Combien peut vous coûter un risque cyber ? Passer de l’intuition aux chiffres pour décider

Passer de « risque critique » à une exposition financière

NDL est une entreprise de distribution employant environ 300 personnes. Son siège est situé à Niamey et elle dispose de plusieurs dépôts et points de distribution.

Son fonctionnement dépend fortement de son système d’information. Un ERP centralisé gère les achats, les stocks, les commandes et la facturation. Microsoft 365 supporte une partie de la messagerie et de la collaboration. L’organisation utilise également Active Directory, plusieurs accès VPN, une infrastructure virtualisée et un système de sauvegarde.

Lors d’une analyse de risque, un scénario attire particulièrement l’attention :

Dans une analyse qualitative classique, ce scénario pourrait légitimement être classé critique.

Mais imaginons maintenant la réunion suivante.

L’équipe cybersécurité présente le risque à la direction. Le directeur financier écoute, puis pose une question très simple :

« Quand vous dites critique, de combien parlons-nous ? »

C’est exactement à cet endroit que l’analyse quantitative devient intéressante.

Risque identifié → impact économique → fréquence → exposition annualisée → décision

Les cinq variables fondamentales

Une approche classique de l’analyse quantitative s’appuie sur quelques variables relativement simples.

AV, Asset Value, représente la valeur de l’actif ou de l’ensemble économique exposé.

EF, Exposure Factor, représente la proportion de cette valeur susceptible d’être perdue lorsqu’un événement se réalise.

SLE, Single Loss Expectancy, représente la perte estimée pour une occurrence unique.

ARO, Annualized Rate of Occurrence, représente la fréquence annuelle estimée du scénario.

Enfin, ALE, Annualized Loss Expectancy, représente la perte annuelle moyenne attendue.

Deux équations structurent l’essentiel du raisonnement :

SLE = AV × EF

puis :

ALE = SLE × ARO

ce qui revient également à écrire :

ALE = AV × EF × ARO

Les mathématiques sont élémentaires.

Le vrai travail commence lorsqu’il faut attribuer des valeurs crédibles à AV, EF et ARO.

1. AV : que vaut réellement ce que l’on cherche à protéger ?

Prenons l’ERP de NDL.

Une approche trop simpliste consisterait à regarder le prix du serveur qui l’héberge. Supposons qu’il ait coûté 15 millions de FCFA : conclure que l’actif vaut 15 millions serait pourtant très réducteur.

Le serveur n’est qu’un support.

La véritable valeur économique se trouve dans ce qu’il permet à l’entreprise de faire.

Si l’ERP devient indisponible pendant plusieurs jours, NDL peut perdre la capacité de traiter certaines commandes, subir des retards dans les livraisons, perturber la gestion des stocks, ralentir la facturation, mobiliser des équipes supplémentaires pour la restauration et éventuellement supporter des pénalités ou des pertes commerciales.

Pour notre exercice, après échanges entre les équipes métier, financières et techniques, NDL retient une valeur économique exposée de 300 millions de FCFA.

Nous posons donc :

AV = 300 000 000 FCFA

Cela ne signifie pas que l’ERP vaut exactement 300 millions de FCFA.

Cela signifie que, pour le scénario étudié, l’organisation considère que l’ordre de grandeur économique exposé est de 300 millions.

La nuance est essentielle.

2. EF : quelle part de cette valeur pourrait réellement être perdue ?

Même dans un scénario ransomware sévère, l’entreprise ne perdra probablement pas 100 % de cette valeur.

Certaines activités reprendront progressivement. Certaines données pourront être restaurées. Certaines transactions pourront être rattrapées.

NDL estime cependant qu’un incident majeur combinant chiffrement des serveurs, indisponibilité prolongée et difficulté de restauration pourrait entraîner une perte équivalente à environ 40 % de la valeur exposée.

Nous avons donc :

EF = 40 % = 0,40

Nous pouvons désormais estimer la perte associée à une occurrence unique.

