Méthodes › FAIR

FAIR - Factor Analysis of Information Risk

Le risque se décompose en une fréquence d’événements de perte et une ampleur de pertes. Chaque facteur s’estime par un intervalle - minimum, valeur la plus probable, maximum - plutôt que par un chiffre unique, parce que personne ne connaît la valeur exacte.

Deux niveaux de saisie. La méthode simplifiée ne demande que cinq estimations et convient à la grande majorité des analyses. La méthode avancée décompose la fréquence en fréquence de contact et probabilité d’action, et la vulnérabilité en capacité de la menace face à la force de résistance des mesures - ce dernier facteur porte le nom de Resistance Strength, Control Strength ou Difficulty selon la version du modèle. Réservez-la aux scénarios où vous disposez de données d’observation.

1 · Définition du scénario

Un scénario FAIR se lit d’une traite : une menace agit sur un actif, ce qui produit un événement de perte, lequel entraîne des pertes primaires et, potentiellement, des pertes secondaires.

Menace Qui ou quoi agit contre l’actif
agit sur Actif Ce que l’on cherche à protéger
produisant Événement de perte L’événement qui garantit une perte financière
entraînant Pertes primaires Conséquence directe pour l’organisation
et parfois Pertes secondaires Réaction des tiers : autorités, clients, presse

Titre de l’analyse

Analyste

Organisation

Contexte

Menace Qui ou quoi agit contre l’actif.

Actif Ce que l’on cherche à protéger.

Processus d’affaires

Événement de perte L’événement qui, s’il survient, garantit une perte financière.

Pertes primaires attendues

Pertes secondaires possibles

Exemple de scénario complet

Un groupe cybercriminel organisé agit sur le serveur de fichiers de la comptabilité, ce qui produit le chiffrement des données et l’interruption du service, entraînant des pertes primaires (réponse à incident, remise en service, productivité perdue de 25 personnes pendant deux jours) et, potentiellement, des pertes secondaires (notification à la Commission d’accès à l’information, enquête réglementaire, perte de clients).

Un bon scénario tient en une phrase. S’il en faut trois, c’est probablement qu’il y a trois scénarios.

2 · Niveau de saisie

Méthode simplifiée - TEF et vulnérabilité Méthode avancée - CF, PoA, TCap et RS

Le changement de niveau recharge le formulaire sans lancer l’analyse.

3 · Fréquence

Fréquence des événements de menace (TEF) tentatives par année Combien de fois par année cette menace tente-t-elle d’atteindre cet actif ?

Minimum

Le plus probable

Maximum

Comment estimer la TEF

Partez de ce que vous observez. Les campagnes d’hameçonnage visant la comptabilité arrivent une douzaine de fois par année ; deux d’entre elles portent une pièce jointe malveillante crédible. On retient donc : minimum 1, le plus probable 2, maximum 6.

Si l’événement est plus rare qu’une fois l’an, exprimez-le en décimales : une fois tous les cinq ans vaut 0,2.

Vulnérabilité % Sur 100 tentatives comparables, combien réussissent ?

Minimum

Le plus probable

Maximum

Comment estimer la vulnérabilité

C’est la question la plus utile de toute l’analyse : sur dix tentatives, combien passent ? Avec authentification multifacteur, EDR à jour et sensibilisation récente, l’équipe estime qu’une tentative sur vingt aboutit. On retient : minimum 2 %, le plus probable 5 %, maximum 15 %.

Un test d’intrusion ou un exercice d’hameçonnage donne une base bien plus solide qu’une intuition. Notez la source dans le commentaire.

4 · Ampleur des pertes

Perte primaire par événement CAD Conséquence financière directe pour votre organisation, pour un seul événement.

Minimum

Le plus probable

Maximum

Comment chiffrer une perte primaire

Additionnez les six formes de perte primaire de FAIR : productivité, réponse, remplacement, avantage concurrentiel, amendes et jugements, réputation.

Réponse : 40 heures d’expertise externe à 250 $ = 10 000 $
Remise en service : 3 jours-personne internes = 3 000 $
Productivité : 25 personnes × 2 jours × 400 $ = 20 000 $
Remplacement de matériel et licences : 15 000 $

Le total plausible tourne autour de 180 000 $ une fois les frais annexes comptés ; 60 000 $ si la restauration se passe bien, 500 000 $ si les sauvegardes sont touchées.

Fréquence des pertes secondaires (SLEF) % Sur 100 événements de ce type, combien déclenchent une réaction de tiers ?

Minimum

Le plus probable

Maximum

Quand des pertes secondaires apparaissent

Les pertes secondaires viennent de la réaction des autres : autorités, clients, partenaires, presse. Elles ne surviennent pas systématiquement. Si des renseignements personnels sont chiffrés, la notification devient obligatoire et la probabilité monte ; si l’incident reste interne, elle chute. Estimation retenue : 30 %.

Ampleur des pertes secondaires (SLM) CAD Coût de cette réaction, lorsqu’elle survient.

Minimum

Le plus probable

Maximum

Comment chiffrer une perte secondaire

Notification aux personnes concernées, surveillance du crédit, honoraires juridiques, enquête réglementaire, amende éventuelle, perte de clientèle. Le maximum retenu ici (900 000 $) correspond au scénario où une amende s’ajoute au départ de deux clients importants.

