Aller au contenu
Mode invité - aucune donnée conservée Connexion

Méthodes › Quantification ALE

Quantification du risque - ALE

La perte annualisée attendue : ALE = ARO × SLE. Un scénario à la fois, avec ses propres mesures de sécurité. L’ARO inhérent correspond à la prévalence de la menace ; l’ARO résiduel tient compte des mesures préventives et le SLE résiduel des mesures réactives.

Un scénario par analyse. Les mesures de sécurité déclarées plus bas s’appliquent à ce scénario précis. Pour en quantifier un second, relancez une analyse : chacune se télécharge en CSV, JSON ou XML, et s’ajoute au registre pour les utilisateurs enregistrés.
1 · Identification de l’analyse

Les 239 mesures du Référentiel harmonisé des mesures de cybersécurité et de résilience de Cyriskintel, réparties en 24 thèmes. Chaque mesure porte une seule nature, un poids déduit du nombre de catégories de menace STRIDE qu'elle couvre, un énoncé de ce qui est requis, une question d'audit, une nature de test et la liste des éléments à vérifier. C'est le référentiel proposé par défaut : il couvre la gouvernance, la technique et la résilience, et se prête donc aussi bien à une évaluation de la vraisemblance que de l'impact. Tous droits réservés Cyriskintel 2025 : le contenu est consultable et utilisable en ligne, sa reproduction hors du site est interdite.

Référentiel sous droits de reproduction. Cyriskintel - RHMCR v2.1 - Tous droits réservés Cyriskintel 2025. Il est consultable et utilisable pour conduire une analyse sur ce site ; sa reproduction ailleurs est interdite. Son contenu n’est modifiable ni depuis cette page ni par un compte ordinaire : seul un administrateur peut le retoucher, depuis Administration > Référentiels.
2 · Actif et scénario de perte
Pourquoi le facteur d’exposition n’est pas toujours pertinent

Le facteur d’exposition suppose qu’une part de la valeur d’un actif disparaît. Cela se vérifie pour un incendie, une inondation, une panne matérielle irréparable ou un chiffrement sans sauvegarde exploitable : on peut alors dire que 80 % de la valeur du serveur est perdue.

Pour une fuite de renseignements personnels, une fraude par virement ou un déni de service, l’actif est toujours là : rien n’est détruit. Appliquer 30 % de la valeur d’une base de données n’aurait aucun sens. On chiffre alors directement les conséquences, poste par poste, et c’est leur somme qui donne le SLE.

3 · Fréquence (ARO)
Taux d’occurrence annuel occurrences par année Nombre d’occurrences par année : 1 = une fois l’an, 0,083 = une fois tous les 12 ans, 4 = quatre fois l’an.
Comment estimer l’ARO

Trois points d’appui, dans cet ordre de préférence : votre historique d’incidents, les statistiques sectorielles, puis le jugement de l’équipe.

  • « C’est arrivé deux fois en dix ans » → ARO = 0,2
  • « Une fois par trimestre » → ARO = 4
  • « Jamais chez nous, mais deux fois en cinq ans chez des pairs comparables » → ARO de 0,1 à 0,4

En trois points, la valeur attendue suit la pondération PERT (min + 4 × probable + max) ÷ 6 et une fourchette accompagne le résultat.

4 · Remplacement de l’actif

Section active uniquement lorsque le scénario détruit ou dégrade l’actif. La composante de perte vaut alors valeur de l’actif × facteur d’exposition.

Valeur de l’actif CAD Coût de remplacement ou de reconstitution complète : matériel, licences, données, mise en service.

5 · Composantes de la perte unitaire (SLE)

Chiffrez chaque nature de perte pour un seul incident. Le SLE est la somme de ces montants ; laissez une composante à zéro si elle ne s’applique pas à ce scénario.

Pertes primaires - conséquences directes pour votre organisation

Interruption d’activité et perte de productivité CAD Heures de travail perdues, production arrêtée, ventes non réalisées pendant l’indisponibilité.
Réponse à l’incident et remise en service CAD Expertise externe, heures supplémentaires internes, restauration, communication de crise.
Exemple chiffré - rançongiciel dans une PME de 80 personnes
  • Interruption et productivité : trois jours d’arrêt partiel, 25 personnes immobilisées à 400 $ la journée = 30 000 $
  • Réponse et remise en service : 40 h d’expertise externe à 250 $ (10 000 $), 5 jours-personne internes (5 000 $), communication de crise (5 000 $) = 20 000 $

Ne comptez pas la rançon si votre politique est de ne pas payer : chiffrez plutôt le temps de restauration à partir des sauvegardes. Si vous provisionnez un paiement, il appartient à la réponse à l’incident.

Pertes secondaires - réaction des tiers

Notification, amendes et frais juridiques CAD Avis aux personnes touchées, enquête réglementaire, honoraires, sanctions éventuelles.
Atteinte à la réputation et perte de clientèle CAD Contrats non renouvelés, coût de reconquête, conditions dégradées auprès des partenaires.
Exemple chiffré - suite du même incident
  • Notification, amendes et frais juridiques : avis aux 4 000 personnes touchées (4 $ chacune = 16 000 $), honoraires juridiques (20 000 $), provision pour sanction réglementaire (0 à 150 000 $ selon la gravité retenue)
  • Réputation et clientèle : deux contrats à 40 000 $ non renouvelés, pondérés par la probabilité de départ estimée

Les pertes secondaires ne surviennent pas systématiquement. Si vous les jugez improbables dans ce scénario, mettez le minimum à zéro et gardez un maximum élevé : la fourchette portera l’incertitude plutôt qu’une moyenne trompeuse.