3. SLE : combien coûterait un incident majeur ?

La formule est :

SLE = AV × EF

Pour NDL :

SLE = 300 000 000 × 0,40

soit :

SLE = 120 000 000 FCFA

Sur la base de ces hypothèses, une occurrence majeure du scénario ransomware pourrait donc représenter une perte d’environ 120 millions de FCFA.

Le risque commence déjà à changer de nature dans la conversation.

Nous ne disons plus simplement :

« Ransomware : risque critique. »

Nous pouvons désormais dire :

« Dans le scénario étudié, une occurrence majeure pourrait provoquer environ 120 millions de FCFA de pertes. »

Mais il manque encore une information essentielle : la fréquence.

4. ARO : à quelle fréquence le scénario pourrait-il se produire ?

L’Annualized Rate of Occurrence représente une estimation du nombre moyen d’occurrences sur une année.

Une ARO de 1 correspond à environ une occurrence par an.

Une ARO de 0,5 correspond approximativement à une occurrence tous les deux ans.

Une ARO de 0,25 correspond à environ une occurrence tous les quatre ans.

Une ARO de 2 signifie qu’en moyenne deux occurrences sont envisagées par an.

Dans le cas de NDL, en tenant compte de son exposition, de son secteur d’activité, des contrôles existants, de l’historique disponible et d’hypothèses de travail retenues par l’organisation, une valeur de :

ARO = 0,40

est utilisée pour le scénario étudié.

Cela équivaut grossièrement à considérer une occurrence importante tous les deux ans et demi.

Mais il faut immédiatement poser une limite méthodologique importante.

Une ARO n’est pas une prédiction.

Personne ne peut affirmer que NDL subira exactement un ransomware majeur tous les 2,5 ans.

Il s’agit d’une hypothèse utilisée pour modéliser l’exposition.

Mais d’où vient réellement l’ARO ?

C’est probablement l’une des questions les plus difficiles de toute analyse quantitative.

Attribuer une valeur de 0,40 à l’ARO ne devrait jamais résulter d’une simple intuition du type « le ransomware est fréquent actuellement ». Une estimation défendable doit reposer sur plusieurs sources, dont la pertinence et la fiabilité ne sont pas nécessairement équivalentes.

La première source devrait être, lorsque cela est possible, l’historique propre de l’organisation : incidents réellement constatés, tentatives détectées, compromissions de comptes, événements de sécurité, interruptions, investigations passées, exercices de réponse ou encore quasi-incidents. Ces données ont l’avantage d’être directement liées au contexte réel de l’entreprise. Leur principale limite est qu’elles sont parfois insuffisantes : l’absence d’un ransomware majeur durant les cinq dernières années ne démontre évidemment pas que sa probabilité est négligeable.

Ces données internes doivent donc être complétées par des informations externes pertinentes : tendances observées dans le secteur, données de CERT ou CSIRT, rapports d’incidents, renseignements sur la menace, études sectorielles, données d’assureurs lorsqu’elles sont accessibles et retours d’expérience d’organisations présentant une exposition comparable.

Mais une donnée externe ne doit jamais être transposée mécaniquement.

Si une étude indique que 20 % des entreprises d’un secteur ont déclaré un certain type d’incident sur une période donnée, cela ne signifie pas automatiquement que :

ARO = 0,20

pour NDL.

La population étudiée peut être différente. La taille des organisations, leur géographie, leur surface exposée, leur architecture, leurs technologies, leur niveau de maturité ou même la définition du mot « incident » peuvent varier considérablement.

Il faut également éviter de confondre tentative d’attaque, événement de menace et événement de perte. Une entreprise peut recevoir des milliers de tentatives malveillantes sans subir des milliers d’incidents ayant un impact économique. Ce que nous cherchons ici à modéliser est la fréquence du scénario de perte étudié, pas simplement le volume de signaux hostiles observés.

Les informations techniques contribuent néanmoins à contextualiser l’ARO. Un Pentest peut démontrer qu’un chemin d’attaque est exploitable. Une revue Active Directory peut révéler une accumulation de privilèges excessifs. Le SOC peut constater des tentatives récurrentes et montrer que certaines phases d’attaque seraient difficiles à détecter. Une analyse de vulnérabilités peut révéler une exposition persistante.

