La probabilité d'un risque est liée à la probabilité de la menace correspondante.
L'impact d'un risque est l'impact maximal sur les enjeux métier pour la valeur métier associée, en prenant en compte les besoins DICP (Disponibilité, Intégrité, Confidentialité et Preuve).
🔎 Cette définition des besoins DICP est importante pour appliquer les bonnes menaces aux bonnes valeurs métier. C'est pour cela qu'ils sont appliqués sur les menaces et les échelles d'enjeux métier.
Donc, par exemple, l'échelle Réputations sera liée au besoin DICP Intégrité et Confidentialité
Selon ces critères, les risques sont créés avec un niveau de probabilité et d'impact initial.
⚠️ Vous ne pouvez pas modifier ces niveaux directement dans le risque. Il faut donc ajuster votre analyse de risque pour avoir les niveaux nécessaires.
Toute modification dans l'analyse de risque a un impact sur tous les risques issus de votre analyse de risque.
Ajuster le niveau d'impact initial
Tenacy calcule le niveau d'impact initial avec ces 3 critères :
le niveau d'impact de la valeur métier
le type d'impact de la menace
l'échelle d'enjeux métier
Prenons un exemple concret pour illustrer notre besoin d'ajuster notre analyse de risque.
Voici le risque que nous souhaitons ajuster :
Nous souhaitons ajuster l'impact initial de Faible à Moyen.
Notre niveau d'impact de la menace est sur la Disponibilité uniquement selon la matrice DICP :
Si nous reprenons l'échelle d'enjeux métier ci-dessous :
Par rapport à la menace, la Disponibilité est présente sur le niveau Revenus :
Notre valeur métier associée à ce risque comporte ces différents niveaux d'impact :
Donc, si nous souhaitons ajuster le niveau d'impact de notre risque, il faut donc modifier le niveau d'impact de la valeur métier sur Revenus en passant de Modéré à Important :
Après cette modification, il faut synchroniser de nouveau l'analyse de risque.
À la suite de cette synchronisation, le risque est bien mis à jour sur son niveau d'impact initial :
Ajuster le niveau de probabilité initial
Nous souhaitons modifier le niveau de probabilité initiale de ce même risque en passant de Moyen à Très faible :
Il faut donc retourner sur notre analyse de risque et modifier le niveau de probabilité de la menace liée au risque :
Après la synchronisation de notre analyse, le risque est bien modifié :
