La cyber-série de l'été – volet 1

Pour ce premier volet : où en êtes-vous de vos analyses de risques sur votre SI ?

C'est là où, en général, on répond EBIOSMACHINCHOSE, 27005 et consorts, ateliers et échelles de cotation. Sauf que ce n'est pas le propos : la méthode est un outil, elle ne garantit ni la pertinence du résultat, ni sa complétude.

Une analyse de risque menée en autonomie souffre en effet d'un biais structurel : elle reflète ce que son auteur connaît, redoute ou a déjà vécu. Les scénarios médiatisés y figurent en bonne place ; les angles morts, eux, le restent. D'où la nécessité de la confronter à un regard extérieur — consultant certifié, voisin de bureau, ou ingénieur d'un domaine connexe, au hasard le biomédical ou la sécurité physique. Ces profils apportent d'autres réflexes d'analyse et, surtout, n'ont pas vos habitudes : leurs questions naïves révèlent souvent ce que trois ateliers de cotation n'ont pas vu.

Parce qu'on est toujours sûr d'avoir raison quand on discute avec soi-même. La confrontation des points de vue est salutaire pour tout le monde, quitte à se prendre quelques déceptions : un scénario jugé majeur qui laisse le relecteur de marbre, ou un point traité en deux lignes qui le fait bondir, sont précisément les signaux recherchés.

L'exercice ne coûte pas grand-chose : une heure de lecture, un café, et trois questions au relecteur — qu'est-ce qui vous surprend ? qu'est-ce qui vous paraît exagéré ? que manque-t-il, vu de votre fenêtre ?

À retenir : à la rentrée, faire relire son analyse de risque par quelqu'un qui n'en a jamais réalisé — et écouter vraiment ce qu'il en dit.

Et sinon, côté actu, je vous suggère ce numéro[1] de la chaîne Underscore consacré à la fraude aux services IPTV : infrastructures pirates, blanchiment, données des abonnés dans la nature — ça fait peur, et ça se médite très bien sous le parasol.

[1] https://youtu.be/q90GAJFq9wU?si=x7XKnwds-na1GYGY