Ces éléments ne donnent pas directement une ARO.

Ils permettent en revanche de juger si l’hypothèse retenue est cohérente avec la réalité technique.

Et il restera souvent une part de jugement professionnel.

Ce n’est pas nécessairement une faiblesse, à condition qu’elle soit reconnue, documentée et distinguée des données observées.

Une analyse mature devrait donc pouvoir préciser ce qui relève des données internes, des sources externes, des hypothèses de travail et du jugement expert. Elle peut également associer à certaines estimations un niveau de confiance : faible, moyen ou élevé.

Ainsi, au lieu d’écrire simplement :

ARO = 0,40

NDL pourrait préciser :

ARO centrale estimée à 0,40, avec un niveau de confiance moyen, sur la base de l’exposition actuelle de NDL, de son historique interne, de données sectorielles et des faiblesses techniques observées.

Cette information est presque aussi importante que la valeur elle-même.

Un chiffre sans provenance est une hypothèse cachée. Un chiffre accompagné de ses sources, de ses limites et de son niveau de confiance devient un véritable élément de décision.

5. ALE : combien ce risque représente-t-il chaque année ?

Nous disposons maintenant des informations permettant de calculer l’Annualized Loss Expectancy.

La formule est :

ALE = SLE × ARO

Donc :

ALE = 120 000 000 × 0,40

soit :

ALE = 48 000 000 FCFA par an

300 M FCFA → 40 % → 120 M FCFA → ARO 0,40 → 48 M FCFA/an

Sur la base des hypothèses retenues, l’exposition annuelle moyenne associée à ce scénario est donc estimée à :

48 millions de FCFA par an

Attention cependant à l’interprétation.

Cela ne signifie pas que NDL perdra effectivement 48 millions de FCFA tous les ans.

Une année peut se terminer sans aucun incident majeur.

Une autre peut produire une perte de 120 millions de FCFA, voire davantage.

L’ALE permet surtout de ramener l’exposition à une base annuelle afin de comparer le risque avec les traitements envisagés.

Et c’est là que l’analyse devient réellement utile pour la décision.

Faut-il investir 18 millions de FCFA dans le traitement ?

NDL envisage maintenant un ensemble de mesures : renforcement de l’authentification, durcissement de l’Active Directory, segmentation supplémentaire, EDR sur les systèmes critiques, meilleure isolation des sauvegardes, supervision renforcée et tests de restauration plus réguliers.

Le coût annuel total de ces mesures, en tenant compte de l’exploitation et pas seulement des licences, est estimé à :

ACS, Annual Cost of Safeguard = 18 000 000 FCFA

L’organisation estime ensuite que les mesures permettraient de réduire à la fois la probabilité de réussite de l’attaque et l’ampleur des dommages.

Après traitement, les hypothèses deviennent :

EF résiduel = 20 %

et :

ARO résiduel = 0,15

Calculons la nouvelle exposition :

ALE après traitement = 300 000 000 × 0,20 × 0,15

soit :

ALE après traitement = 9 000 000 FCFA

Nous passons donc d’une exposition annualisée estimée à :

48 millions de FCFA

à :

9 millions de FCFA

La réduction annualisée du risque est donc :

48 M - 9 M = 39 M FCFA

Mais la mesure de sécurité a elle-même un coût annuel de 18 millions.

Nous pouvons donc poser :

Valeur économique du contrôle = ALE avant - ALE après - ACS

soit :

48 M - 9 M - 18 M = 21 M FCFA

Avec les hypothèses retenues, la mise en œuvre de ces mesures génère donc une valeur économique estimée de 21 millions de FCFA par an, par rapport à la situation initiale.

Ce raisonnement est beaucoup plus utile qu’une justification du type :

« Il nous faut un EDR parce que c’est devenu indispensable. »

La technologie est replacée dans son véritable contexte : la réduction d’une exposition au risque.