SLE calculé : -

Ordres de grandeur, à titre indicatif. Sophos, The State of Ransomware 2025 (3 400 organisations victimes, 17 pays), situe le coût moyen de récupération d’un rançongiciel, hors rançon, à 1,53 M$ US, contre 2,73 M$ US l’année précédente ; parmi celles qui ont payé, 52 % ont versé plus de 1 M$ US. IBM, Cost of a Data Breach 2025, situe le coût moyen d’une violation de données à 4,44 M$ US dans le monde, 10,22 M$ US aux États-Unis, 4,84 M$ US au Canada, 4,14 M$ US au Royaume-Uni, 4,03 M$ US en Allemagne et 3,73 M$ US en France. Ces moyennes portent sur de grandes organisations et sur des incidents majeurs ; pour une PME, quelques dizaines à quelques centaines de milliers de dollars sont plus réalistes. Servez-vous-en comme borne haute de plausibilité, jamais comme valeur par défaut.

6 · Mesures de sécurité en place

Chaque mesure porte une seule nature : préventive - elle réduit la vraisemblance ; détective ou réactive - elles réduisent l’impact. Son poids, de 1 à 5, exprime son importance relative dans le référentiel, et non un pourcentage de réduction. La réduction obtenue dépend de la couverture : la part du poids total que vos mesures couvrent, pondérée par leur niveau de mise en œuvre et par l’indice de confiance.

RHMCR - 239 mesures · niveau détaillé Changer de référentiel

Le choix se fait à l’étape 1, avec l’identification de l’analyse.

