DRAFT – ÉBAUCHE Veuillez Noter: ce document en développement est un livre électronique vivant qui évolue continuellement. Ce livre électronique fut créé pour la formation d’étudiants. Il est structuré en fonction d’un cours universitaire dispensé sur une session et comporte dix (10) modules principaux qui forment les dix (10) chapitres de ce livre électronique. Copyright 2012, Marc-André Léger et le Centre de recherche Hochelaga-Maisonneuve.

Liste des acronymes utilisés

• A: aléa
• c: confidentialité
• CAI: Commission d’accès à l’information du Québec
• CERT: Computer Emergency Response Team Coordination Center du Carnegie Mellon University, Pittsburg, Pennsylvania, USA
• CSI: Computer Security Institute, San Francisco, CA, USA
• CVE: Common vulnerabilities and Exposures (liste de vulnérabilités technologiques publiées sur le site Internet
• DBA: Database administrator, administrateur de bases de données
• d: disponibilité
• E: élément à risque
• GO: Giga Octets
• GRI: Gestion du risque informationnel
• I: identification
• i: Intégrité
• k: kilo
• o: organisation cible de l’étude
• P: priorisation
• M: mobilisation
• m: menace
• NIST: National Institute of Standards and Technology, USA
• NVAS: Network Vulnerability Assessment Software
• RAM: Random access memory, mémoire vive
• RSAI: responsable de la sécurité des actifs informationnels
• s: espace
• SI: système d’information
• t: temps
• TI: technologie de l’information
• vf.: version française ou traduction française
• VPN: Virtual private network

Liste des symboles utilisés

• α: appétence
• ψ: vulnérabilité
• δ: dommage
• θ: résilience
• μ(x): utilité d’une élément à risque x

◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊

Chapitre 1: introduction au concepts

• La sécurité de l’information
• Le risque informationnel
• La gestion du risque informationnel.

1.1 La sécurité

La sécurité désigne tout d’abord un état de fait, l’absence de risque inacceptables. Cette définition est applicable dans plusieurs situations et plusieurs contexte. Par exemple, un individu se sentira en sécurité s’il perçoit qu’il n’est pas en présence de risques qu’il considère comme inacceptables ou que des situations à risques, des dangers, sont imminentes. S’il souhaite traverser la rue, un risque inacceptable pour un individu serait une automobile qui arrive dans sa direction. Dans ce cas il ne traversera pas la rue, il attendra que la l’automobile ai passé et que la situation soit devenue sécuritaire. Ainsi la note de sécurité est indissociable de celle du risque. D’une certaine façon la sécurité est le contraire du risque, il y a de la sécurité quand il n’y a pas de risque inaceptable, plus le risque est acceptable et plus la sécurité est élevé. Il y a plusieurs éléments importants à cette définition:

• La sécurité est un concept gradué plutôt qu’absolu. C’est-à-dire que l’on peut être plus ou moins en sécurité, dépendant de l’intensité du risque auquel nous faisons face, et à l’étendue des intérêts visés. Il n’existe aucun seuil métaphysique au-delà duquel nous entrons dans un état de sécurité, et en deçà duquel on peut dire de lui que la sécurité manque.
• La sécurité comporte ensuite une dimension proprement subjective. La sécurité est un sentiment qui, au même titre que la confiance, varie en fonction des individus et des communautés. Le sentiment de sécurité, c’est-à-dire, le sentiment que nos intérêts les plus fondamentaux ne sont pas menacés par des agents disposés à poser des gestes susceptibles de nous être préjudiciables, fait que nous n’avons pas à faire des investissements de ressources matérielles ou psychologiques démesurées pour protéger ces intérêts, que nous pouvons au contraire investir ces ressources dans des activités productives. Ce sentiment est intimement lié à la prévisibilité. Le sentiment de sécurité n’exige pas que nous soyons à l’abri de tout risque inaceptable, mais plutôt que ceux auxquels nous faisons face se situent à l’intérieur d’un cadre de règles et de pratiques auxquels nous consentons.
• Ce qui est inacceptable pour un individu, à un moment donné, dans un contexte donné peut varier. Cette tolérance à l’acceptabilité peut varier dans le temps et selon le contexte.

1.2 La sécurité de l’information

La sécurité de l’’information est une sous-catégorie de la sécurité telle que nous l’avons présenté précédemment. Elle est définie comme l’’ensemble des actions et des procédures conçues pour prévenir, avec un niveau de certitude démontrable, la divulgation, le transfert, la modification ou la destruction non autorisée, volontaire ou accidentelle du patrimoine informationnel d’un individu ou d’une organisation. Par patrimoine informationnel, nous entendons les données, ressources informationnelles, actifs informationnels et l’ensemble des technologies de l’information et des communications qui sont utilisés durant le cycle de vie de l’information. Les principaux objectifs de la sécurité de l’’information sont :

• la confidentialité des données (c),
• l’’intégrité des données (i),
• la disponibilité des données (d),
• l’’irrévocabilité des transactions,
• l’’authentification des utilisateurs et de l’’origine des données,
• le contrôle des accès.

