Une fois un contrôle mis en œuvre, le risque a-t-il disparu ?

Les nouveaux analystes GRC marquent souvent un risque comme clos dès qu'une mesure est livrée. Le registre doit dire quelque chose de plus prudent.

La définition

Le glossaire du NIST, citant notamment le NIST SP 800-30 Rev. 1, définit le risque résiduel comme la part du risque qui subsiste après l'application des mesures de sécurité. Le NISTIR 8286 le formule comme le risque qui demeure après que les réponses au risque ont été documentées et exécutées.

Que faire

• Réévaluer vraisemblance et impact en supposant que le contrôle fonctionne comme prévu.
• Consigner la valeur résiduelle à côté de la valeur inhérente dans le registre des risques.
• Décider : le propriétaire responsable l'accepte formellement, ou vous appliquez un traitement supplémentaire (plus de contrôles, transfert, évitement).
• Réviser périodiquement, car les contrôles se dégradent et les menaces évoluent.

Pourquoi les distracteurs échouent

Le risque ne tombe pas à zéro du simple fait qu'un contrôle existe, et le type de contrôle (technique, politique, processus) n'est pas ce qui le détermine. Dire que le risque double est une exagération infondée : un contrôle bien conçu réduit le risque.

Ce que veulent les recruteurs

Un « non, il reste un risque résiduel » net, accompagné du réflexe de le documenter et de le faire accepter par un propriétaire.