Intégration d'une gestion des risques IT (Gravité DIC, Vraisemblance des menaces, Plan de traitement des risque)

[MCF241]

Bonjour Didier,

Nous serions intéressés par une intégration d'une gestion des risques IT (Principes de l'ISO 27005: Gravité DIC, Vraisemblance des menaces, Plan de traitement des risques) dans Mercator.

• Appréciation de la gravité des événements redoutés sur les actifs primaires (Ex.: Processus, application, informations...)
• Appréciation de la vraisemblance des menaces sur les actifs secondaires (Ex.: Matériels, logiciels, fournisseurs...)
• Estimation et évaluation du risque résultant
• Élaboration du plan de traitement des risques

Lien possible avec Deming pour le suivi du plan de traitement des risque dans un processus d'amélioration continue (ISO 27001).

Cordialement,
Miguel

[dbarzin]

Merci pour ta proposition, elle est très pertinente.

L’idée d’intégrer une gestion des risques IT directement dans Mercator est intéressante, mais nous pensons qu’il est préférable de ne pas réimplémenter une méthodologie complète d’analyse de risques dans l’outil.

Chaque organisation a en effet sa propre approche (EBIOS RM, MEHARI, ISO 27005, OCTAVE, etc.), et il serait difficile d’offrir dans Mercator un modèle aussi complet et flexible que ceux des outils spécialisés.

Notre idée actuelle est plutôt de proposer une intégration avec MONARC, afin de permettre l’export des actifs de Mercator vers MONARC.
Cela permettra :

• de générer les risques automatiquement en fonction des types d’actifs,
• de bénéficier de toute la librairie et de la méthodologie éprouvée de MONARC,
• et, à terme, de lier le plan de traitement des risques avec Deming, pour assurer le suivi dans le cadre d’un processus d’amélioration continue ISO 27001.

C’est donc une direction que nous explorons pour les prochaines évolutions. Cela devrait être disponible dans le courant de l'année prochaine.

[MCF241]

La proposition nous convient, il est évident qu'il s'agit d'une implémentation légère. Pour ma part je n'ai pas d'expérience en gestion du risque. Je te fourni une list (informative) des logiciel certifiés ANSSI (fr). https://cyber.gouv.fr/label-ebios-risk-manager