Code Mesure Fonction Nature Poids Niveau de mise en œuvre
MOB-01 Blocage de l'accès aux dépôts logiciels
Blocking access to software repositories 		Appareils mobiles Préventive 5
MOB-02 Effacement à distance des données sur des appareils mobiles
Remote wipe of data on mobile devices 		Appareils mobiles Préventive 2
MOB-03 Protection de l'accès à appareil par code PIN ou mot de passe
Device access protection by PIN or password 		Appareils mobiles Préventive 5
MOB-04 Séparation entre les données de l'entreprise et personnelles
Separation of corporate and personal data 		Appareils mobiles Préventive 5
ADE-01 Schémas d'architecture maintenus à jour suivant les standards de l'industrie et protégés
Architecture diagrams kept up to date according to industry standards and protected 		Architecture d'entreprise Préventive 2
ADE-02 Segmentation des réseaux
Network segmentation 		Architecture d'entreprise Préventive 4
ADE-03 Séparation de la couche de traitement de la couche de stockage des données
Separation of the processing layer from the data storage layer 		Architecture d'entreprise Préventive 2
ADE-04 Séparation entre les environnements de test, qualification et ceux de la production
Separation of test and staging environments from production environments 		Architecture d'entreprise Préventive 3
QUA-01 Processus de revue de code automatique
Automated code review process 		Assurance qualité logicielle Préventive 3
QUA-02 Tests dynamique de code logiciel (fuzzying)
Dynamic software code testing (fuzzing) 		Assurance qualité logicielle Préventive 4
QUA-03 Tests logiciels dans un environnement adapté
Software testing in a suitable environment 		Assurance qualité logicielle Préventive 3
QUA-04 Utilisation d'un environnement de développement intégré (IDE)
Use of an integrated development environment (IDE) 		Assurance qualité logicielle Préventive 3
AUD-01 Audit de la configuration matérielle et logicielle
Audit of hardware and software configuration 		Audit de sécurité Préventive 2
AUD-02 Audit régulier de la sécurité des systèmes
Regular audit of systems security 		Audit de sécurité Préventive 5
AUD-03 Tests offensifs / défensifs (purple team)
Offensive and defensive testing (purple team) 		Audit de sécurité Préventive 5
AUD-04 Tests réguliers de l'efficacité des mesures de contrôle
Regular testing of control effectiveness 		Audit de sécurité Préventive 5
AUTH-01 Authentification des matériels et utilisateurs avant d'accéder au système d'information
Authentication of devices and users before accessing the information system 		Authentification Préventive 3
AUTH-02 Authentification multifactorielle
Multi-factor authentication 		Authentification Préventive 3
AUTH-03 Authentification unique au système d'information (SSO)
Single sign-on to the information system (SSO) 		Authentification Préventive 3
AUTH-04 Chiffrement du mot de passe en stockage
Password encryption in storage 		Authentification Préventive 3
AUTH-05 Chiffrement du mot de passe en transit
Password encryption in transit 		Authentification Préventive 3
AUTH-06 Mot de passe non transmis sur le réseau
Password not transmitted over the network 		Authentification Préventive 3
AUTH-07 Politique de mot de passe robuste
Robust password policy 		Authentification Préventive 3
AUTH-08 Utilisation de mots de passe uniques
Use of unique passwords 		Authentification Préventive 3
AUTH-09 Verrouillage automatique de la session après échecs successifs de l'authentification
Automatic session lockout after successive authentication failures 		Authentification Préventive 4
AUTH-10 Authentification des sources de données légitimes
Authentication of legitimate data sources 		Authentification Préventive 4
FOR-01 Formation du personnel à détecter et à déclarer un incident de sécurité
Staff training on detecting and reporting a security incident 		Formation et sensibilisation Réactive 2
FOR-02 Formation du personnel à l'utilisation des technologies et de l'importance des mises à jour
Staff training on the use of technologies and the importance of updates 		Formation et sensibilisation Préventive 2
FOR-03 Formation du personnel à la sécurité adaptée aux rôles et responsabilités
Staff security training adapted to roles and responsibilities 		Formation et sensibilisation Préventive 2
FOR-04 Sensibilisation du personnel à la déclaration prompte du vol ou d'une perte de matériel
Staff awareness of prompt reporting of theft or loss of equipment 		Formation et sensibilisation Préventive 4
FOR-05 Sensibilisation du personnel à la gestion sécurisée des documents et des données
Staff awareness of secure management of documents and data 		Formation et sensibilisation Préventive 2
FOR-06 Sensibilisation du personnel aux meilleures méthodes d'authentification
Staff awareness of best authentication practices 		Formation et sensibilisation Préventive 2
FOR-07 Sensibilisation du personnel aux menaces courantes et émergentes
Staff awareness of common and emerging threats 		Formation et sensibilisation Préventive 5
FOR-08 Sensibilisation du personnel aux techniques d'ingénierie sociale
Staff awareness of social engineering techniques 		Formation et sensibilisation Préventive 4
GIA-01 Accès à partir d'une infrastructure de poste virtualisée (VDI)
Access from a virtual desktop infrastructure (VDI) 		Gestion des accès Préventive 5
GIA-02 Accès privilégié par des stations dédiées et sécurisées (PAW)
Privileged access from dedicated and secured workstations (PAW) 		Gestion des accès Préventive 5
GIA-03 Application du principe de privilège minimum
Application of the least privilege principle 		Gestion des accès Préventive 5
GIA-04 Application du principe du droit d'en connaître
Application of the need-to-know principle 		Gestion des accès Préventive 2
GIA-05 Attribution des droits d'accès basé sur des rôles (RBAC)
Role-based assignment of access rights (RBAC) 		Gestion des accès Préventive 2
