Une évaluation des risques permet d'identifier les incidents potentiels, leur probabilité et leur coût. Elle établit une liste hiérarchisée des risques afin d'allouer les ressources là où elles sont le plus nécessaires. Sans elle, les dépenses de sécurité relèvent de la conjecture. Grâce à elle, les décisions sont justifiées. Un hôpital pourrait considérer l'exposition des données des patients comme son principal risque. Un fabricant pourrait privilégier les arrêts de production. Ce classement dépend de l'activité de l'entreprise, et non d'une liste de contrôle standardisée.

Le processus débute par l'identification des actifs. Que protégez-vous ? Données clients, propriété intellectuelle, systèmes financiers, infrastructure physique ? Vient ensuite la modélisation des menaces : qui pourrait attaquer ces actifs et comment ? Puis l'analyse des vulnérabilités : quelles sont les faiblesses existantes ? Enfin, l'évaluation de l'impact et de la probabilité. Une évaluation qualitative utilise des étiquettes telles que « élevé », « moyen » et « faible ». Une évaluation quantitative attribue des valeurs monétaires et des probabilités. La plupart des organisations utilisent une approche mixte. L'approche qualitative est plus rapide et suffisante pour la priorisation. L'approche quantitative est plus justifiable pour la gestion budgétaire. L'évaluation n'est pas un événement ponctuel. L'entreprise évolue. De nouveaux systèmes apparaissent. Les anciens risques disparaissent. Une évaluation des risques datant de deux ans est un document obsolète.

Étapes d'évaluation des risques

• Identifier les actifs et leur valeur
• Identifier les menaces et les acteurs de la menace
• Identifier les vulnérabilités
• Évaluer la probabilité et l'impact
• Prioriser et documenter
• Examiner et mettre à jour régulièrement

Une évaluation des risques qui reste lettre morte n'est qu'un exercice théorique. Sa valeur réside dans les décisions qu'elle permet d'éclairer.