Ces objectifs varient selon les situations, les contextes et le temps. Les objectifs de sécurité proviennent de différentes sources, entre autres:

• besoins d’affaires,
• analyse de risque,
• politiques de sécurité,
• obligations légales ou contractuelles,
• codes d’éthique, de déontologie ou de gouvernance,
• lois et règlements,
• accords internationaux,
• normes locales, sectorielles, nationales ou internationales,
• recueils de pratiques exemplaires.

• Confidentialité
• Intégrité de l’information
• Disponibilité
• Non-répudiation des transactions:
• Non répudiation de la création
• Non répudiation de la livraison
• Non répudiation de la connaissance
• Non répudiation de l’origine
• Non répudiation de la réception
• Non répudiation de la soumission
• Non répudiation du transport
• Authentification:
• des utilisateurs
• de l’origine des données
• Contrôles des accès
• Respect de l’intégrité des individus:
• Consentement éclairé
• Protection des renseignements personnels
• Limites de la collecte (nécessité)
• Accès à l’information
• Droit de retenir, ségréger, corriger et copier
• Dénominalisation des données
• Transparence:
• Divulgation de l’utilisation des données (No secret databases shall exist)
• Limites à l’utilisation, la divulgation et la rétention
• Justification de la collecte
• Transmission sécuritaire des données
• Usage non commercial
• Processus permettant de contester la conformité; et
• Responsabilisation (Accountability)
• Prudence:
• Politiques organisationnelles
• Lois, règlements, directives, traités
• Contrôles de gestion (Management controls)
• Audit
• Documentation
• Formation des utilisateurs et du personnel technique

Globalement, l’information pourrait être indûment communiqué (sa confidentialité pourrait être compromise), modifié de manière inappropriée (son intégrité peut être compromise), détruite ou perdue (sa disponibilité pourrait être compromise). Cette compromission des données pourra causer une réduction de l’utilité attendue, tel que des pertes économiques au propriétaire de l’information, qu’elles soient reconnues ou non. La perte pourrait être directe (par la réduction de la valeur de l’actif d’information lui-même) ou indirecte (par le biais d’interruption de service, des dommages à la réputation, la perte d’un avantage concurrentiel, la responsabilité juridique, etc.).

1.3 La sécurité de l’information en pratique

Sur le terrain, la mise en oeuvre de la sécurité de l’information débute par l’élaboration d’une politique de sécurité. Cette politique décrit ce qui est autorisé et ce qui est interdit. La politique de sécurité de l’information devrait mettre en évidence la valeur de l’information et la mesure dans laquelle on en a besoin, ainsi que l’importance de la sécurité de l’information pour l’organisation. Elle devrait identifier les exigences minimales au plan de la conformité et des règlements en matière de sécurité. Cette étape inclut des éléments tels la politique de gestion des risques, la catégorisation et l’étiquetage d’information, la sécurité du personnel et matérielle, les exigences juridiques et contractuelles, l’élaboration et le fonctionnement des systèmes, la planification de la poursuite des activités, la production de rapports sur les incidents et les exigences d’intervention, l’application de mesures en cas de violation et la sensibilisation à la sécurité et la formation. La politique peut tenir compte de tout système d’information critique ou des exigences pertinentes. Elle doit cependant identifier les besoins en matière de sécurité de l’information développée en fonction des sept objectifs mentionnés précédemment. Il est nécessaire que soient assigné les rôles et les responsabilités en matière de sécurité de l’information et la distribution des responsabilités dans la structure organisationnelle. Dans les organisations qui effectuent des projets de développement, il faut inclure la sécurité de l’information dans le développement de systèmes d’information et dans les processus de mise en place ou d’achats de systèmes d’information. De plus la politique devrait :

• définir les règles et les procédures en matière de sécurité de l’information;
• définir les procédures pour l’identification de la nature sensible et la classification de l’information;
• identifier la stratégie de gestion du risque;
• définir les besoins en matière de continuité des affaires;
• définir des normes de gestion des ressources humaines;
• prévoir des plans de sensibilisation des employés et de formation continue en matière de sécurité de l’information;
• encadrer les obligations légales;
• identifier les règles de la gestion de l’impartition et des tiers; et
• définir la stratégie de gestion des incidents.