GIA-06 Centralisation sécurisée de la gestion des comptes
Secure centralization of account management 		Gestion des accès Préventive 3
GIA-07 Contrôle d'accès au réseau (NAC) prenant en compte le contexte et l'intégrité du dispositif
Network access control (NAC) accounting for device context and integrity 		Gestion des accès Préventive 4
GIA-08 Désactivation des comptes dormants
Deactivation of dormant accounts 		Gestion des accès Préventive 2
GIA-09 Gestion des comptes privilégiés
Management of privileged accounts 		Gestion des accès Préventive 2
GIA-10 Gestion des profils d'accès
Management of access profiles 		Gestion des accès Préventive 2
GIA-11 Inventaire actualisé des comptes système et comptes de service
Up-to-date inventory of system and service accounts 		Gestion des accès Préventive 2
GIA-12 Inventaire actualisé des comptes utilisateur
Up-to-date inventory of user accounts 		Gestion des accès Préventive 2
GIA-13 Restriction des permissions sur les fichiers et répertoires
Restriction of permissions on files and directories 		Gestion des accès Préventive 5
GIA-14 Révision et révocation périodique des droits d'accès
Periodic review and revocation of access rights 		Gestion des accès Préventive 3
GIA-15 Rotation de mot de passe si un vol est suspecté
Password rotation when theft is suspected 		Gestion des accès Réactive 3
GIA-16 Suspension des droits d'accès en cas de longue absence
Suspension of access rights during long absences 		Gestion des accès Préventive 3
GIA-17 Verrouillage automatique de la session sur une station de travail après inactivité
Automatic session lock on a workstation after inactivity 		Gestion des accès Préventive 4
TIC-01 Application des mises à jour vers la dernière version du système d'exploitation
Application of updates to the latest operating system version 		Gestion des actifs TI Préventive 4
TIC-02 Application des mises à jour vers la dernière version logicielle
Application of updates to the latest software version 		Gestion des actifs TI Préventive 4
TIC-03 Attribution d'un propriétaire à chaque actif TI
Assignment of an owner to each IT asset 		Gestion des actifs TI Préventive 1
TIC-04 Décommissionnement contrôlé et sécurisé des systèmes et des matériels en fin de vie
Controlled and secure decommissioning of end-of-life systems and equipment 		Gestion des actifs TI Préventive 2
TIC-05 Gestion des capacités des systèmes d'information
Capacity management of information systems 		Gestion des actifs TI Préventive 2
TIC-06 Gestion des actifs TI durant tout le cycle de vie
Management of IT assets throughout the life cycle 		Gestion des actifs TI Préventive 1
TIC-07 Gestion saine des licences logicielles
Sound management of software licences 		Gestion des actifs TI Préventive 1
TIC-08 Inventaire actualisé et hiérarchisé des actifs logiciels (pré-requis)
Up-to-date and prioritized inventory of software assets (prerequisite) 		Gestion des actifs TI Préventive 1
TIC-09 Inventaire actualisé et hiérarchisé des actifs matériels (pré-requis)
Up-to-date and prioritized inventory of hardware assets (prerequisite) 		Gestion des actifs TI Préventive 1
TIC-10 Inventaire actualisé et hiérarchisé des actifs systèmes (pré-requis)
Up-to-date and prioritized inventory of system assets (prerequisite) 		Gestion des actifs TI Préventive 1
TIC-11 Maintenance logicielle
Software maintenance 		Gestion des actifs TI Préventive 3
TIC-12 Maintenance périodique et supervisée des systèmes
Periodic and supervised system maintenance 		Gestion des actifs TI Préventive 2
TIC-13 Obligation de retour du matériel professionnel prêté au personnel
Obligation to return corporate equipment loaned to staff 		Gestion des actifs TI Préventive 1
TIC-14 Plan de câblage clair
Clear cabling plan 		Gestion des actifs TI Préventive 1
TIC-15 Politique organisationnelle interdisant la copie illégale de logiciels
Organizational policy prohibiting illegal software copying 		Gestion des actifs TI Préventive 1
TIC-16 Politique organisationnelle sur le bon usage des actifs TI
Organizational policy on the proper use of IT assets 		Gestion des actifs TI Préventive 1
TIC-17 Protection des systèmes et matériels contre les menaces environnementales
Protection of systems and equipment against environmental threats 		Gestion des actifs TI Préventive 2
TIC-18 Stratégie de remplacement matériel en fin de vie ou non sécurisé
Replacement strategy for end-of-life or insecure hardware 		Gestion des actifs TI Préventive 4
CFG-01 Configuration sécurisée et normalisée d'un équipement de sécurité
Secure and standardized configuration of a security appliance 		Gestion des configurations Préventive 4
CFG-02 Configuration sécurisée et normalisée d'un équipement réseau
Secure and standardized configuration of a network device 		Gestion des configurations Préventive 4
CFG-03 Configuration sécurisée et normalisée d'un logiciel
Secure and standardized configuration of software 		Gestion des configurations Préventive 4
CFG-04 Configuration sécurisée et normalisée d'un logiciel de sécurité
Secure and standardized configuration of security software 		Gestion des configurations Préventive 4
CFG-05 Configuration sécurisée et normalisée d'un service d'infrastructure (AD, DNS, LDAP)
Secure and standardized configuration of an infrastructure service (AD, DNS, LDAP) 		Gestion des configurations Préventive 5
CFG-06 Configuration sécurisée et normalisée d'un système
Secure and standardized configuration of a system 		Gestion des configurations Préventive 4
VUL-01 Balayages réguliers des vulnérabilités
Regular vulnerability scanning 		Gestion des vulnérabilités Préventive 4
VUL-02 Correction des vulnérabilités détectées priorisées par le niveau de risque
Remediation of detected vulnerabilities prioritized by risk level 		Gestion des vulnérabilités Préventive 4
VUL-03 Correction rapide des vulnérabilités critiques détectées
