Réponse aux risques liés à la cybersécurité

Les réponses aux risques positifs et négatifs sont très différentes. Pour les risques négatifs, vous prenez des mesures pour minimiser l'impact sur le résultat, tandis que pour les risques positifs, vous prenez des mesures pour maximiser l'impact sur le résultat. Le tableau suivant montre les réponses potentielles aux risques positifs et négatifs.

Type de risque	Réponse	Définition
Risque positif	Exploiter	Maximisez la probabilité que le risque se produise afin que son effet positif se concrétise.
	Partager	Attribuez une partie de la propriété ou de la responsabilité du risque à une autre partie. C'est la même approche qu'avec un risque négatif, et elle essaie de contrôler les pertes ou les gains potentiels.
	Améliorer	Augmentez les conditions qui créent le risque afin de maximiser les opportunités.
	Ignorer	Ignorez la possibilité que ce risque se présente et ne prenez aucune mesure. Cette réaction est courante lorsque la probabilité du risque est très faible ou lorsque les avantages d'un résultat positif potentiel sont minimes.
Risque négatif	Atténuer	Minimisez la probabilité que le risque se produise.
	Transférer	Transférez la responsabilité du risque à une autre partie, par exemple en souscrivant une police d'assurance pour transférer le risque à une compagnie d'assurance.
	Éviter	Éliminez les conditions à l'origine du risque.
	Accept	Reconnaissez l'existence du risque, mais ne prenez aucune mesure.

En ce qui concerne les risques négatifs, les organisations évitent, transfèrent, atténuent ou acceptent le risque, en fonction de leur tolérance au risque et de leur appétit pour le risque. Elles essaient de prévenir le risque et, si tel est le cas, de minimiser son impact sur l'ensemble de la mission.

La meilleure façon d'illustrer les réponses positives aux risques est d'utiliser des exemples :

• Exploiter : un responsable de la sécurité apprend qu'un professionnel de la sécurité qualifié a récemment décidé de chercher un nouvel emploi et prévoit une généreuse prime à la signature pour inciter le futur employé à rejoindre son équipe.

• Partager : un responsable d'unité commerciale souhaiterait améliorer la sécurité en utilisant un produit de gestion des accès privilégiés, mais ne dispose pas d'un budget suffisant pour acheter les outils et les services au cours de l'exercice en cours. Le responsable collabore avec un responsable d'une autre unité commerciale qui achètera et implémentera l'outil dans le cadre d'un projet pilote, puis étendra l'installation pour soutenir les deux unités commerciales.

• Améliorer : un employé a identifié une opportunité d'automatiser un processus métier existant afin de réduire les menaces de cybersécurité, mais cela nécessite un investissement en temps et en équipement. En constatant les avantages d'un tel processus, le responsable approuve les heures supplémentaires pour développer les capacités et réutilise les ressources matérielles et logicielles existantes qui permettent au projet de se poursuivre.

• Ignorer : un responsable financier apprend qu'un employé du service commercial a développé une nouvelle application qui automatise une tâche manuelle et fastidieuse. L'utilisation de l'application a récemment été autorisée uniquement dans le service commercial. Le responsable financier obtient une copie de la nouvelle application pour obtenir un avantage similaire dans son service, sans autorisation explicite.