Présentation du Standard FAIR
Aujourd'hui, tous les processus de l'entreprise ou presque sont informatisés. Les données collectées, créées et transformées par ces processus sont désormais parmi les actifs qui ont le plus de valeur dans l'entreprise.
Afin de sécuriser leur informatique, les entreprises disposent de cadres et lignes directrices comme ISO 27000, les frameworks CSF du NIST ou Cobit de l'ISACA ou encore EBIOS de l'ANSSI qui les guident pour séquencer les actions de leur programme de gestion des risques et de la sécurité informatique :
- Définir les objectifs et les responsabilités de chaque fonction dans l'entreprise
- Ecrire les politiques et procédures à respecter
- Mettre en place les contrôles correspondant: par exemple les contrôles d'accès au SI, les mises à jour des systèmes d'exploitation, les antivirus, les pare-feux, etc.
- Vérifier en continue l'efficacité de ces contrôles, de ces solutions de sécurité face aux menaces en procédant à des analyses de risques
Pour toutes ces activités, ces normes et frameworks expliquent ce qu'il faut faire, mais pas comment le faire. Un peu comme les lois, ils n'ont pas vocation à être prescriptifs et ne détaillent donc pas comment mettre en œuvre les activités qu'ils préconisent. En particulier quand il s'agit de mesurer, ils proposent le cas échéant une échelle ordinale de maturité du programme mais ne permettent pas de quantifier, d'une manière objective, cohérente et reproductible, l'efficacité d'un contrôle ou la quantité de risque à laquelle une organisation est exposée.
C’est ici que le standard FAIR est utile en les complétant car c'est est un modèle analytique pour quantifier la fréquence et l'impact financier probable d'un sinistre future.
- Que représente le risque cyber en termes financiers pour notre organisation ?
- Quelle partie de mon activité présente le risque cyber le plus importantInvestit-on suffisamment sur les bons contrôles ?
- Entre deux solutions de sécurité, laquelle réduit le plus notre exposition au risque ?
- Le montant de couverture de notre cyber assurance est-il suffisant?De quel montant nos investissements en sécurité ont-ils permis de réduire notre risque
Découvrez la plateforme d'apprentissage en ligne de C-Risk Education
Obtenez une compréhension détaillée de la taxonomie et de la méthodologie d'analyse FAIR. Découvrez comment la quantification peut améliorer vos décisions budgétaires en matière de sécurité de l'information et la communication avec les principales parties prenantes.
Le standard FAIR est composé :
- D'une taxonomie précise des variables qui composent le risque et des interactions entre ces variables.
- D'une méthode d'analyse mettant en œuvre statistique et probabilité afin d'associer à chacune des variables d'un scénario de risque, des plages de valeurs numériques.
On est ainsi capable d'estimer la fréquence probable et l'impact probable d'un sinistre redouté dans le futur et des montants financiers qui en résulteraient.
Les approches qualitatives laissent se confronter les avis et opinions et n'aident pas vraiment à prioriser les risques rouges, oranges et verts.
Le standard FAIR, lui, permet de quantifier financièrement, de manière objective et reproductible, les risques cyber auxquels une organisation est confrontée.
C-Risk Education peut vous aider à vous préparer
La certification FAIR valide la compréhension et la connaissance par un professionnel du cadre et de la méthodologie FAIR.
C-Risk Education est un organisme de formation accrédité Open FAIR. Nous apportons un soutien précieux aux professionnels du risque qui souhaitent réussir l'examen de certification FAIR™.
Nos cours dispensés par un formateur offrent une base solide sur les concepts FAIR™, garantissant une solide compréhension de la taxonomie et de la méthodologie d'analyse essentielles à la réussite.
Le cours de formation de deux jours de C-Risk pour les praticiens, dirigé par des experts en cybersécurité et en gestion des risques, fournit aux professionnels des risques des compétences pratiques leur permettant d'appliquer des techniques de gestion des risques quantitatives et basées sur les données, sur la base du corpus de connaissances FAIR™. Ce cours comprend également du temps consacré à travailler sur des études de cas, ce qui vous aidera à affiner et à approfondir votre expertise.
En outre, C-Risk propose un cours d'apprentissage en ligne interactif et adapté à votre rythme, "Gestion des cyber risques axée sur les données pour les praticiens" qui constitue une autre excellente ressource pour se préparer à l'examen de certification Open FAIR™ 2 Foundation. Planifier un appel pour en savoir plus !
Nous avons conçu des solutions évolutives pour quantifier les risques cyber en termes financiers afin que les organisations améliorent leur gouvernance et leur résilience grâce à des décisions éclairées.
