MODULE · RISK INTELLIGENCE
Du projet au risque piloté, un seul cycle.
Risk Intelligence couvre le cycle entier : les exigences de sécurité attachées au projet dès son lancement, les événements redoutés et l’impact métier qui cadrent l’analyse, l’évaluation du risque inhérent, résiduel et cible, l’appétence que le COMEX approuve, et les incidents et politiques pour en rendre compte. Ernest propose ; votre équipe décide.
Chaque risque porte ses trois jeux de scores : la distance du résiduel à la cible, c’est l’engagement de traitement, sur la matrice que vous pilotez.
CE QUE VOUS EN FAITES
Huit surfaces, un seul cycle.
Ouvrez-en une. La scène à côté montre ce qui change dans le module.
01 Attacher la sécurité au projet, pas à sa livraison
Chaque initiative, un projet, un appel d’offres, une nouvelle application, se déclare une fois dans ses mots métier. La criticité et l’exposition décident du parcours : voie rapide assistée par l’IA pour le courant, revue menée par un analyste pour le critique. Un humain valide dans les deux cas.
- Une initiative déclarée une fois, en langage métier
- Un parcours proportionné : voie rapide assistée ou revue analyste
- Des exceptions qui portent une date d’expiration
02 Nommer ce que vous redoutez, une fois pour toutes
Le catalogue des événements redoutés de votre organisation : ce qui ne doit pas arriver, formulé côté métier, réutilisable dans chaque analyse au lieu d’être réinventé à chaque atelier.
- Un catalogue d’événements redoutés propre à votre organisation
- Sources de risque et conséquences reliées à chaque événement
- Réutilisable d’une analyse à l’autre, au lieu d’être réécrit
03 Donner à l’analyse son échelle d’impact
Le BIA dit ce qu’une interruption fait à l’activité : horizons de perte, objectifs de reprise et ressources minimales par activité critique, remontés de l’activité jusqu’à la fonction. Les analyses lisent cette échelle au lieu de l’estimer à chaque fois.
- Horizons de perte et objectifs de reprise par activité critique
- Les ressources minimales qui tiennent l’activité
- Une échelle d’impact que vos analyses lisent directement
04 Animer les ateliers avec la méthode que vous pratiquez
EBIOS Risk Manager en cinq ateliers guidés (cadrage et événements redoutés, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque), ISO/IEC 27005, ou le socle NIST. Échelles et matrices se configurent par organisation, avec héritage.
- EBIOS RM en cinq ateliers guidés, de bout en bout
- Scénarios stratégiques et opérationnels, en nœud papillon (ISO 31010)
- Attribution MITRE ATT&CK pondérée par la confiance de l’analyste
05 Évaluer trois fois, et tenir le registre vivant
Inhérent, résiduel et cible portent chacun un jeu de scores complet, et l’écart du résiduel à la cible est l’engagement de traitement. Chaque risque porte un responsable, une cadence de revue et une date de prochaine revue ; les revues en retard remontent d’elles-mêmes.
- Inhérent, résiduel et cible sur une même fiche
- Un responsable et une cadence de revue sur chaque risque
- Des liens vers fournisseurs, contrôles, incidents et chaîne de valeur
06 Piloter l’appétence, et savoir le jour où elle est dépassée
Les déclarations d’appétence portent une approbation, une expiration et des alertes de dépassement. Les indicateurs de risque clés se lisent face à ces seuils, et un dépassement ouvre la demande d’acceptation, escaladée vers l’autorité que la bande résiduelle exige.
- Une appétence approuvée, datée, avec alertes de dépassement
- Des KRI à seuils vert, ambre et rouge, lus face à l’appétence
- Une échelle d’autorité par bande résiduelle, bornée dans le temps
07 Qualifier l’incident contre les critères, pas dans l’urgence
Un incident s’enregistre et se qualifie une fois, contre les critères de chaque régime applicable. La cascade évalue, prépare le dossier de notification et le journalise ; votre entité reste celle qui le dépose. Périmètre GRC : la gouvernance de l’incident, pas la réponse technique.