C’est la variable la plus incertaine de l’analyse : n’hésitez pas à écarter largement le minimum et le maximum.

5 · Mesures de sécurité en place

Chaque mesure porte une seule nature : préventive - elle réduit la vraisemblance ; détective ou réactive - elles réduisent l’impact. Son poids, de 1 à 5, exprime son importance relative dans le référentiel, et non un pourcentage de réduction. La réduction obtenue dépend de la couverture : la part du poids total que vos mesures couvrent, pondérée par leur niveau de mise en œuvre et par l’indice de confiance.

Référentiel de mesures

Indice de confiance de l’évaluation

Référentiel sous droits de reproduction. Cyriskintel - RHMCR v2.1 - Tous droits réservés Cyriskintel 2025. Il est consultable et utilisable pour conduire une analyse sur ce site ; sa reproduction ailleurs est interdite. Son contenu n’est modifiable ni depuis cette page ni par un compte ordinaire : seul un administrateur peut le retoucher, depuis Administration > Référentiels.

Fonction ou thème

Nature

Mot-clé ou code

Affichage

Code	Mesure	Fonction	Nature	Poids
`MOB-01`	Blocage de l'accès aux dépôts logiciels Blocking access to software repositories	Appareils mobiles	Préventive	5
`MOB-02`	Effacement à distance des données sur des appareils mobiles Remote wipe of data on mobile devices	Appareils mobiles	Préventive	2
`MOB-03`	Protection de l'accès à appareil par code PIN ou mot de passe Device access protection by PIN or password	Appareils mobiles	Préventive	5
`MOB-04`	Séparation entre les données de l'entreprise et personnelles Separation of corporate and personal data	Appareils mobiles	Préventive	5
`ADE-01`	Schémas d'architecture maintenus à jour suivant les standards de l'industrie et protégés Architecture diagrams kept up to date according to industry standards and protected	Architecture d'entreprise	Préventive	2
`ADE-02`	Segmentation des réseaux Network segmentation	Architecture d'entreprise	Préventive	4
`ADE-03`	Séparation de la couche de traitement de la couche de stockage des données Separation of the processing layer from the data storage layer	Architecture d'entreprise	Préventive	2
`ADE-04`	Séparation entre les environnements de test, qualification et ceux de la production Separation of test and staging environments from production environments	Architecture d'entreprise	Préventive	3
`QUA-01`	Processus de revue de code automatique Automated code review process	Assurance qualité logicielle	Préventive	3
`QUA-02`	Tests dynamique de code logiciel (fuzzying) Dynamic software code testing (fuzzing)	Assurance qualité logicielle	Préventive	4
`QUA-03`	Tests logiciels dans un environnement adapté Software testing in a suitable environment	Assurance qualité logicielle	Préventive	3
`QUA-04`	Utilisation d'un environnement de développement intégré (IDE) Use of an integrated development environment (IDE)	Assurance qualité logicielle	Préventive	3
`AUD-01`	Audit de la configuration matérielle et logicielle Audit of hardware and software configuration	Audit de sécurité	Préventive	2
`AUD-02`	Audit régulier de la sécurité des systèmes Regular audit of systems security	Audit de sécurité	Préventive	5
`AUD-03`	Tests offensifs / défensifs (purple team) Offensive and defensive testing (purple team)	Audit de sécurité	Préventive	5
`AUD-04`	Tests réguliers de l'efficacité des mesures de contrôle Regular testing of control effectiveness	Audit de sécurité	Préventive	5
`AUTH-01`	Authentification des matériels et utilisateurs avant d'accéder au système d'information Authentication of devices and users before accessing the information system	Authentification	Préventive	3
`AUTH-02`	Authentification multifactorielle Multi-factor authentication	Authentification	Préventive	3
`AUTH-03`	Authentification unique au système d'information (SSO) Single sign-on to the information system (SSO)	Authentification	Préventive	3
`AUTH-04`	Chiffrement du mot de passe en stockage Password encryption in storage	Authentification	Préventive	3
`AUTH-05`	Chiffrement du mot de passe en transit Password encryption in transit	Authentification	Préventive	3
`AUTH-06`	Mot de passe non transmis sur le réseau Password not transmitted over the network	Authentification	Préventive	3
`AUTH-07`	Politique de mot de passe robuste Robust password policy	Authentification	Préventive	3
`AUTH-08`	Utilisation de mots de passe uniques Use of unique passwords	Authentification	Préventive	3
`AUTH-09`	Verrouillage automatique de la session après échecs successifs de l'authentification Automatic session lockout after successive authentication failures	Authentification	Préventive	4
`AUTH-10`	Authentification des sources de données légitimes Authentication of legitimate data sources	Authentification	Préventive	4
`FOR-01`	Formation du personnel à détecter et à déclarer un incident de sécurité Staff training on detecting and reporting a security incident	Formation et sensibilisation	Réactive	2
`FOR-02`	Formation du personnel à l'utilisation des technologies et de l'importance des mises à jour Staff training on the use of technologies and the importance of updates	Formation et sensibilisation	Préventive	2
`FOR-03`	Formation du personnel à la sécurité adaptée aux rôles et responsabilités Staff security training adapted to roles and responsibilities	Formation et sensibilisation	Préventive	2