Rapid remediation of detected critical vulnerabilities 		Gestion des vulnérabilités Préventive 4
VUL-04 Gestion continue des vulnérabilités
Continuous vulnerability management 		Gestion des vulnérabilités Préventive 4
VUL-05 Virtualisation des correctifs
Patch virtualisation 		Gestion des vulnérabilités Préventive 4
GDD-11 Gestion du cycle de vie des données de l'entreprise
Management of the corporate data lifecycle 		Gouvernance des données Préventive 1
GDD-12 Identification des propriétaires des données de l'entreprise
Identification of corporate data owners 		Gouvernance des données Préventive 1
GDD-13 Inventaire actualisé des données de l'entreprise (pré-requis)
Up-to-date inventory of corporate data (prerequisite) 		Gouvernance des données Préventive 1
GDD-14 Rétention légale des données
Legal data retention 		Gouvernance des données Préventive 1
GOV-01 Allocation d'un budget suffisant pour les investissements TI et sécurité
Allocation of a sufficient budget for IT and security investments 		Gouvernance et risques Préventive 1
GOV-02 Clauses contractuelles intégrant la sécurité de l'information
Contractual clauses covering information security 		Gouvernance et risques Préventive 1
GOV-03 Communiquer régulièrement les risques à toutes les parties concernées
Regular communication of risks to all concerned parties 		Gouvernance et risques Préventive 1
GOV-04 Connaissance et maîtrise de la chaîne d'approvisionnement
Knowledge and control of the supply chain 		Gouvernance et risques Préventive 1
GOV-05 Définir les critères de risques applicables à toute l'organisation
Definition of risk criteria applicable across the organisation 		Gouvernance et risques Préventive 1
GOV-06 Description claire des rôles et des responsabilités
Clear description of roles and responsibilities 		Gouvernance et risques Préventive 1
GOV-07 Établir des indicateurs et maintenir un tableau de bord opérationnel et stratégique
Establishment of indicators and maintenance of an operational and strategic dashboard 		Gouvernance et risques Préventive 1
GOV-08 Évaluation de la maturité, de la posture et du risque fournisseur
Assessment of supplier maturity, posture and risk 		Gouvernance et risques Préventive 1
GOV-09 Politiques de sécurité actualisées, approuvées et diffusées aux parties intéressées
Security policies kept up to date, approved and distributed to interested parties 		Gouvernance et risques Préventive 1
GOV-10 Processus de gestion des dérogations aux politiques de sécurité
Process for managing exemptions to security policies 		Gouvernance et risques Préventive 1
GOV-11 Processus d'analyse des risques efficace
Effective risk analysis process 		Gouvernance et risques Préventive 1
GOV-12 Programme de cybersécurité triannuel une feuille de route en accord avec les risques auxquels l'organisation est exposée
Three-year cybersecurity programme, a roadmap aligned with the risks to which the organisation is exposed 		Gouvernance et risques Préventive 1
GOV-13 Recensement des contraintes légales et réglementares
Inventory of legal and regulatory constraints 		Gouvernance et risques Préventive 1
GOV-14 Recensement des systèmes critiques (de mission) et de leurs responsables
Inventory of critical (mission) systems and their owners 		Gouvernance et risques Préventive 1
GOV-15 Recensement et hiérarchisation des fournisseurs autorisés et de leurs services
Inventory and ranking of authorised suppliers and their services 		Gouvernance et risques Préventive 1
GOV-16 Sélection et application des bonnes pratiques en matière de gestion des TI et sécurité
Selection and application of good practices for IT and security management 		Gouvernance et risques Préventive 1
GOV-17 Séparation des responsabilités (SoD)
Segregation of duties (SoD) 		Gouvernance et risques Préventive 1
GOV-18 Vérification de la chaîne d'approvisionnement
Supply chain verification 		Gouvernance et risques Préventive 1
INT-01 Analyse de programmes inconnus en bac-à-sable (mise en quarantaine)
Sandbox analysis of unknown programs (quarantine) 		Intégrité des systèmes Préventive 3
INT-02 Blocage des accès aux sources de données douteuses
Blocking access to suspicious data sources 		Intégrité des systèmes Préventive 4
INT-03 Désinstallation ou désactivation de services et programmes inutiles dans les systèmes
Uninstallation or deactivation of unnecessary services and programs on systems 		Intégrité des systèmes Préventive 4
INT-04 Détection automatique des logiciels non autorisés
Automatic detection of unauthorised software 		Intégrité des systèmes Réactive 3
INT-05 Interdiction d'installer des logiciels non autorisés sur le poste de travail
Prohibition on installing unauthorised software on the workstation 		Intégrité des systèmes Préventive 4
INT-06 Interdiction de connecter des supports de stockage amovibles sur le poste de travail
Prohibition on connecting removable storage media to the workstation 		Intégrité des systèmes Préventive 3
INT-07 Modification des mots de passe par défaut
Change of default passwords 		Intégrité des systèmes Préventive 4
INT-08 Navigation sur Internet réservée aux stations de travail via des fureteurs autorisés
Internet browsing restricted to workstations through authorised browsers 		Intégrité des systèmes Préventive 3
INT-09 Prévention de l'exécution de programmes à partir d'un support amovible
Prevention of program execution from removable media 		Intégrité des systèmes Préventive 2
INT-10 Protection de l'intégrité des processus
Protection of process integrity 		Intégrité des systèmes Préventive 3
INT-11 Prévention des intrusions dans le réseau (NIPS)
Network intrusion prevention (NIPS) 		Intégrité des systèmes Préventive 5
INT-12 Prévention des intrusions dans un système (HIPS)
System intrusion prevention (HIPS) 		Intégrité des systèmes Préventive 5
INT-13 Protection contre les logiciels malveillants sur les postes et les serveurs
