de cybersécurité et de défendre leurs programmes d’investissement dans la cybersécurité pour y répondre auprès de leur Direction. Mais les comités exécutifs sont de plus en plus exigeantset beaucoup attendent de la quantification des risques un moyen de prédire les pertes associées aux cyber-incidents et de rationaliser les budgets pour couvrir a minima ces pertes. Tirant des enseignements de cyberattaques vécues ou observées dans des entreprises du même secteur ou de même dimension, les dirigeants ont conscience qu’ils ne pourront pas échapper à la cybermenace. L’enjeu désormais est de se concentrer sur des mesures de sécurité qui peuvent limiter les impacts pour la continuité opérationnelle et pour les résultats de l’entreprise en cas de survenance d’une cyberattaque.
Une vision financière du risque cyber basée sur des modèles statistiques
Les indicateurs chiffrés de l’approche quantitative sont rassurants et concrets pour un comité exécutif qui veut comprendre combien lui coûterait son pire cas de scénario de risques, et quels sont les investissements nécessaires pour réduire cet impact pécuniaire. L’utilisation de la quantification permet de présenter les conséquences d’incidents de cybersécurité avec des valeurs en € ou $, qui sont comprises de tout membre du ComEx, contrairement aux incidents cyber.
Le risque cyber devient le résultat d’un calcul associant probabilité de survenance et valeurs d’impacts d’événements redoutés. La méthode de calcul de Monte Carlo appliquée à la méthodologie FAIR par exemple est une technique mathématique qui permet d’estimer cette probabilité. Cette démarche probabiliste s’oppose à la vision empirique du risque perçu comme un événement incertain dont on ne peut maîtriser la survenance et les effets.
La quantification des risques cyber contribue à un mouvement global de recours au Big Data pour déployer des modèles de prédictions de plus en plus performants en s’appuyant sur des données de plus en plus nombreuses relatives aux incidents de sécurité et à leurs conséquences.
L’idée de la Cyber Risk Quantification est de consolider des ensembles de données internes et externes (données de base sur l’entreprise – taille, secteur, emplacement, CA – données du contrôle interne, données sur les programmes de cybersécurité menés par la DSI, données observable de l’extérieur à travers des logiciels de Rating par exemple) pour alimenter un moteur de calcul capable d’aboutir en sortie à une liste de risques cyber priorisés selon leurs conséquences opérationnelles et financières et à un Plan de Traitement des Risques budgété et justifié par la priorisation des risques. Les logiciels enrichissent la méthodologie d’analyse quantitative par leurs bases de données sur la cybermenace et leur modèle algorithmique. Ils contribuent à la fourniture de résultats et d’indicateurs fins qu’une approche manuelle ne pourrait pas produire.
Des entrants plus complexes à déterminer
La quantification des risques de cybersécurité prétend à une fiabilité mathématique issue d’algorithmes. En complétant les logiciels de Cyber Risk Quantification, on constate que ces derniers sont très consommateurs en données précises. Par conséquent, moins une entreprise est capable d’agréger des informations financières et cyber fiables sur sa situation en s’appuyant sur ses équipes et ses logiciels métiers, supports et IT, plus les résultats en sortie du logiciel de CRQ seront discutables et discutés par le Comex Il faut souvent combler le manque de data des entreprises par des estimations qui ne collent pas avec le cadre rigoureux de méthodologies quantitatives, et encore moins avec des outils automatisés.
L’implémentation de la méthode devient vite une course à l’information chronophage et surtout incomplète. La diversité et la précision des données attendues pour implémenter une méthodologie quantitative implique l’intervention de sachants qu’il est souvent difficile de réunir autour d’une analyse de risques. Il serait par exemple pertinent de faire intervenir des interlocuteurs tels que la direction administrative et financière afin d’établir le profil financier de l’entreprise pour dresser au mieux le tableau adéquat de l’exposition financière de l’entreprise face à des risques cyber. Il est requis d’intégrer et de valoriser les hypothèses d’actions et de temps de gestion d’incident ou de crise cyber en termes de frais d’investigation, de frais de remédiation. Ces éléments sont détenus par un SOC et/ou la Direction des Systèmes d’Information et potentiellement enregistrés dans une multiplicité d’outils, ce qui ne facilite pas la tâche des analystes risques. En définitive, le processus de gestion des risques dans un modèle quantitatif doit évoluer et se nourrir de plusieurs expertises sur le volet financier de l’entreprise, l’évaluation de la performance des mesures de sécurité, les coûts des activités cyber ou IT d’audit, d’investigation, de remédiation. L’obtention d’un tel niveau d’expertise nécessite une forte maturité en gestion des risques d’entreprise et une forte adhésion au processus de gestion des risques par l’ensemble des collaborateurs.