`FOR-04`	Sensibilisation du personnel à la déclaration prompte du vol ou d'une perte de matériel Staff awareness of prompt reporting of theft or loss of equipment	Formation et sensibilisation	Préventive	4
`FOR-05`	Sensibilisation du personnel à la gestion sécurisée des documents et des données Staff awareness of secure management of documents and data	Formation et sensibilisation	Préventive	2
`FOR-06`	Sensibilisation du personnel aux meilleures méthodes d'authentification Staff awareness of best authentication practices	Formation et sensibilisation	Préventive	2
`FOR-07`	Sensibilisation du personnel aux menaces courantes et émergentes Staff awareness of common and emerging threats	Formation et sensibilisation	Préventive	5
`FOR-08`	Sensibilisation du personnel aux techniques d'ingénierie sociale Staff awareness of social engineering techniques	Formation et sensibilisation	Préventive	4
`GIA-01`	Accès à partir d'une infrastructure de poste virtualisée (VDI) Access from a virtual desktop infrastructure (VDI)	Gestion des accès	Préventive	5
`GIA-02`	Accès privilégié par des stations dédiées et sécurisées (PAW) Privileged access from dedicated and secured workstations (PAW)	Gestion des accès	Préventive	5
`GIA-03`	Application du principe de privilège minimum Application of the least privilege principle	Gestion des accès	Préventive	5
`GIA-04`	Application du principe du droit d'en connaître Application of the need-to-know principle	Gestion des accès	Préventive	2
`GIA-05`	Attribution des droits d'accès basé sur des rôles (RBAC) Role-based assignment of access rights (RBAC)	Gestion des accès	Préventive	2
`GIA-06`	Centralisation sécurisée de la gestion des comptes Secure centralization of account management	Gestion des accès	Préventive	3
`GIA-07`	Contrôle d'accès au réseau (NAC) prenant en compte le contexte et l'intégrité du dispositif Network access control (NAC) accounting for device context and integrity	Gestion des accès	Préventive	4
`GIA-08`	Désactivation des comptes dormants Deactivation of dormant accounts	Gestion des accès	Préventive	2
`GIA-09`	Gestion des comptes privilégiés Management of privileged accounts	Gestion des accès	Préventive	2
`GIA-10`	Gestion des profils d'accès Management of access profiles	Gestion des accès	Préventive	2
`GIA-11`	Inventaire actualisé des comptes système et comptes de service Up-to-date inventory of system and service accounts	Gestion des accès	Préventive	2
`GIA-12`	Inventaire actualisé des comptes utilisateur Up-to-date inventory of user accounts	Gestion des accès	Préventive	2
`GIA-13`	Restriction des permissions sur les fichiers et répertoires Restriction of permissions on files and directories	Gestion des accès	Préventive	5
`GIA-14`	Révision et révocation périodique des droits d'accès Periodic review and revocation of access rights	Gestion des accès	Préventive	3
`GIA-15`	Rotation de mot de passe si un vol est suspecté Password rotation when theft is suspected	Gestion des accès	Réactive	3
`GIA-16`	Suspension des droits d'accès en cas de longue absence Suspension of access rights during long absences	Gestion des accès	Préventive	3
`GIA-17`	Verrouillage automatique de la session sur une station de travail après inactivité Automatic session lock on a workstation after inactivity	Gestion des accès	Préventive	4
`TIC-01`	Application des mises à jour vers la dernière version du système d'exploitation Application of updates to the latest operating system version	Gestion des actifs TI	Préventive	4
`TIC-02`	Application des mises à jour vers la dernière version logicielle Application of updates to the latest software version	Gestion des actifs TI	Préventive	4
`TIC-03`	Attribution d'un propriétaire à chaque actif TI Assignment of an owner to each IT asset	Gestion des actifs TI	Préventive	1
`TIC-04`	Décommissionnement contrôlé et sécurisé des systèmes et des matériels en fin de vie Controlled and secure decommissioning of end-of-life systems and equipment	Gestion des actifs TI	Préventive	2
`TIC-05`	Gestion des capacités des systèmes d'information Capacity management of information systems	Gestion des actifs TI	Préventive	2
`TIC-06`	Gestion des actifs TI durant tout le cycle de vie Management of IT assets throughout the life cycle	Gestion des actifs TI	Préventive	1
`TIC-07`	Gestion saine des licences logicielles Sound management of software licences	Gestion des actifs TI	Préventive	1
`TIC-08`	Inventaire actualisé et hiérarchisé des actifs logiciels (pré-requis) Up-to-date and prioritized inventory of software assets (prerequisite)	Gestion des actifs TI	Préventive	1
`TIC-09`	Inventaire actualisé et hiérarchisé des actifs matériels (pré-requis) Up-to-date and prioritized inventory of hardware assets (prerequisite)	Gestion des actifs TI	Préventive	1
`TIC-10`	Inventaire actualisé et hiérarchisé des actifs systèmes (pré-requis) Up-to-date and prioritized inventory of system assets (prerequisite)	Gestion des actifs TI	Préventive	1
`TIC-11`	Maintenance logicielle Software maintenance	Gestion des actifs TI	Préventive	3
`TIC-12`	Maintenance périodique et supervisée des systèmes Periodic and supervised system maintenance	Gestion des actifs TI	Préventive	2