Protection against malware on workstations and servers 		Intégrité des systèmes Préventive 4
INT-14 Protection contre l'excution de programmes et scripts non autorisés
Protection against the execution of unauthorised programs and scripts 		Intégrité des systèmes Préventive 3
INT-15 Protection de l'exécution du micrologiciel
Protection of firmware execution 		Intégrité des systèmes Préventive 4
INT-16 Protection de l'intégrité du système de fichiers
Protection of file system integrity 		Intégrité des systèmes Préventive 2
INT-17 Restriction des accès aux journaux applicatifs ou système
Restriction of access to application or system logs 		Intégrité des systèmes Préventive 4
INT-18 Restriction du chargement de bibliothèques et processus non autorisés
Restriction on loading unauthorised libraries and processes 		Intégrité des systèmes Préventive 3
INT-19 Signature de code mobile
Mobile code signing 		Intégrité des systèmes Préventive 3
INT-20 Suppression des logiciels non autorisés après détection
Removal of unauthorised software after detection 		Intégrité des systèmes Réactive 3
INT-21 Tests matériels supervisés avant leur déploiement
Supervised hardware testing before deployment 		Intégrité des systèmes Préventive 2
INT-22 Vérification de l'intégrité matérielle avant déploiement
Verification of hardware integrity before deployment 		Intégrité des systèmes Préventive 2
MSG-01 Blocage de fichiers joints non indispensables ou dangereux
Blocking of unnecessary or dangerous attachments 		Messagerie électronique Préventive 4
MSG-02 Implémentation d'une politique et vérification des courriels entrants (DMARC, SPF)
Implementation of a policy and verification of incoming email (DMARC, SPF) 		Messagerie électronique Préventive 5
MSG-03 Implémentation d'une solution antimaliciels
Implementation of an anti-malware solution 		Messagerie électronique Préventive 5
PDO-01 Chiffrement des données sensibles au repos (base de données)
Encryption of sensitive data at rest (database) 		Protection des données Préventive 2
PDO-02 Chiffrement des données sensibles au repos (conteneur applicatif)
Encryption of sensitive data at rest (application container) 		Protection des données Préventive 2
PDO-03 Chiffrement des données sensibles au repos (dispositif de l'utilisateur)
Encryption of sensitive data at rest (user device) 		Protection des données Préventive 2
PDO-04 Chiffrement des données sensibles au repos (support amovible de stockage)
Encryption of sensitive data at rest (removable storage media) 		Protection des données Préventive 2
PDO-05 Chiffrement des données sensibles en transit (cf. connexion via des protocoles utilisés)
Encryption of sensitive data in transit (see connections over the protocols in use) 		Protection des données Préventive 2
PDO-06 Classification des données (pré-requis)
Data classification (prerequisite) 		Protection des données Préventive 1
PDO-07 Contrôle des modifications de données
Control of data modifications 		Protection des données Préventive 3
PDO-08 Destruction sécurisée des supports de données
Secure destruction of storage media 		Protection des données Préventive 2
PDO-10 Identification des sources de données légitimes
Identification of legitimate data sources 		Protection des données Préventive 3
PDO-11 Interdiction des partages réseau
Prohibition of network shares 		Protection des données Préventive 4
PDO-12 Marquage électronique des données (pré-requis)
Electronic labelling of data (prerequisite) 		Protection des données Préventive 1
PDO-13 Détection automatique des fuites de données
Automatic detection of data leaks 		Protection des données Réactive 2
PDO-14 Prévention automatique des fuites de données
Automatic prevention of data leaks 		Protection des données Préventive 2
PDO-15 Protection des copies de sauvegarde contre l'accès non autorisé
Protection of backup copies against unauthorised access 		Protection des données Préventive 2
PDO-16 Réplication des données dans d'autres supports de stockage
Replication of data to other storage media 		Protection des données Préventive 2
PDO-17 Sauvegarde automatique des données à l'extérieur du système d'information
Automatic backup of data outside the information system 		Protection des données Préventive 2
PDO-18 Sauvegarde multi-supports des données
Multi-media data backup 		Protection des données Préventive 2
PDO-19 Transfert sécurisé d'informations hors du système d'information organisationnel
Secure transfer of information outside the organisational information system 		Protection des données Préventive 2
PDO-20 Vérification de l'intégrité des données (p. ex. par empreinte numérique)
Verification of data integrity (e.g. by digital fingerprint) 		Protection des données Réactive 2
PDO-21 Vérification de l'intégrité des sauvegardes
Verification of backup integrity 		Protection des données Réactive 3
REP-01 Application des procédures de reprise sur incident
Application of incident recovery procedures 		Reprise sur incident Réactive 1
REP-02 Communication du statut de l'incident aux parties intéressées externes et internes
Communication of incident status to external and internal interested parties 		Reprise sur incident Réactive 1
REP-03 Documentation de l'incident avec enregistrement en base
Incident documentation with recording in a database 		Reprise sur incident Réactive 2
REP-04 Rédaction des procédures de reprise sur incident
Drafting of incident recovery procedures 		Reprise sur incident Réactive 1
REP-05 Reprise sur incident priorisant les fonctions critiques de l'entreprise (cf. BIA)
Incident recovery prioritising the critical business functions (see BIA) 		Reprise sur incident Réactive 1
REP-06 Restauration des données après vérification de leur intégrité
Data restoration after integrity verification 		Reprise sur incident Réactive 2
PER-01 Responsabilités sécurité dans la description de poste
