Probabilité contre gravité, par écrit et avec un responsable
Nous apprécions les risques pesant sur votre infrastructure, votre réseau et vos applications, les classons en termes clairs et vous aidons à décider ce qu'il faut traiter, transférer ou accepter.
Présentation
Ce que vous apporte une appréciation des risques
Toute décision de sécurité est un pari sur deux choses : la probabilité qu'un événement survienne et la gravité de ses conséquences. L'appréciation des risques rend ce pari explicite, pour que le budget aille aux risques qui comptent et non aux plus bruyants.
Nous identifions ce que vous devez protéger, ce qui le menace et quelles vulnérabilités rendent la menace réelle. Chaque risque reçoit une probabilité, une gravité, un propriétaire et une décision. La méthode s'appuie sur des guides reconnus tels que l'ISO/IEC 27005 et le NIST SP 800-30, à l'échelle de votre organisation.
Le résultat est un registre des risques que vos équipes peuvent tenir à jour, pas une carte de chaleur qui s'efface sur une diapositive. Il nourrit aussi les exigences fondées sur une approche par les risques, comme l'ISO/IEC 27001, NIS 2 et DORA.
À qui s'adresse ce service
Les organisations qui doivent présenter une appréciation des risques documentée pour l'ISO/IEC 27001, NIS 2, DORA, un client ou un assureur, et les équipes qui doivent décider où ira le prochain budget sécurité. Utile aussi avant un changement important : une migration, un nouveau produit ou un nouveau fournisseur.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Actifs et contexte
Les systèmes, données, processus et fournisseurs qui comptent, leurs propriétaires et ce que l'activité attend d'eux.
Infrastructure et réseau
Les risques liés à l'architecture réseau, aux serveurs, aux postes, aux services cloud et aux accès distants, appréciés à partir de l'architecture et de la configuration.
Risques applicatifs
Les risques des applications que vous développez ou utilisez : authentification, traitement des données, intégrations et déploiement.
Menaces et vulnérabilités
Des scénarios de menace réalistes confrontés aux faiblesses relevées, y compris les résultats des tests dont vous disposez déjà.
Registre des risques
Chaque risque avec sa probabilité, sa gravité, son propriétaire, les mesures existantes et le niveau résiduel, dans un format que vous pouvez maintenir.
Options de traitement
Pour chaque risque, une recommandation pour le réduire, l'éviter, le transférer ou l'accepter, avec les mesures et l'effort associés.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des critères de risque et des interlocuteurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition
Une proposition commerciale précisant la méthode, le périmètre et le type de contrat qui vous convient.
Collecte
Ateliers avec les propriétaires, revue des documents et de l'architecture, et vérifications techniques lorsque le périmètre le demande.
Analyse
Les risques évalués en probabilité et en gravité, comparés à vos critères et classés.
Restitution
Le registre, un rapport de synthèse pour la direction et un rapport technique pour les équipes qui traiteront les risques.
Clôture
Clôture du projet avec vos retours et, en option, un accompagnement pendant la mise en œuvre du plan de traitement.
Ce que vous recevez
- Méthode d'appréciation et critères d'acceptation des risques
- Inventaire des actifs du périmètre apprécié
- Registre des risques avec propriétaires et niveaux
- Plan de traitement des risques avec mesures recommandées
- Rapport de synthèse pour la direction
- Rapport technique pour les équipes chargées des actions
Questions
Une appréciation des risques est-elle un test d'intrusion ?
Non. Un test d'intrusion montre comment des faiblesses précises peuvent être exploitées. L'appréciation des risques couvre tout le périmètre et cherche quels risques comptent le plus. Les résultats de tests l'alimentent, et elle indique en retour où un test vaut la peine.
Quelle méthode utilisez-vous ?
Une méthode adaptée à votre taille et aux référentiels sur lesquels vous rendez compte, en général inspirée de l'ISO/IEC 27005 ou du NIST SP 800-30. Si vous avez déjà une méthode, nous l'utilisons.
Peut-on accepter un risque plutôt que le corriger ?
Oui, s'il reste dans vos critères d'acceptation et que son propriétaire le valide. Accepter un risque est une décision légitime. L'oublier ne l'est pas.
À quelle fréquence la renouveler ?
À intervalles planifiés et à chaque changement significatif. L'ISO/IEC 27001, par exemple, attend les deux. Nous vous aidons à fixer un rythme adapté à la vitesse à laquelle vous changez.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Gouvernance et risquesGestion des risques tiersRisques fournisseurs avec Black Fox Security : inventaire, classement, questionnaires, revue des preuves et clauses contractuelles, en lien avec NIS 2 et DORA.
Vos risques sur une seule page
Dites-nous ce que vous exploitez et ce qui vous inquiète. Nous vous aidons à le peser.