`TIC-13`	Obligation de retour du matériel professionnel prêté au personnel Obligation to return corporate equipment loaned to staff	Gestion des actifs TI	Préventive	1
`TIC-14`	Plan de câblage clair Clear cabling plan	Gestion des actifs TI	Préventive	1
`TIC-15`	Politique organisationnelle interdisant la copie illégale de logiciels Organizational policy prohibiting illegal software copying	Gestion des actifs TI	Préventive	1
`TIC-16`	Politique organisationnelle sur le bon usage des actifs TI Organizational policy on the proper use of IT assets	Gestion des actifs TI	Préventive	1
`TIC-17`	Protection des systèmes et matériels contre les menaces environnementales Protection of systems and equipment against environmental threats	Gestion des actifs TI	Préventive	2
`TIC-18`	Stratégie de remplacement matériel en fin de vie ou non sécurisé Replacement strategy for end-of-life or insecure hardware	Gestion des actifs TI	Préventive	4
`CFG-01`	Configuration sécurisée et normalisée d'un équipement de sécurité Secure and standardized configuration of a security appliance	Gestion des configurations	Préventive	4
`CFG-02`	Configuration sécurisée et normalisée d'un équipement réseau Secure and standardized configuration of a network device	Gestion des configurations	Préventive	4
`CFG-03`	Configuration sécurisée et normalisée d'un logiciel Secure and standardized configuration of software	Gestion des configurations	Préventive	4
`CFG-04`	Configuration sécurisée et normalisée d'un logiciel de sécurité Secure and standardized configuration of security software	Gestion des configurations	Préventive	4
`CFG-05`	Configuration sécurisée et normalisée d'un service d'infrastructure (AD, DNS, LDAP) Secure and standardized configuration of an infrastructure service (AD, DNS, LDAP)	Gestion des configurations	Préventive	5
`CFG-06`	Configuration sécurisée et normalisée d'un système Secure and standardized configuration of a system	Gestion des configurations	Préventive	4
`VUL-01`	Balayages réguliers des vulnérabilités Regular vulnerability scanning	Gestion des vulnérabilités	Préventive	4
`VUL-02`	Correction des vulnérabilités détectées priorisées par le niveau de risque Remediation of detected vulnerabilities prioritized by risk level	Gestion des vulnérabilités	Préventive	4
`VUL-03`	Correction rapide des vulnérabilités critiques détectées Rapid remediation of detected critical vulnerabilities	Gestion des vulnérabilités	Préventive	4
`VUL-04`	Gestion continue des vulnérabilités Continuous vulnerability management	Gestion des vulnérabilités	Préventive	4
`VUL-05`	Virtualisation des correctifs Patch virtualisation	Gestion des vulnérabilités	Préventive	4
`GDD-11`	Gestion du cycle de vie des données de l'entreprise Management of the corporate data lifecycle	Gouvernance des données	Préventive	1
`GDD-12`	Identification des propriétaires des données de l'entreprise Identification of corporate data owners	Gouvernance des données	Préventive	1
`GDD-13`	Inventaire actualisé des données de l'entreprise (pré-requis) Up-to-date inventory of corporate data (prerequisite)	Gouvernance des données	Préventive	1
`GDD-14`	Rétention légale des données Legal data retention	Gouvernance des données	Préventive	1
`GOV-01`	Allocation d'un budget suffisant pour les investissements TI et sécurité Allocation of a sufficient budget for IT and security investments	Gouvernance et risques	Préventive	1
`GOV-02`	Clauses contractuelles intégrant la sécurité de l'information Contractual clauses covering information security	Gouvernance et risques	Préventive	1
`GOV-03`	Communiquer régulièrement les risques à toutes les parties concernées Regular communication of risks to all concerned parties	Gouvernance et risques	Préventive	1
`GOV-04`	Connaissance et maîtrise de la chaîne d'approvisionnement Knowledge and control of the supply chain	Gouvernance et risques	Préventive	1
`GOV-05`	Définir les critères de risques applicables à toute l'organisation Definition of risk criteria applicable across the organisation	Gouvernance et risques	Préventive	1
`GOV-06`	Description claire des rôles et des responsabilités Clear description of roles and responsibilities	Gouvernance et risques	Préventive	1
`GOV-07`	Établir des indicateurs et maintenir un tableau de bord opérationnel et stratégique Establishment of indicators and maintenance of an operational and strategic dashboard	Gouvernance et risques	Préventive	1
`GOV-08`	Évaluation de la maturité, de la posture et du risque fournisseur Assessment of supplier maturity, posture and risk	Gouvernance et risques	Préventive	1
`GOV-09`	Politiques de sécurité actualisées, approuvées et diffusées aux parties intéressées Security policies kept up to date, approved and distributed to interested parties	Gouvernance et risques	Préventive	1
`GOV-10`	Processus de gestion des dérogations aux politiques de sécurité Process for managing exemptions to security policies	Gouvernance et risques	Préventive	1
`GOV-11`	Processus d'analyse des risques efficace Effective risk analysis process	Gouvernance et risques	Préventive	1
`GOV-12`	Programme de cybersécurité triannuel une feuille de route en accord avec les risques auxquels l'organisation est exposée Three-year cybersecurity programme, a roadmap aligned with the risks to which the organisation is exposed	Gouvernance et risques	Préventive	1