Mise en oeuvre de la politique de sécurité

Une fois qu’une politique de sécurité de l’information a été définie, la tâche suivante consiste à appliquer la politique. Pour ce faire, l’organisation déploie un mélange de processus d’affaires et de mécanismes techniques. Ce sont ces mécanismes de sécurité de l’information qui forment la sécurité informatique. Ces processus et mécanismes entrent dans six catégories:

1. Les mesures de prévention, tels que la sensibilisations de ses employés et la formation de son personnel technique.
2. Les mesures de protection, ce qui consiste à mettre en place des processus d’affaires et des mécanismes techniques qui visent à prévenir que des aléas se produisent, à réduire la probabilité qu’ils se produisent ou à minimiser leur impact.
3. Les mesures de détection qui servent à alerter l’organisation quand des aléas surviennent afin qu’elle puisse prendre des actions afin de minimiser leur impact sur l’organisation.
4. Les processus et mesures de réponse face aux conséquences d’aléas afin d’optimiser le retour à état d’équilibre. Des processus de réponses peuvent aussi inclurent des mesures punitives (réprimandes ou renvoi d’employés), criminelles (référé du dossier à des forces policières) ou légales (poursuites).
5. Les mesures d’assurance afin de valider l’efficacité et le bon fonctionnement de la protection, de détection et les mesures d’intervention.
6. L’audit pour déterminer l’efficacité des processus et des mesures.

Création d’un comité de sécurité

Il est recommandé de créer un comité de sécurité de l’information pour assister l’organisation dans l’élaboration de sa politique de sécurité et pour l’ensemble des activités de gestion du risque informationnel. Le comité devrait comprendre de quatre (4) à sept (7) membres. Ce comité devrait comprendre :

• un membre identifié comme chef de projet;
• le principal responsable de la sécurité s’il y en a un dans l’organisation;
• des représentants du groupe ayant la responsabilité opérationnelle et budgétaire des technologies de l’information dans l’organisation;
• des représentants des groupes responsables de l’exécution de la mission principale de l’organisation;
• un représentant du service des ressources humaines; et
• un conseiller juridique ou un cadre de l’organisation ayant des responsabilités en relation au contentieux.

Dans un premier temps le chef de projet devrait être identifié. Celui-ci pourra prendre en charge le suivi des différentes étapes de la méthodologie, dont la création du comité de sécurité de l’information. Il pourra documenter les règles de fonctionnement du comité et s’assurer de conserver des minutes des rencontres. Les membres du comité pourront varier selon les besoins de l’organisation et les priorités des gestionnaires de l’organisation. La structure et le modus operandi du comité de sécurité de l’information devraient tenir compte de cette possibilité.

Définition des objectifs de sécurité

L’organisation devra définir ses objectifs de sécurité, les exprimer en terme de besoins spécifiques (c,i,d, etc.) et  faire un inventaire de son patrimoine informationnel. Entre autre, cela lui permettra d’identifier les éléments à risque qui sont plus prioritaires auxquels les efforts de gestion de risque devront s’attaquer en premier. Il est proposé de rencontrer les ayants cause de la sécurité, c’est-à-dire les membres de l’organisation qui ont un rôle à jouer da la sécurité de l’information, les propriétaire des actifs informationnels et les gestionnaires de l’organisation pour valider avec eux les besoins de sécurité. À cette fin, le tableau suivant peut être utilisé.

Amélioration continue

Évidemment, le travail n’est jamais terminé. La sécurité de l’information doit appliquer les principes d’amélioration continue. La définition de la politique, la protection, et les tâches de vérification sont effectuées maintes et maintes fois, et les leçons apprises à chaque fois à travers le cycle sont appliquées lors du prochain cycle. La sécurité de l’information doit appliquer le principe de prudence.

