Le risque correspond à la probabilité qu'un incident grave survienne et à son impact. En sécurité, le risque englobe trois éléments : une menace, une vulnérabilité et un impact. Une équipe de ransomware représente la menace. Un serveur non patché constitue la vulnérabilité. Les pertes de revenus et les interruptions de service représentent l'impact. Supprimez l'un de ces trois éléments et le risque disparaît. Patchez le serveur et la vulnérabilité est éliminée. Bloquez l'infrastructure de l'équipe de ransomware et la menace est réduite. Mettez les données critiques hors ligne et l'impact diminue.

Le risque n'est pas binaire. Il se situe sur un continuum. Certains risques sont acceptables. Une petite entreprise peut tolérer le risque de piratage de son site web. En revanche, elle ne peut pas se permettre de perdre les données de paiement de ses clients. La différence réside dans l'impact. L'évaluation des risques quantifie cet impact. Elle consiste à identifier les problèmes potentiels, leur probabilité et leur coût. Elle compare ensuite le coût du risque au coût de son atténuation. Dépenser 100 000 $ pour protéger un actif d'une valeur de 10 000 $ n'est pas une bonne gestion des risques. En revanche, dépenser 10 000 $ pour protéger un actif d'un million de dollars l'est. Le calcul est rarement précis, mais cet exercice oblige à établir des priorités. Tous les risques ne peuvent être éliminés. L'objectif est de comprendre lesquels sont les plus importants.

Composantes du risque

• Menace — qui ou quoi pourrait causer du tort
• Vulnérabilité — la faiblesse qu'ils pourraient exploiter
• Impact — les dégâts s'ils réussissent
• Probabilité — la probabilité que cela se produise

Le risque est le langage des affaires. Les équipes de sécurité qui le maîtrisent obtiennent des budgets. Celles qui ne parlent que de menaces n'en obtiennent pas.