Security responsibilities in the job description 		Ressources humaines Préventive 1
PER-02 Signature de la politique du bon usage des outils informatiques
Signature of the acceptable use policy for IT tools 		Ressources humaines Préventive 1
PER-03 Vérification des antécédents des candidats à l'embauche
Background checks on job candidates 		Ressources humaines Préventive 2
RES-01 Analyse et catégorisation des événements détectés
Analysis and categorisation of detected events 		Réaction aux incidents Réactive 2
RES-02 Application des procédures de réaction à des incidents spécifiques
Application of response procedures for specific incidents 		Réaction aux incidents Réactive 1
RES-03 Communication des incidents aux parties intéressées externes et internes
Communication of incidents to external and internal interested parties 		Réaction aux incidents Réactive 1
RES-04 Confinement de l'incident
Incident containment 		Réaction aux incidents Réactive 2
RES-05 Détermination de l'impact technique et financier des incidents
Determination of the technical and financial impact of incidents 		Réaction aux incidents Réactive 1
RES-06 Escalade pour les événements à l'impact considérable
Escalation for events with considerable impact 		Réaction aux incidents Réactive 1
RES-07 Gestion de crise incluant toutes les parties prenantes
Crisis management including all stakeholders 		Réaction aux incidents Réactive 1
RES-08 Intervention de tierces parties
Third-party intervention 		Réaction aux incidents Réactive 1
RES-09 Protection des preuves lors d'une enquête numérique
Protection of evidence during a digital investigation 		Réaction aux incidents Réactive 2
RES-10 Retour d'expérience (RETEX, leçons post-incident)
Lessons learned (post-incident review) 		Réaction aux incidents Préventive 1
RES-11 Rédaction de procédures de réaction à des incidents spécifiques
Drafting of response procedures for specific incidents 		Réaction aux incidents Réactive 1
RES-12 Suppression de la menace
Threat removal 		Réaction aux incidents Réactive 1
RES-14 Triage des événements détectés
Triage of detected events 		Réaction aux incidents Réactive 2
RSL-01 Bilan d'impact sur les affaires (BIA)
Business impact analysis (BIA) 		Résilience des TI Préventive 1
RSL-02 Implication des tierces parties dans les exercices de continuité des affaires
Involvement of third parties in business continuity exercises 		Résilience des TI Préventive 1
RSL-03 Préparation et test du plan de continuité
Preparation and testing of the continuity plan 		Résilience des TI Préventive 1
RSL-04 Préparation et test du plan de relève TI
Preparation and testing of the IT recovery plan 		Résilience des TI Préventive 1
RSL-05 Redondance des systèmes d'informations
Redundancy of information systems 		Résilience des TI Préventive 2
SRC-01 Centralisation des alertes sur événement
Centralization of event alerts 		Surveillance continue Réactive 2
SRC-02 Centralisation des journaux
Centralization of logs 		Surveillance continue Réactive 4
SRC-03 Communication en temps opportun par le fournisseur de tout incident
Timely reporting of any incident by the supplier 		Surveillance continue Réactive 1
SRC-04 Contrôle du traitement de données sensibles
Control of sensitive data processing 		Surveillance continue Réactive 3
SRC-05 Corrélation des journaux de sources variées
Correlation of logs from varied sources 		Surveillance continue Réactive 2
SRC-06 Découverte proactive des incidents (threat hunting)
Proactive discovery of incidents (threat hunting) 		Surveillance continue Réactive 3
SRC-07 Détection des canaux de communication non autorisés
Detection of unauthorized communication channels 		Surveillance continue Réactive 3
SRC-08 Détection des corruptions de données
Detection of data corruption 		Surveillance continue Réactive 2
SRC-09 Détection des intrusions logiques dans le réseau (NIDS)
Detection of logical intrusions in the network (NIDS) 		Surveillance continue Réactive 4
SRC-10 Détection des intrusions logiques dans les systèmes (HIDS)
Detection of logical intrusions in systems (HIDS) 		Surveillance continue Réactive 5
SRC-11 Détection des intrusions physiques
Detection of physical intrusions 		Surveillance continue Réactive 3
SRC-12 Détection des logiciels sans license officielle
Detection of software without an official license 		Surveillance continue Réactive 1
SRC-13 Détection des systèmes non autorisés et déconnexion du réseau
Detection of unauthorized systems and disconnection from the network 		Surveillance continue Réactive 4
SRC-14 Détection des systèmes non supportés
Detection of unsupported systems 		Surveillance continue Réactive 4
SRC-15 Détection du chargement ou création de nouveaux processus
Detection of the loading or creation of new processes 		Surveillance continue Réactive 2
SRC-16 Détection et désinstallation des logiciels non supportés
Detection and uninstallation of unsupported software 		Surveillance continue Réactive 3
SRC-17 Développement de cas d'usage pour détecter les événements
Development of use cases to detect events 		Surveillance continue Réactive 2
SRC-18 Gestion de l'espace de stockage pour les journaux
Management of storage space for logs 		Surveillance continue Préventive 3
SRC-19 Inspection des sessions SSL/TLS
Inspection of SSL/TLS sessions 		Surveillance continue Réactive 3
SRC-20 Inventaire des sources de journaux système
Inventory of system log sources 		Surveillance continue Réactive 2
SRC-21 Journalisation des accès aux données
Logging of data access 		Surveillance continue Réactive 3
SRC-22 Journalisation des accès privilégiés
Logging of privileged access 		Surveillance continue Réactive 3
SRC-23 Journalisation des commandes système passées
Logging of system commands issued 		Surveillance continue Réactive 3
SRC-24 Journalisation des événements système et réseau
Logging of system and network events 		Surveillance continue Réactive 2