Comparer plusieurs scénarios

L’intérêt devient encore plus important lorsque l’organisation applique la même logique à plusieurs risques.

Toutes les valeurs financières sont exprimées en FCFA.

Ces chiffres sont fictifs et servent uniquement à illustrer la méthode.

Ce tableau montre déjà quelque chose d’important : le risque produisant la perte unitaire la plus importante n’est pas nécessairement celui qui représente l’exposition annuelle la plus forte.

La destruction des sauvegardes présente ici un SLE de 125 millions, légèrement supérieur au ransomware ERP. Pourtant, son ALE est plus faible parce que l’ARO retenue est également plus faible.

L’analyse quantitative oblige donc à considérer ensemble magnitude et fréquence.

Ajouter le coût du traitement change encore la décision

Nous pouvons maintenant intégrer les mesures de sécurité envisagées.

À première vue, les trois premiers traitements semblent produire une valeur économique positive.

Les deux derniers présentent en revanche un résultat négatif.

Faut-il alors abandonner ces mesures ?

Pas nécessairement.

Une valeur économique négative ne signifie pas « ne pas sécuriser »

Prenons le portail partenaire.

L’exposition annualisée initiale est estimée à :

9 millions de FCFA

Après traitement :

3 millions de FCFA

La réduction annuelle du risque représente donc :

6 millions de FCFA

Mais le contrôle coûte :

11 millions de FCFA

Résultat :

6 - 11 = -5 millions de FCFA

Une lecture purement mécanique conduirait à dire que la mesure n’est pas économiquement intéressante.

Mais une organisation ne prend pas toutes ses décisions uniquement sur la base de l’ALE.

Le portail peut être soumis à des exigences contractuelles. Des obligations réglementaires peuvent imposer certaines mesures. La compromission peut affecter des partenaires stratégiques. Des données particulières peuvent nécessiter un niveau minimum de protection. Une exigence d’assurance ou de conformité peut également imposer la présence d’un contrôle même lorsque son bénéfice financier direct paraît inférieur à son coût.

C’est pourquoi une règle doit rester centrale :

L’analyse quantitative éclaire la décision. Elle ne remplace pas la décision.

La gouvernance reste nécessaire.

Quantifier ne veut pas dire prédire

L’une des erreurs les plus dangereuses serait maintenant de présenter notre résultat comme une certitude.

Dire :

« Ce risque coûtera 48 000 000 FCFA par an. »

serait trompeur.

Nous avons construit ce nombre avec plusieurs hypothèses.

AV est une estimation.

EF est une estimation.

ARO est également une estimation, et probablement la variable la plus difficile à établir.

Multiplier plusieurs estimations ne transforme pas le résultat en vérité scientifique.

Une formulation plus rigoureuse serait donc :

« Avec les hypothèses retenues, l’exposition annualisée centrale associée au scénario est estimée autour de 48 millions de FCFA. »

La nuance peut sembler légère.

Elle change pourtant profondément la qualité du raisonnement.

L’incertitude devrait apparaître dans le résultat

Plutôt que de travailler avec une seule ARO, NDL peut construire plusieurs hypothèses.

Le discours change alors.

Nous ne disons plus :

« Le risque vaut 48 millions de FCFA. »

Nous pouvons dire :

« Selon l’hypothèse de fréquence retenue, l’exposition annualisée pourrait se situer entre 24 et 96 millions de FCFA, avec une hypothèse centrale autour de 48 millions. »

C’est beaucoup plus intéressant pour un décideur.

Il voit immédiatement l’ordre de grandeur, mais également l’incertitude qui accompagne l’évaluation.

L’analyse de sensibilité est parfois plus utile que le chiffre lui-même

Imaginons maintenant que le directeur financier conteste l’ARO de 0,40.

C’est parfaitement légitime.

La bonne réaction ne consiste pas nécessairement à défendre cette valeur coûte que coûte.

On peut poser une question beaucoup plus intéressante :

À partir de quelle fréquence l’investissement devient-il économiquement pertinent ?

L’analyse quantitative devient alors un outil de simulation de décision.

