Évaluation des risques.

Activité structurée de la gestion des risques qui identifie menaces, vulnérabilités et impacts sur des actifs précis et note le risque obtenu pour étayer les décisions de traitement. Cette notion relève de la catégorie Conformité et référentiels en cybersécurité.

Activité structurée de la gestion des risques qui identifie menaces, vulnérabilités et impacts sur des actifs précis et note le risque obtenu pour étayer les décisions de traitement.

Une évaluation des risques combine l'identification, l'analyse et l'évaluation des risques sur un périmètre défini : système, processus métier, fournisseur ou nouveau projet. Les évaluateurs collectent du renseignement sur les menaces, cartographient les vulnérabilités, estiment vraisemblance et impact métier puis produisent une liste priorisée de risques selon les critères de l'organisation. Les méthodes vont des cartes de chaleur qualitatives aux techniques quantitatives comme FAIR ou les simulations Monte Carlo, et alimentent le registre des risques et les plans de traitement. C'est aussi une exigence réglementaire dans NIST SP 800-30, ISO/IEC 27005, les AIPD du RGPD ou la Security Rule HIPAA.

Les défenses contre Évaluation des risques combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Analyse des risques, Évaluation des cyber-risques.