Par ailleurs, il est difficile pour un non-praticien des modèles statistiques d’expliciter les résultats obtenus via un logiciel. Cela demande de faire confiance à un moteur de calcul et cet argument peut générer du doute auprès d’une Direction qui a besoin de comprendre les tenants et les aboutissants des chiffres consolidés. Il est recommandé que le porteur de l’analyse de risques dispose d’une bonne maîtrise des grandes lignes des algorithmes afin de garantir la crédibilité des résultats devant les parties prenantes de l’analyse dont la Direction.
L’analyse quantitative, oui dans certains cas
L’approche qualitative des risques de cybersécurité a encore de beaux jours devant elle dans les entreprises francophones. Défendue par les agences nationales de cybersécurité, elle a à son avantage de reposer sur le consensus des métiers et de l’IT quant aux risques cyber à adresser en se fondant sur des critères de risques partagés par tous, compréhensibles et lisibles dans les échelles de risques. La méthode qualitative étant davantage répandue et promue, elle est bien connue des auditeurs de certification et est encore à privilégier en cas d’audit de certification d’un Système de Management de la Sécurité de l’Information ISO 27001. L’approche quantitative plaît, intrigue mais peu d’entreprises francophones passent le pas car cette approche nécessite un outillage logiciel, est méthodologiquement difficile à expliquer à quidam, et est longue à implémenter. Le temps qui devrait être gagné sur la recherche de consensus est remplacé par d’importantes périodes de collecte de données. Il faut aussi répercuter des coûts non négligeables de formation à la méthodologie et au logiciel associé, de licences logicielles et de réalisation de l’analyse. Le jeu en vaut-il la chandelle ?
Almond vous recommande de choisir une approche quantitative si :
· Vous avez déjà réalisé des exercices d’analyses de risques,
· Vous êtes dans un des cas d’usage exposés plus haut,
· C’est un choix méthodologique porté et imposé par votre Direction,
· Si votre processus de gestion des risques est suffisamment mature pour évoluer et impliquer des contributeurs capables d’apporter le niveau de précision nécessaire aux données entrantes,
· Votre orientation Big Data est en forte progression.
Nous constatons que la distinction entre quantitatif et qualitatif n’est pas si nette et qu’à l’avenir les méthodes qualitatives embarquant du quantitatif vont probablement se développer dans toutes les entreprises pour deux motifs :
· La valorisation financière de l’exposition au risque peu importe sa nature demeure un langage commun et parlant pour faciliter les prises de décisions et la gouvernance. C’est un indicateur fort qui permet à une Direction de rapprocher et comparer les données sur les grands risques de son entreprise.
· L’expérimentation de plus en plus fréquente d’incidents de cybersécurité génère la création de bases de données riches et structurées qui permettront au fil du temps d’alimenter finement les modèles.
Comme souvent en sécurité, c’est au niveau du facteur humain que le bât blesse, quid de la compétence et la capacité à maîtriser ces outils et ces méthodes mixtes dans des processus humainement gérés ?
Les plus de la Cyber Risk Quantification
· Outil de Gouvernance Business lisible d’un Comité Exécutif
· Valorisation de l’exposition financière au risque cyber et du ROI du Plan de Traitement des Risquespermettant de justifier les investissements nécessaires à la cybersécurité et/ou de définir son besoin de couverture du risque par une cyber assurance
· Valeur ajoutée des logiciels de CRQ et de leur exploitation du Big Data
Les moins de la Cyber Risk Quantification
· Forte maturité en gestion de risques requise pour s’y aventurer
· Agrégation chronophage d’une diversité de données, de parties prenantes, de sources
· Recours à un logiciel d’analyse de risques fortement recommandée
· Frais de formation et de licences
· Méconnaissance de la CRQ des auditeurs de certification dans le paysage francophone
· Résultats contestables car n’émanant pas d’un consensus explicite mais d’un algorithme perçu comme abscons
Par Florence EXMELIN, Consultante gouvernance, risques et conformité chez Almond
