Relier les besoins de protection et les risques

Les besoins de protection décrivent l’impact ; le risque décrit des scénarios

Les besoins de protection répondent à la gravité des dommages causés à un actif ou à un processus cible. L'analyse des risques ajoute à cette vue les menaces, les vulnérabilités, les probabilités et les garanties.

Lorsque les deux axes de travail restent séparés, des lacunes apparaissent. Un actif cible peut avoir des besoins de protection élevés sans que les risques correspondants soient priorisés. À l’inverse, une décision en matière de risque peut être difficile à expliquer lorsque ses besoins en matière de protection ne sont pas clairement documentés.

Un modèle partagé réduit les contradictions

Les équipes doivent connecter directement les décisions relatives aux besoins de protection aux actifs, données, processus et dépendances cibles. L’analyse des risques peut ensuite s’appuyer sur cette structure et expliquer les décisions en matière de sauvegarde.

Le modèle partagé est particulièrement utile dans les discussions avec les équipes commerciales : l'impact sur la confidentialité, l'intégrité et la disponibilité est visible avant que les mesures de protection individuelles ne soient débattues.

• Expliquer les besoins de protection pour chaque actif cible et objectif de sécurité
• Retracer les risques jusqu'aux actifs cibles concernés
• Relier les décisions de sauvegarde aux besoins de protection et au risque résiduel

Ce qui compte le plus dans un audit

Les auditeurs recherchent des décisions cohérentes : pourquoi un actif cible a-t-il été classé comme élevé ? Quelles garanties suivre ? Quels risques restent ouverts ? Qui a approuvé la décision ?

Un bon SMSI peut répondre à ces questions sans enquête distincte. Cela nécessite des besoins de protection, une analyse des risques, un statut de sauvegarde et des preuves pour partager un même contexte de travail.