`GOV-13`	Recensement des contraintes légales et réglementares Inventory of legal and regulatory constraints	Gouvernance et risques	Préventive	1
`GOV-14`	Recensement des systèmes critiques (de mission) et de leurs responsables Inventory of critical (mission) systems and their owners	Gouvernance et risques	Préventive	1
`GOV-15`	Recensement et hiérarchisation des fournisseurs autorisés et de leurs services Inventory and ranking of authorised suppliers and their services	Gouvernance et risques	Préventive	1
`GOV-16`	Sélection et application des bonnes pratiques en matière de gestion des TI et sécurité Selection and application of good practices for IT and security management	Gouvernance et risques	Préventive	1
`GOV-17`	Séparation des responsabilités (SoD) Segregation of duties (SoD)	Gouvernance et risques	Préventive	1
`GOV-18`	Vérification de la chaîne d'approvisionnement Supply chain verification	Gouvernance et risques	Préventive	1
`INT-01`	Analyse de programmes inconnus en bac-à-sable (mise en quarantaine) Sandbox analysis of unknown programs (quarantine)	Intégrité des systèmes	Préventive	3
`INT-02`	Blocage des accès aux sources de données douteuses Blocking access to suspicious data sources	Intégrité des systèmes	Préventive	4
`INT-03`	Désinstallation ou désactivation de services et programmes inutiles dans les systèmes Uninstallation or deactivation of unnecessary services and programs on systems	Intégrité des systèmes	Préventive	4
`INT-04`	Détection automatique des logiciels non autorisés Automatic detection of unauthorised software	Intégrité des systèmes	Réactive	3
`INT-05`	Interdiction d'installer des logiciels non autorisés sur le poste de travail Prohibition on installing unauthorised software on the workstation	Intégrité des systèmes	Préventive	4
`INT-06`	Interdiction de connecter des supports de stockage amovibles sur le poste de travail Prohibition on connecting removable storage media to the workstation	Intégrité des systèmes	Préventive	3
`INT-07`	Modification des mots de passe par défaut Change of default passwords	Intégrité des systèmes	Préventive	4
`INT-08`	Navigation sur Internet réservée aux stations de travail via des fureteurs autorisés Internet browsing restricted to workstations through authorised browsers	Intégrité des systèmes	Préventive	3
`INT-09`	Prévention de l'exécution de programmes à partir d'un support amovible Prevention of program execution from removable media	Intégrité des systèmes	Préventive	2
`INT-10`	Protection de l'intégrité des processus Protection of process integrity	Intégrité des systèmes	Préventive	3
`INT-11`	Prévention des intrusions dans le réseau (NIPS) Network intrusion prevention (NIPS)	Intégrité des systèmes	Préventive	5
`INT-12`	Prévention des intrusions dans un système (HIPS) System intrusion prevention (HIPS)	Intégrité des systèmes	Préventive	5
`INT-13`	Protection contre les logiciels malveillants sur les postes et les serveurs Protection against malware on workstations and servers	Intégrité des systèmes	Préventive	4
`INT-14`	Protection contre l'excution de programmes et scripts non autorisés Protection against the execution of unauthorised programs and scripts	Intégrité des systèmes	Préventive	3
`INT-15`	Protection de l'exécution du micrologiciel Protection of firmware execution	Intégrité des systèmes	Préventive	4
`INT-16`	Protection de l'intégrité du système de fichiers Protection of file system integrity	Intégrité des systèmes	Préventive	2
`INT-17`	Restriction des accès aux journaux applicatifs ou système Restriction of access to application or system logs	Intégrité des systèmes	Préventive	4
`INT-18`	Restriction du chargement de bibliothèques et processus non autorisés Restriction on loading unauthorised libraries and processes	Intégrité des systèmes	Préventive	3
`INT-19`	Signature de code mobile Mobile code signing	Intégrité des systèmes	Préventive	3
`INT-20`	Suppression des logiciels non autorisés après détection Removal of unauthorised software after detection	Intégrité des systèmes	Réactive	3
`INT-21`	Tests matériels supervisés avant leur déploiement Supervised hardware testing before deployment	Intégrité des systèmes	Préventive	2
`INT-22`	Vérification de l'intégrité matérielle avant déploiement Verification of hardware integrity before deployment	Intégrité des systèmes	Préventive	2
`MSG-01`	Blocage de fichiers joints non indispensables ou dangereux Blocking of unnecessary or dangerous attachments	Messagerie électronique	Préventive	4
`MSG-02`	Implémentation d'une politique et vérification des courriels entrants (DMARC, SPF) Implementation of a policy and verification of incoming email (DMARC, SPF)	Messagerie électronique	Préventive	5
`MSG-03`	Implémentation d'une solution antimaliciels Implementation of an anti-malware solution	Messagerie électronique	Préventive	5
`PDO-01`	Chiffrement des données sensibles au repos (base de données) Encryption of sensitive data at rest (database)	Protection des données	Préventive	2
`PDO-02`	Chiffrement des données sensibles au repos (conteneur applicatif) Encryption of sensitive data at rest (application container)	Protection des données	Préventive	2