On peut faire varier la durée d’indisponibilité, les pertes commerciales, le coût de reconstruction, le taux de perte, la fréquence du scénario, le coût du contrôle ou encore son efficacité estimée.

Ce raisonnement permet de comprendre quelles hypothèses ont réellement le plus d’influence sur la décision.

C’est souvent beaucoup plus utile que de chercher un chiffre unique présenté avec une fausse précision.

À partir de quel niveau de risque le contrôle devient-il économiquement intéressant ?

Nous pouvons pousser le cas NDL encore un peu plus loin.

Le traitement envisagé coûte :

18 millions de FCFA par an.

Notre hypothèse centrale estime l’ALE résiduelle après traitement à :

9 millions de FCFA par an.

Dans ce mini-exemple de sensibilité, conservons cette hypothèse résiduelle constante et cherchons simplement à déterminer à partir de quelle ALE initiale le traitement atteint son point d’équilibre financier.

La condition est :

ALE avant traitement - ALE après traitement - coût du contrôle = 0

Donc :

ALE avant - 9 M - 18 M = 0

Le seuil devient :

ALE avant = 27 millions de FCFA par an

Autrement dit, dans ce modèle simplifié, lorsque l’exposition annualisée avant traitement dépasse 27 millions de FCFA, le bénéfice économique de la réduction du risque devient supérieur au coût annuel du dispositif.

Or, pour notre scénario ransomware :

SLE = 120 millions de FCFA

et :

ALE = SLE × ARO

Nous pouvons donc chercher l’ARO qui produirait une ALE de 27 millions :

120 M × ARO = 27 M

soit :

ARO = 27 / 120

et donc :

ARO ≈ 0,225

Ce seuil correspond approximativement à une occurrence tous les :

1 / 0,225 ≈ 4,4 ans

Le raisonnement devient alors particulièrement intéressant pour la direction.

La question n’est plus uniquement :

« Êtes-vous certain que l’ARO est de 0,40 ? »

Elle peut devenir :

« Considérons-nous réellement qu’un incident majeur de ce type est susceptible de survenir moins d’une fois tous les quatre à cinq ans ? »

Si la réponse est non, l’investissement reste économiquement défendable dans les hypothèses retenues, même si la direction conteste la valeur centrale de 0,40.

C’est précisément l’intérêt d’une analyse de seuil.

Elle évite qu’une décision entière repose sur une seule valeur difficile à défendre. Elle permet de déterminer à partir de quel niveau l’arbitrage change.

On peut également examiner le problème dans l’autre sens.

Notre ALE initiale est de :

48 millions de FCFA

et l’ALE résiduelle de :

9 millions de FCFA

La réduction annualisée du risque est donc de :

39 millions de FCFA.

En raisonnant uniquement sur cette logique économique simplifiée, le coût annuel théorique maximal du contrôle avant d’atteindre le point d’équilibre serait donc :

ACS maximal = 39 millions de FCFA par an

Notre coût estimé à 18 millions reste largement sous ce seuil.

L’objectif n’est toujours pas d’en déduire automatiquement qu’il faut investir.

Mais nous disposons maintenant de plusieurs informations beaucoup plus riches : une estimation centrale du risque, une plage d’incertitude, un seuil de fréquence à partir duquel le traitement devient économiquement pertinent et un coût maximal théorique au-delà duquel son avantage financier disparaîtrait.

À ce stade, nous ne faisons plus simplement de la quantification.

Nous commençons véritablement à faire de l’analyse de décision.

Le coût du contrôle ne se limite jamais à sa licence

La même exigence de rigueur doit s’appliquer aux coûts.

Supposons qu’une solution SIEM soit facturée 10 millions de FCFA par an.

Dire que le SIEM coûte 10 millions est probablement faux.

Il faut peut-être ajouter l’intégration des sources, le stockage, l’administration, les règles de corrélation, le tuning, les compétences nécessaires, la supervision des alertes, l’investigation, le support, la formation et parfois une astreinte.

