Évalue confidentialité, intégrité, disponibilité et impacts

L’idée reçue

« Une donnée sensible est forcément l’actif le plus critique. »

La confidentialité peut dominer pour certaines données, mais une perte d’intégrité ou de disponibilité peut arrêter une mission ou provoquer une décision dangereuse.

01Pose trois questions

Confidentialité
Qui subirait un dommage si l'information était divulguée ?

Intégrité
Que se passerait-il si la donnée ou la configuration était fausse ?

Disponibilité
Combien de temps la mission peut-elle fonctionner sans cet actif ?

Les trois objectifs peuvent être importants en même temps.

02Analyse la conséquence métier

Actif

Confidentialité

Intégrité

Disponibilité

Base commandes

données clients et factures exposées

montants ou statuts falsifiés

commandes impossibles à traiter

Service identité

informations de comptes révélées

rôles ou groupes modifiés

utilisateurs incapables de se connecter

Site public

peu de données publiques confidentielles

contenu ou coordonnées falsifiés

prospects incapables d’accéder au site

Sauvegardes

copie complète de données exposée

archives altérées

reprise impossible après incident

03Utilise une échelle explicite

Le lab utilise cinq niveaux pédagogiques :

low → moderate → high → severe → critical

Chaque organisation doit définir ce que ces mots signifient :

moderate
- perturbation absorbable dans la journée
- correction sans crise majeure

critical
- mission essentielle arrêtée
- dommage humain, légal ou financier majeur
- reprise urgente et coordination de direction

Sans critères, deux personnes attribuent des niveaux différents au même scénario.

04Observe la classification

lab=/tmp/soria-cyber-risk-$USER
bash module1-cyber-risk-foundations.sh setup "$lab"
bash module1-cyber-risk-foundations.sh run "$lab"
column -s, -t "$lab/output/asset-criticality.csv"

Le service identité produit :

AST-004  Service identité  HIGH  C+I+A

Cela signifie que les trois objectifs atteignent le niveau maximal déclaré pour cet actif.

05Distingue criticité d’actif et impact de scénario

Criticité de l'actif
→ importance générale pour la mission

Impact du scénario
→ conséquence spécifique si ce scénario se réalise

Un actif très critique peut être exposé à un scénario peu vraisemblable. Un actif moins critique peut subir un événement fréquent. La priorité vient de la combinaison, pas d’une seule étiquette.

06Ajoute les dimensions utiles

CIA constitue le socle. Selon le contexte, ajoute :

- sécurité des personnes
- obligations légales et contractuelles
- finances
- réputation et confiance
- dépendance fournisseur
- capacité de décision
- authenticité et traçabilité

Ne transforme pas la grille en formulaire infini. Ajoute une dimension lorsqu’elle modifie réellement la décision.

07Évite le réflexe « tout est critique »

Si tous les actifs sont critiques :

- aucune priorité n'apparaît
- les budgets ne peuvent pas être arbitrés
- les délais de reprise sont irréalistes
- les équipes traitent tout en urgence

Demande : « quelle conséquence précise distingue ce niveau du niveau inférieur ? »

08Documente la preuve

Disponibilité ERP = critical
Preuve : objectif métier de reprise, volume quotidien, dépendance à la facturation

Intégrité site public = moderate
Preuve : procédure de correction, validation éditoriale, impact commercial limité

Mission

Évalue huit actifs

Attribue un niveau CIA à huit actifs, justifie chaque niveau par une conséquence concrète et indique l’objectif dominant. Revois toute classification « critical » sans preuve.

✓À retenir

Confidentialité, intégrité et disponibilité transforment une peur abstraite en conséquences analysables. La criticité doit être justifiée par la mission, pas copiée depuis une liste générique.