`PDO-03`	Chiffrement des données sensibles au repos (dispositif de l'utilisateur) Encryption of sensitive data at rest (user device)	Protection des données	Préventive	2
`PDO-04`	Chiffrement des données sensibles au repos (support amovible de stockage) Encryption of sensitive data at rest (removable storage media)	Protection des données	Préventive	2
`PDO-05`	Chiffrement des données sensibles en transit (cf. connexion via des protocoles utilisés) Encryption of sensitive data in transit (see connections over the protocols in use)	Protection des données	Préventive	2
`PDO-06`	Classification des données (pré-requis) Data classification (prerequisite)	Protection des données	Préventive	1
`PDO-07`	Contrôle des modifications de données Control of data modifications	Protection des données	Préventive	3
`PDO-08`	Destruction sécurisée des supports de données Secure destruction of storage media	Protection des données	Préventive	2
`PDO-10`	Identification des sources de données légitimes Identification of legitimate data sources	Protection des données	Préventive	3
`PDO-11`	Interdiction des partages réseau Prohibition of network shares	Protection des données	Préventive	4
`PDO-12`	Marquage électronique des données (pré-requis) Electronic labelling of data (prerequisite)	Protection des données	Préventive	1
`PDO-13`	Détection automatique des fuites de données Automatic detection of data leaks	Protection des données	Réactive	2
`PDO-14`	Prévention automatique des fuites de données Automatic prevention of data leaks	Protection des données	Préventive	2
`PDO-15`	Protection des copies de sauvegarde contre l'accès non autorisé Protection of backup copies against unauthorised access	Protection des données	Préventive	2
`PDO-16`	Réplication des données dans d'autres supports de stockage Replication of data to other storage media	Protection des données	Préventive	2
`PDO-17`	Sauvegarde automatique des données à l'extérieur du système d'information Automatic backup of data outside the information system	Protection des données	Préventive	2
`PDO-18`	Sauvegarde multi-supports des données Multi-media data backup	Protection des données	Préventive	2
`PDO-19`	Transfert sécurisé d'informations hors du système d'information organisationnel Secure transfer of information outside the organisational information system	Protection des données	Préventive	2
`PDO-20`	Vérification de l'intégrité des données (p. ex. par empreinte numérique) Verification of data integrity (e.g. by digital fingerprint)	Protection des données	Réactive	2
`PDO-21`	Vérification de l'intégrité des sauvegardes Verification of backup integrity	Protection des données	Réactive	3
`REP-01`	Application des procédures de reprise sur incident Application of incident recovery procedures	Reprise sur incident	Réactive	1
`REP-02`	Communication du statut de l'incident aux parties intéressées externes et internes Communication of incident status to external and internal interested parties	Reprise sur incident	Réactive	1
`REP-03`	Documentation de l'incident avec enregistrement en base Incident documentation with recording in a database	Reprise sur incident	Réactive	2
`REP-04`	Rédaction des procédures de reprise sur incident Drafting of incident recovery procedures	Reprise sur incident	Réactive	1
`REP-05`	Reprise sur incident priorisant les fonctions critiques de l'entreprise (cf. BIA) Incident recovery prioritising the critical business functions (see BIA)	Reprise sur incident	Réactive	1
`REP-06`	Restauration des données après vérification de leur intégrité Data restoration after integrity verification	Reprise sur incident	Réactive	2
`PER-01`	Responsabilités sécurité dans la description de poste Security responsibilities in the job description	Ressources humaines	Préventive	1
`PER-02`	Signature de la politique du bon usage des outils informatiques Signature of the acceptable use policy for IT tools	Ressources humaines	Préventive	1
`PER-03`	Vérification des antécédents des candidats à l'embauche Background checks on job candidates	Ressources humaines	Préventive	2
`RES-01`	Analyse et catégorisation des événements détectés Analysis and categorisation of detected events	Réaction aux incidents	Réactive	2
`RES-02`	Application des procédures de réaction à des incidents spécifiques Application of response procedures for specific incidents	Réaction aux incidents	Réactive	1
`RES-03`	Communication des incidents aux parties intéressées externes et internes Communication of incidents to external and internal interested parties	Réaction aux incidents	Réactive	1
`RES-04`	Confinement de l'incident Incident containment	Réaction aux incidents	Réactive	2
`RES-05`	Détermination de l'impact technique et financier des incidents Determination of the technical and financial impact of incidents	Réaction aux incidents	Réactive	1
`RES-06`	Escalade pour les événements à l'impact considérable Escalation for events with considerable impact	Réaction aux incidents	Réactive	1
`RES-07`	Gestion de crise incluant toutes les parties prenantes Crisis management including all stakeholders	Réaction aux incidents	Réactive	1
`RES-08`	Intervention de tierces parties Third-party intervention	Réaction aux incidents	Réactive	1