Autrement dit :

coût total = acquisition + licences + intégration + exploitation + maintenance + administration + formation + ressources humaines + support + renouvellement

Dans une analyse coût-bénéfice sérieuse, c’est ce coût global qui doit être utilisé.

Une solution peu coûteuse à l’achat peut devenir très chère à exploiter.

Inversement, une technologie plus chère peut parfois réduire certains coûts opérationnels.

Le prix catalogue n’est donc qu’une petite partie de la décision.

Toutes les pertes ne se convertissent pas facilement en FCFA

La monétisation devient également plus délicate lorsqu’on quitte les pertes directement financières.

Combien vaut la confiance d’un client ?

Quel est le coût exact d’une réputation dégradée ?

Combien vaut une information stratégique divulguée à un concurrent ?

Comment quantifier l’impact d’une interruption d’un service essentiel ?

Quelle valeur donner à la confiance perdue d’un partenaire ?

La difficulté ne signifie pas qu’il faut ignorer ces conséquences.

Elle signifie simplement qu’il faut être plus prudent dans la manière de les représenter.

Certaines variables reposeront sur des données historiques solides. D’autres sur des estimations métier. D’autres encore sur des scénarios ou des fourchettes beaucoup plus incertaines.

La transparence sur l’incertitude est une force méthodologique, pas une faiblesse.

Analyse qualitative et analyse quantitative ne s’opposent pas

Il serait également dommage de transformer le sujet en opposition entre deux écoles.

Une analyse qualitative est souvent parfaitement adaptée pour démarrer.

Elle permet d’identifier les risques, de les structurer, de distinguer rapidement les scénarios les plus préoccupants et de construire une première priorisation.

L’analyse quantitative peut ensuite approfondir certains scénarios, notamment lorsque les montants d’investissement deviennent significatifs ou lorsqu’un arbitrage complexe doit être présenté à la direction.

Le chemin peut donc être formulé simplement :

Identifier → qualifier → prioriser → quantifier → traiter → mesurer

La quantification n’est pas nécessairement le point de départ.

Elle devient particulièrement intéressante lorsqu’il faut transformer une appréciation du risque en décision économique.

Et lorsque l’on veut aller plus loin ?

Les modèles AV, EF, SLE, ARO et ALE permettent de comprendre les bases de l’analyse quantitative.

Ils ont cependant leurs limites, notamment lorsqu’un scénario contient beaucoup d’incertitude.

Des approches plus avancées utilisent des distributions de probabilité plutôt que des valeurs uniques.

Au lieu de dire que l’incident coûtera 120 millions de FCFA, on peut chercher à modéliser différentes magnitudes de pertes et leur probabilité.

Des simulations de type Monte Carlo permettent alors de répéter un grand nombre de scénarios afin d’obtenir une distribution des pertes possibles.

Des méthodologies spécialisées comme FAIR, Factor Analysis of Information Risk, vont également beaucoup plus loin dans la décomposition des facteurs de fréquence et de magnitude.

Une direction pourrait alors recevoir des informations telles que :

« Il existe 90 % de probabilité que les pertes annuelles restent sous tel montant. »

ou :

« Dans les scénarios les plus sévères, l’exposition peut dépasser tel seuil. »

Cette représentation est souvent plus riche qu’une simple case rouge portant la mention « critique ».

GRC, SOC, Pentest : trois regards, une même décision

C’est ici que je reviens à l’un des enseignements qui m’a intéressé lors des échanges du Cyber Leadership de la deuxième cohorte 2026 du Programme d’Excellence de l’APSI-NE.

Le Pentest peut démontrer qu’un chemin d’attaque existe.

Le SOC peut montrer que certains signaux sont difficilement détectables ou que le délai de réaction reste trop élevé.

La GRC peut replacer ces constats dans le contexte métier, analyser les conséquences, organiser la responsabilité du risque et préparer l’arbitrage.

L’analyse quantitative peut alors devenir l’un des langages qui relient ces univers.

Une vulnérabilité technique cesse d’être seulement un CVE ou un défaut de configuration.

Elle devient une composante d’un scénario.