- Une qualification unique, lue par chaque régime applicable
- Le dossier de notification préparé, l’entité reste celle qui dépose
- L’incident relié au risque, au fournisseur et au contrôle concernés
08 Faire vivre les politiques qui encadrent la posture
Rédiger, approuver et publier les politiques, puis les faire attester par les personnes qu’elles engagent. Chaque version est datée, et l’attestation dit qui a lu quoi, et quand.
- Rédaction, approbation et publication versionnées
- Une attestation par les personnes que la politique engage
- La politique de risque cyber que l’organe de direction adopte
PROPOSÉ, JAMAIS IMPOSÉ
Ernest propose. Votre équipe décide. Le registre se souvient.
Ernest rédige des vraisemblances avec facteurs pondérés, des scénarios complets avec leur chaîne d’attaque, des stratégies de traitement avec résiduel estimé, et jusqu’à la justification d’acceptation. Chaque suggestion porte un score de confiance et une acceptation ou un rejet explicite qui est enregistré : chaque risque garde sa provenance, humaine, suggérée par l’IA ou hybride.
- 01
Concevoir
L’initiative se déclare, sa criticité décide du parcours, et les exigences de sécurité partent avec le projet plutôt que de le rattraper.
- 02
Analyser et évaluer
Événements redoutés, impact métier, ateliers EBIOS RM : le scénario devient un risque évalué en inhérent, résiduel et cible, avec son plan de traitement. Ernest propose ; l’analyste accepte ou rejette.
- 03
Piloter
L’appétence, les KRI et les acceptations tiennent la posture ; les incidents et les politiques la documentent quand quelqu’un demande des comptes. Les board packs s’exportent directement du registre vivant.
SOUS LE CAPOT
Là où le registre se connecte.
Reporting prêt pour le board
Là où posture, tendances d’appétence et vue comité remontent pour la direction.
En savoir plus
GRCOps
Là où les actions et exceptions du registre se traitent : porteur, échéance, clôture vérifiée, dérogations comprises.
En savoir plus
Ernest - moteur IA
Le moteur piloté derrière chaque suggestion : scores de confiance, dernier mot humain, piste d’audit complète.
En savoir plus
FAQ
Risk Intelligence, en pratique
Quelles méthodologies sont prises en charge ?
Trois sont prêtes à l’emploi : NIST 5×5 en socle, ISO/IEC 27005, et EBIOS Risk Manager en cinq ateliers guidés (cadrage et événements redoutés, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque). Échelles et matrices se configurent par organisation, avec héritage.
Que signifient inhérent, résiduel et cible ?
L’inhérent est le pire scénario avant tout contrôle ; le résiduel, votre exposition actuelle après contrôles ; la cible, le plafond de tolérance auquel l’équipe s’engage. Chacun porte son jeu de scores complet, et la stratégie de traitement (éviter, atténuer, transférer ou accepter) est ce qui rapproche le résiduel de la cible.
Les incidents cyber, c’est du SOC ?
Non. Le périmètre est GRC, pas SecOps : Mindlapse ne détecte pas l’attaque et ne pilote pas la remédiation technique. Il enregistre l’incident, le qualifie une fois contre les critères de chaque régime applicable, prépare le dossier de notification, et le relie au risque, au fournisseur et au contrôle concernés. Votre entité reste celle qui dépose.
Que fait exactement Security by Design ?
Chaque initiative se déclare une fois en langage métier ; sa criticité et son exposition décident du parcours, voie rapide assistée par l’IA ou revue menée par un analyste, un humain validant dans les deux cas. Les exigences de sécurité sont attachées au projet, et les exceptions portent une date d’expiration. Le produit n’a pas d’intégration CI/CD ni de scan de code : rien ne tourne dans votre pipeline.
LE RISQUE, GOUVERNÉ
Venez avec un projet qui démarre. Repartez avec son risque évalué.
Trente minutes sur un cas à vous : le parcours Security by Design, l’analyse, l’évaluation et l’appétence en face.