`RES-09`	Protection des preuves lors d'une enquête numérique Protection of evidence during a digital investigation	Réaction aux incidents	Réactive	2
`RES-10`	Retour d'expérience (RETEX, leçons post-incident) Lessons learned (post-incident review)	Réaction aux incidents	Préventive	1
`RES-11`	Rédaction de procédures de réaction à des incidents spécifiques Drafting of response procedures for specific incidents	Réaction aux incidents	Réactive	1
`RES-12`	Suppression de la menace Threat removal	Réaction aux incidents	Réactive	1
`RES-14`	Triage des événements détectés Triage of detected events	Réaction aux incidents	Réactive	2
`RSL-01`	Bilan d'impact sur les affaires (BIA) Business impact analysis (BIA)	Résilience des TI	Préventive	1
`RSL-02`	Implication des tierces parties dans les exercices de continuité des affaires Involvement of third parties in business continuity exercises	Résilience des TI	Préventive	1
`RSL-03`	Préparation et test du plan de continuité Preparation and testing of the continuity plan	Résilience des TI	Préventive	1
`RSL-04`	Préparation et test du plan de relève TI Preparation and testing of the IT recovery plan	Résilience des TI	Préventive	1
`RSL-05`	Redondance des systèmes d'informations Redundancy of information systems	Résilience des TI	Préventive	2
`SRC-01`	Centralisation des alertes sur événement Centralization of event alerts	Surveillance continue	Réactive	2
`SRC-02`	Centralisation des journaux Centralization of logs	Surveillance continue	Réactive	4
`SRC-03`	Communication en temps opportun par le fournisseur de tout incident Timely reporting of any incident by the supplier	Surveillance continue	Réactive	1
`SRC-04`	Contrôle du traitement de données sensibles Control of sensitive data processing	Surveillance continue	Réactive	3
`SRC-05`	Corrélation des journaux de sources variées Correlation of logs from varied sources	Surveillance continue	Réactive	2
`SRC-06`	Découverte proactive des incidents (threat hunting) Proactive discovery of incidents (threat hunting)	Surveillance continue	Réactive	3
`SRC-07`	Détection des canaux de communication non autorisés Detection of unauthorized communication channels	Surveillance continue	Réactive	3
`SRC-08`	Détection des corruptions de données Detection of data corruption	Surveillance continue	Réactive	2
`SRC-09`	Détection des intrusions logiques dans le réseau (NIDS) Detection of logical intrusions in the network (NIDS)	Surveillance continue	Réactive	4
`SRC-10`	Détection des intrusions logiques dans les systèmes (HIDS) Detection of logical intrusions in systems (HIDS)	Surveillance continue	Réactive	5
`SRC-11`	Détection des intrusions physiques Detection of physical intrusions	Surveillance continue	Réactive	3
`SRC-12`	Détection des logiciels sans license officielle Detection of software without an official license	Surveillance continue	Réactive	1
`SRC-13`	Détection des systèmes non autorisés et déconnexion du réseau Detection of unauthorized systems and disconnection from the network	Surveillance continue	Réactive	4
`SRC-14`	Détection des systèmes non supportés Detection of unsupported systems	Surveillance continue	Réactive	4
`SRC-15`	Détection du chargement ou création de nouveaux processus Detection of the loading or creation of new processes	Surveillance continue	Réactive	2
`SRC-16`	Détection et désinstallation des logiciels non supportés Detection and uninstallation of unsupported software	Surveillance continue	Réactive	3
`SRC-17`	Développement de cas d'usage pour détecter les événements Development of use cases to detect events	Surveillance continue	Réactive	2
`SRC-18`	Gestion de l'espace de stockage pour les journaux Management of storage space for logs	Surveillance continue	Préventive	3
`SRC-19`	Inspection des sessions SSL/TLS Inspection of SSL/TLS sessions	Surveillance continue	Réactive	3
`SRC-20`	Inventaire des sources de journaux système Inventory of system log sources	Surveillance continue	Réactive	2
`SRC-21`	Journalisation des accès aux données Logging of data access	Surveillance continue	Réactive	3
`SRC-22`	Journalisation des accès privilégiés Logging of privileged access	Surveillance continue	Réactive	3
`SRC-23`	Journalisation des commandes système passées Logging of system commands issued	Surveillance continue	Réactive	3
`SRC-24`	Journalisation des événements système et réseau Logging of system and network events	Surveillance continue	Réactive	2
`SRC-25`	Journalisation des traitements de données Logging of data processing operations	Surveillance continue	Réactive	3
`SRC-26`	Processus de double regard Four-eyes process	Surveillance continue	Réactive	3
`SRC-27`	Rétention des journaux et des pistes d'audit Retention of logs and audit trails	Surveillance continue	Réactive	2
`SRC-28`	Revue périodique des journaux et des pistes d'audit Periodic review of logs and audit trails	Surveillance continue	Réactive	2
`SRC-29`	Synchronisation des horloges pour l'horodatage des journaux Clock synchronization for log timestamping	Surveillance continue	Réactive	2
`SRC-30`	Veille régulière sur les menaces courantes et émergentes Regular threat intelligence monitoring of current and emerging threats	Surveillance continue	Préventive	1
`APP-01`	Application du processus de développement sécurisé Application of the secure development process	Sécurité applicative	Préventive	3
