Influence des tests d'intrusion sur l'évaluation des risques

La sécurité de l'information est un domaine prenant un essor considérable suite aux attaques informatiques fréquentes ayant fait l'objet d'une couverture médiatique internationale, depuis les dix dernières années. Nous sommes donc à l'ère où la protection de l'information numérique représente un enjeu capital pour les entreprises et les gouvernements. Ces acteurs sont de plus en plus sujets à la numérisation de leur processus d'affaires et des documents associés. Les attaques informatiques auxquelles ils sont exposés ont donc des impacts d'autant plus importants selon la criticité de l'information. L'évaluation des risques informatiques est la discipline permettant d'analyser les actifs informationnels détenus par ces acteurs. Elle a pour but d'en évaluer les différents aspects de sécurité afin d'identifier les risques, les évaluer et formuler des recommandations pour les réduire. Pour cela, les méthodologies actuelles d'évaluation des risques se basent principalement sur des scénarios de menaces pouvant potentiellement se matérialiser sur l'environnement informatique d'une entreprise. Ces approches prennent pour acquis que la démarche d'analyse de risque repose principalement sur l'énumération de scénarios de menaces qui sont génériques et peu adaptés à l'environnement de l'entreprise concernée. Nous sommes donc arrivés à nous questionner sur plusieurs aspects liés à la validité des processus d'analyse et d'évaluation des risques informatiques. Cette notion de risque informatique n'a cessé de croître durant les vingt dernières années, et ce principalement dû à la médiatisation des incidents de sécurité ainsi qu'à la prise de conscience concernant l'importance des actifs informationnels numériques, tant du côté corporatif qu'individuel. L'évaluation des risques informatiques est désormais une des préoccupations principales des entreprises soucieuses de la protection liée à leurs actifs informationnels.