Analyse quantitative des risques.

Approche d'analyse qui exprime vraisemblance et impact sous forme chiffrée, typiquement par des probabilités et des distributions de pertes monétaires, pour étayer des décisions fondées sur des données. Cette notion relève de la catégorie Conformité et référentiels en cybersécurité.

Approche d'analyse qui exprime vraisemblance et impact sous forme chiffrée, typiquement par des probabilités et des distributions de pertes monétaires, pour étayer des décisions fondées sur des données.

L'analyse quantitative emploie des techniques statistiques et financières pour exprimer le risque en chiffres comparables aux budgets, limites d'assurance ou fonds propres. Les métriques typiques incluent l'ALE (perte annuelle attendue), les courbes d'excédence de pertes et la Value at Risk. Les praticiens modélisent fréquence et magnitude des événements à partir de données historiques, de jeux sectoriels et de calibration d'experts, souvent via FAIR ou des simulations Monte Carlo. Par rapport au qualitatif, elle demande plus de données et de rigueur, mais fournit des chiffres défendables pour le conseil, les décisions de retour sur investissement sécurité (ROSI) et la priorisation des grands programmes. Les approches hybrides combinent triage qualitatif et profondeur quantitative pour les risques majeurs.

Les défenses contre Analyse quantitative des risques combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Quantification du cyber-risque.