`APP-02`	Authentification multifactorielle aux applications exposées sur internet Multi-factor authentication for internet-facing applications	Sécurité applicative	Préventive	3
`APP-03`	Documentation de l'architecture applicative Documentation of the application architecture	Sécurité applicative	Préventive	2
`APP-04`	Documentation des flux de données Documentation of data flows	Sécurité applicative	Préventive	2
`APP-05`	Formation continue des développeurs à la sécurisation du code Ongoing training of developers in secure coding	Sécurité applicative	Préventive	3
`APP-06`	Gestion des accès concurrents aux bases de données Management of concurrent access to databases	Sécurité applicative	Préventive	3
`APP-07`	Inventaire manuel ou automatisé des composants logiciels (pré-requis) Manual or automated inventory of software components (prerequisite)	Sécurité applicative	Préventive	1
`APP-08`	Liste des composants logiciels, scripts et bibliothèques autorisés List of authorised software components, scripts and libraries	Sécurité applicative	Préventive	3
`APP-09`	Maintien de patrons logiciels sécurisés (security patterns) réutilisables Maintenance of reusable security patterns	Sécurité applicative	Préventive	3
`APP-10`	Modélisation des menaces applicatives Application threat modelling	Sécurité applicative	Préventive	1
`APP-11`	Priorisation et correction des vulnérabilités logicielles découvertes Prioritisation and remediation of discovered software vulnerabilities	Sécurité applicative	Réactive	4
`APP-12`	Protection de l'intégrité logicielle Protection of software integrity	Sécurité applicative	Préventive	3
`APP-13`	Support continu des composants logiciels par leur éditeur Ongoing vendor support for software components	Sécurité applicative	Préventive	1
`APP-14`	Utilisation exclusive de composants logiciels autorisés Exclusive use of authorised software components	Sécurité applicative	Préventive	3
`APP-15`	Vérification continue des vulnérabilités logicielles Continuous checking for software vulnerabilities	Sécurité applicative	Préventive	4
`APP-16`	Vérification de l'intégrité des composants logiciels Verification of software component integrity	Sécurité applicative	Préventive	2
`APP-17`	Vérification du code source (SAST, DAST) Source code verification (SAST, DAST)	Sécurité applicative	Préventive	5
`COM-01`	Accès à distance par authentification multifactorielle Remote access through multi-factor authentication	Sécurité des communications	Préventive	3
`COM-02`	Communication par des protocoles sécurisés (p. ex. HTTPS, FTPS, SFTP, ...) Communication over secure protocols (e.g. HTTPS, FTPS, SFTP, etc.)	Sécurité des communications	Préventive	3
`COM-03`	Documentation de l'architecture du réseau Documentation of the network architecture	Sécurité des communications	Préventive	2
`COM-04`	Exécution des codes téléchargés dans un "bac à sable" du navigateur Execution of downloaded code in a browser sandbox	Sécurité des communications	Préventive	2
`COM-05`	Filtrage de la navigation sur Internet Filtering of Internet browsing	Sécurité des communications	Préventive	3
`COM-06`	Filtrage des flux réseau (paquets) Filtering of network traffic (packets)	Sécurité des communications	Préventive	5
`COM-07`	Filtrage des sites web autorisés et interdits Filtering of authorised and prohibited websites	Sécurité des communications	Préventive	3
`COM-08`	Filtrage des services DNS pour bloquer les accès aux domaines malveillants Filtering of DNS services to block access to malicious domains	Sécurité des communications	Préventive	4
`COM-09`	Filtrage des extensions des navigateurs non autorisées Filtering of unauthorised browser extensions	Sécurité des communications	Préventive	3
`COM-10`	Filtrage web des flux applicatifs (RP, WAF) Web filtering of application traffic (reverse proxy, WAF)	Sécurité des communications	Préventive	3
`COM-11`	Maintien à jour de tous les équipements réseau Keeping all network equipment up to date	Sécurité des communications	Préventive	4
`COM-12`	Restriction des accès sur les ports d'un commutateur Restriction of access on switch ports	Sécurité des communications	Préventive	4
`COM-13`	Restriction des accès via un réseau privé virtuel Restriction of access through a virtual private network	Sécurité des communications	Préventive	4
`COM-14`	Sécurisation de la messagerie électronique (antimaliciels, anti-hameçonnage) Email security (anti-malware, anti-phishing)	Sécurité des communications	Préventive	5
`SDS-01`	Rédaction et diffusion des procédures d'utilisation des systèmes Writing and distribution of system operating procedures	Sécurité des systèmes	Préventive	1
`PHY-01`	Contrôle d'accès physique aux locaux Physical access control to premises	Sécurité physique	Préventive	3
`PHY-02`	Politique des bureaux propres Clean desk policy	Sécurité physique	Préventive	2
`PHY-03`	Protection physique des matériels Physical protection of equipment	Sécurité physique	Préventive	3

6 · Calcul

En mode invité, le calcul reste ponctuel : une espérance mathématique par facteur. La simulation de Monte-Carlo est réservée aux utilisateurs enregistrés.

Commentaire et sources des estimations

Changer de méthode