SRC-25 Journalisation des traitements de données
Logging of data processing operations 		Surveillance continue Réactive 3
SRC-26 Processus de double regard
Four-eyes process 		Surveillance continue Réactive 3
SRC-27 Rétention des journaux et des pistes d'audit
Retention of logs and audit trails 		Surveillance continue Réactive 2
SRC-28 Revue périodique des journaux et des pistes d'audit
Periodic review of logs and audit trails 		Surveillance continue Réactive 2
SRC-29 Synchronisation des horloges pour l'horodatage des journaux
Clock synchronization for log timestamping 		Surveillance continue Réactive 2
SRC-30 Veille régulière sur les menaces courantes et émergentes
Regular threat intelligence monitoring of current and emerging threats 		Surveillance continue Préventive 1
APP-01 Application du processus de développement sécurisé
Application of the secure development process 		Sécurité applicative Préventive 3
APP-02 Authentification multifactorielle aux applications exposées sur internet
Multi-factor authentication for internet-facing applications 		Sécurité applicative Préventive 3
APP-03 Documentation de l'architecture applicative
Documentation of the application architecture 		Sécurité applicative Préventive 2
APP-04 Documentation des flux de données
Documentation of data flows 		Sécurité applicative Préventive 2
APP-05 Formation continue des développeurs à la sécurisation du code
Ongoing training of developers in secure coding 		Sécurité applicative Préventive 3
APP-06 Gestion des accès concurrents aux bases de données
Management of concurrent access to databases 		Sécurité applicative Préventive 3
APP-07 Inventaire manuel ou automatisé des composants logiciels (pré-requis)
Manual or automated inventory of software components (prerequisite) 		Sécurité applicative Préventive 1
APP-08 Liste des composants logiciels, scripts et bibliothèques autorisés
List of authorised software components, scripts and libraries 		Sécurité applicative Préventive 3
APP-09 Maintien de patrons logiciels sécurisés (security patterns) réutilisables
Maintenance of reusable security patterns 		Sécurité applicative Préventive 3
APP-10 Modélisation des menaces applicatives
Application threat modelling 		Sécurité applicative Préventive 1
APP-11 Priorisation et correction des vulnérabilités logicielles découvertes
Prioritisation and remediation of discovered software vulnerabilities 		Sécurité applicative Réactive 4
APP-12 Protection de l'intégrité logicielle
Protection of software integrity 		Sécurité applicative Préventive 3
APP-13 Support continu des composants logiciels par leur éditeur
Ongoing vendor support for software components 		Sécurité applicative Préventive 1
APP-14 Utilisation exclusive de composants logiciels autorisés
Exclusive use of authorised software components 		Sécurité applicative Préventive 3
APP-15 Vérification continue des vulnérabilités logicielles
Continuous checking for software vulnerabilities 		Sécurité applicative Préventive 4
APP-16 Vérification de l'intégrité des composants logiciels
Verification of software component integrity 		Sécurité applicative Préventive 2
APP-17 Vérification du code source (SAST, DAST)
Source code verification (SAST, DAST) 		Sécurité applicative Préventive 5
COM-01 Accès à distance par authentification multifactorielle
Remote access through multi-factor authentication 		Sécurité des communications Préventive 3
COM-02 Communication par des protocoles sécurisés (p. ex. HTTPS, FTPS, SFTP, ...)
Communication over secure protocols (e.g. HTTPS, FTPS, SFTP, etc.) 		Sécurité des communications Préventive 3
COM-03 Documentation de l'architecture du réseau
Documentation of the network architecture 		Sécurité des communications Préventive 2
COM-04 Exécution des codes téléchargés dans un "bac à sable" du navigateur
Execution of downloaded code in a browser sandbox 		Sécurité des communications Préventive 2
COM-05 Filtrage de la navigation sur Internet
Filtering of Internet browsing 		Sécurité des communications Préventive 3
COM-06 Filtrage des flux réseau (paquets)
Filtering of network traffic (packets) 		Sécurité des communications Préventive 5
COM-07 Filtrage des sites web autorisés et interdits
Filtering of authorised and prohibited websites 		Sécurité des communications Préventive 3
COM-08 Filtrage des services DNS pour bloquer les accès aux domaines malveillants
Filtering of DNS services to block access to malicious domains 		Sécurité des communications Préventive 4
COM-09 Filtrage des extensions des navigateurs non autorisées
Filtering of unauthorised browser extensions 		Sécurité des communications Préventive 3
COM-10 Filtrage web des flux applicatifs (RP, WAF)
Web filtering of application traffic (reverse proxy, WAF) 		Sécurité des communications Préventive 3
COM-11 Maintien à jour de tous les équipements réseau
Keeping all network equipment up to date 		Sécurité des communications Préventive 4
COM-12 Restriction des accès sur les ports d'un commutateur
Restriction of access on switch ports 		Sécurité des communications Préventive 4
COM-13 Restriction des accès via un réseau privé virtuel
Restriction of access through a virtual private network 		Sécurité des communications Préventive 4
COM-14 Sécurisation de la messagerie électronique (antimaliciels, anti-hameçonnage)
Email security (anti-malware, anti-phishing) 		Sécurité des communications Préventive 5
SDS-01 Rédaction et diffusion des procédures d'utilisation des systèmes
Writing and distribution of system operating procedures 		Sécurité des systèmes Préventive 1
PHY-01 Contrôle d'accès physique aux locaux
Physical access control to premises 		Sécurité physique Préventive 3
PHY-02 Politique des bureaux propres
Clean desk policy 		Sécurité physique Préventive 2
PHY-03 Protection physique des matériels
Physical protection of equipment 		Sécurité physique Préventive 3
7 · Commentaire
Changer de méthode