FAIR (Factor Analysis of Information Risk).

Standard international ouvert pour quantifier le risque informationnel et cyber en termes financiers, en décomposant le risque en facteurs de fréquence et de magnitude des pertes. Cette notion relève de la catégorie Conformité et référentiels en cybersécurité.

Standard international ouvert pour quantifier le risque informationnel et cyber en termes financiers, en décomposant le risque en facteurs de fréquence et de magnitude des pertes.

FAIR, maintenu par le FAIR Institute et normalisé par The Open Group (O-RA, O-RT), est le modèle quantitatif de cyber-risque le plus répandu. Il décompose le risque en fréquence des événements de perte (fréquence des événements de menace × vulnérabilité) et en magnitude des pertes (primaires et secondaires), avec des sous-facteurs estimés via des plages calibrées. Des outils comme FAIR-U et des plateformes commerciales exécutent généralement des simulations de Monte Carlo pour produire des distributions de pertes, dont l'ALE et les courbes d'excédence. FAIR sert à prioriser les investissements de sécurité, alimenter le dialogue avec le conseil et les régulateurs, fixer l'appétence et souscrire des cyber-assurances. Il est complémentaire d'ISO 31000, du NIST RMF et des cadres ERM.

Les défenses contre FAIR (Factor Analysis of Information Risk) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : FAIR, Analyse FAIR.