Le scénario devient une exposition.

L’exposition peut être comparée au coût du traitement.

Et cette comparaison peut ensuite nourrir une décision de gouvernance.

Aucune de ces disciplines ne suffit seule.

La valeur apparaît lorsqu’elles convergent autour du risque réel de l’organisation.

Ce que la direction devrait finalement demander

À mesure que la gestion du risque gagne en maturité, la discussion devrait progressivement changer.

La question ne devrait plus seulement être :

« Combien coûte cette solution ? »

Elle devrait aussi porter sur le scénario traité, la perte potentielle par occurrence, la fréquence retenue, l’exposition annualisée, le coût total de la mesure, la réduction attendue de fréquence ou d’impact, le risque résiduel, la provenance des données, la solidité des hypothèses et la sensibilité de la décision lorsque ces hypothèses changent.

Nous ne discutons alors plus simplement d’un achat technologique.

Nous discutons de l’allocation de ressources face à une exposition au risque.

La formule est facile. Les hypothèses sont le vrai travail.

C’est probablement l’idée la plus importante de cet article.

Calculer :

SLE = AV × EF

puis :

ALE = SLE × ARO

prend quelques secondes.

Déterminer correctement AV, EF et ARO peut en revanche demander des entretiens avec les métiers, l’exploitation de données financières, l’analyse des incidents passés, l’étude de scénarios réalistes, des données sectorielles, des informations issues des équipes techniques et beaucoup de jugement professionnel.

La maturité ne réside donc pas dans la mémorisation des formules.

Elle réside dans la capacité à expliquer :

d’où viennent les valeurs utilisées, quelles hypothèses ont été retenues, quel degré d’incertitude existe, quel niveau de confiance nous accordons aux données et comment la décision évolue lorsque ces hypothèses changent.

Une analyse quantitative mature ne cherche donc pas seulement à produire une ALE.

Elle cherche à comprendre quels paramètres déterminent la décision, à partir de quels seuils cette décision change et avec quel niveau de confiance les hypothèses utilisées peuvent être défendues.

Conclusion : donner une dimension économique au risque pour mieux décider

Dans mon précédent article, le principe était :

avant d’investir dans un outil cyber, commencez par comprendre le risque.

L’analyse quantitative permet d’aller plus loin :

avant d’arbitrer l’investissement, essayez de comprendre ce que ce risque peut réellement coûter.

Dans le cas fictif de NDL, nous avons obtenu, avec nos hypothèses de travail :

SLE = 120 millions de FCFA

ALE centrale = 48 millions de FCFA par an

ALE après traitement = 9 millions de FCFA par an

coût annuel du traitement = 18 millions de FCFA

valeur économique estimée du traitement = 21 millions de FCFA par an

Nous avons ensuite montré que le résultat ne devait pas être traité comme une certitude, qu’une ARO devait être soutenue par des sources et un niveau de confiance, que l’incertitude pouvait être représentée par plusieurs hypothèses et que l’analyse pouvait aller jusqu’à rechercher les seuils à partir desquels une décision économique change.

Ces chiffres ne prédisent pas l’avenir.

Ils structurent une décision.

Et c’est probablement là que se trouve la véritable valeur de l’analyse quantitative.

Elle permet de faire passer la conversation de :

« ce risque est critique »

à :

« voici l’exposition que nous estimons, voici les données et hypothèses qui la soutiennent, voici notre niveau de confiance, voici ce que coûterait sa réduction et voici le risque que nous conserverions après traitement. »

La cybersécurité ne devient pas plus mature simplement parce qu’elle produit davantage de chiffres.

Elle devient plus mature lorsque ces chiffres permettent de prendre de meilleures décisions.

Pour replacer cette démarche dans une vision plus large de la gouvernance, de la gestion des risques et de la conformité, les différents contenus de mon Académie GRC Cyber sont également disponibles ici :

Académie GRC Cyber

Et pour revenir au point de départ de cette réflexion sur le pilotage des investissements cyber par le risque :

l’article sur les investissements cyber pilotés par le risque