1.4 Le risque

La mise en oeuvre de la sécurité de l’information, qui débute par la politique de sécurité de l’information et l’identification des objectifs de sécurité, doit s’appuyer sur l’analyse ds risques. Il est important de comprendre ce que signifie le risque en général et le risque informationnel plus précisément. Il n’y a pas une seule définition du risque. Une recherche sur Google avec les mots risque ou risk propose plus de 500 000 000 résultats. Cependant, beaucoup de ce qui a été écrit sur le risque est basé sur des données anecdotiques et sur des études limitées à un aspect particulier. Dans cette section, nous présentons une définition contextuelle du risque appliqué à la sécurité de l’information qui nous permettra d’identifier les variables qui pourrons être utilisés pour la gestion du risque informationnel. Le risque est un construit social, il dépend de celui qui le perçoit, de la nature du risque et du domaine dans lequel on s’intéresse au risque. Le mot risque tire ses origines du terme italien (Moyen âge) risco signifiant rocher escarpé, écueil, utilisé par les premières compagnies d’assurance pour désigner le péril couru en mer, du latin resecum signifiant coupant et du mot arabe rizq. Le risque est souvent défini comme une combinaison de la probabilité d’occurrence d’un dommage et de sa gravité. Le risque réfère à des situations par lesquelles le décideur assigne des probabilités mathématiques aux événements aléatoires auxquels il fait face. Ceci même si cette assignation est subjective. Le risque est aussi défini comme une variation dans les résultats (outcomes) qui peuvent survenir sur une période déterminé dans une situation donnée. Dans le risque, il y a la notion de discontinuité souvent a associé avec les désastres et les résultats imprévu. Le risque exige que l’on reconnaisse son caractère de situation limite: la surprise, l’inconnu, l’ignorance, la mutation des configurations opératoires comme des jeux d‘acteurs sont des dimensions constitutives du problème. L’on distingue le risque objectif, lorsque la variation existe dans la nature et est la même pour tous les individus dans une situation identique, et du risque subjectif, lorsqu’il y a estimation du risque objectif par un individu. Quand on ne peut exprimer l’aléatoire par des probabilités, mêmes subjectives, on doit plutôt parler d’incertitude. Il est important de distinguer ces deux termes, risque et incertitude, car, bien qu’on puisse espérer gérer le risque, il est difficile de gérer l’incertitude. Le mot risque est généralement utilisé lorsqu’il existe au moins la possibilité de conséquences négatives, tel qu’une réduction de l’utilité attendue. S’il ne s’agit que de conséquences probables positives, on parlera plutôt de possibilités. La gestion de possibilités ne fera pas appel à des mesures de mitigation de risque, on accueillera favorablement le bénéfice inattendu ou inespéré. De même, si un résultat est inévitable on utilisera le terme certitude: la mort éventuelle de tout organisme vivant est une certitude. On pourra la retarder, mais pas l’éviter. Nul ne peut gérer la certitude, on peux s’y préparer et, dans les meilleurs cas, retarder l’inévitable. En risque informationnel, l’adjectif informationnel est relatif à l’information, et notamment à sa sélection, sa mise en forme, son transfert et son utilisation dans un contexte organisationnel. Le risque informationnel est le risque, la possibilité de conséquences négatives ou de résultat (outcomes) indésirables, associé à la sélection, la mise en forme, le transfert et l’utilisation de l’information. Par exemple, la possibilité que de l’information transmise via un réseau de télécommunications soit indûment communiqué, modifié, détruite ou perdue, causant des pertes directe ou indirecte à l’organisation. Nous utilisons le triangle du risque comme cadre de référence du risque. Pour que le risque existe, trois composantes doivent co-exister pour un élément à risque donné (E) ayant une valeur pour l’organisation V(x), dans un temps (t) et un espace (s) donné:

• un aléa (A),
• une vulnérabilité (ψ) que l’aléa (A) pourra exploiter,
• un dommage (δ), aussi nommé impact, qui résultera de l’exploitation de la vulnérabilité (ψ) par l’aléa (A).

1.5 La gestion de risque

La formalisation de l’idée que le risque peut être géré peut être vue comme une conséquence à long terme de discussions qui ont faite suite au désastre naturel qui s’est produit à Lisbonne (Portugal) en 1755 combiné à la découverte, un peu au paravant, des probabilités par Blaise Pascal et à d’autres avancées en mathématiques d’abord et en sciences de la gestion ensuite. Le désastre de Lisbonne marque un point tournant de la vision d’acte divin, illustré par un poème de Voltaire, vers une approche rationnelle qui peut être soumise à un traitement scientifique. C’est la réponse de Rousseau qui sème le germe de gestion du risque:

“Serait-ce à dire que l’ordre du monde doit changer selon nos caprices, que la nature doit être soumise à nos lois, et que pour lui interdire un tremblement de terre en quelque lieu, nous n’avons qu’à y bâtir une ville?”

La gestion est la mise en œuvre de moyens humains et matériels d’une organisation pour atteindre des objectifs préalablement fixés. La croissance des bureaucraties professionnelles dans nos sociétés a transformé l’appareil administratif d’organisations en une puissante machine de gestion des organisations dont les opérations visent l’efficacité et la prévisibilité dans l’atteinte de ses objectifs. Dans une organisation du secteur privé, l’efficacité est mesuré avec des variables de nature pécuniaire ou mesurés en part de marché. Dans le cas d’un organisation du secteur public, l’efficacité peut être mesuré par une livraison efficiente de services à la population. Dans une organisation publique du secteur de la santé, telle qu’est existe au Québec, l’efficacité peut être mesurée par une amélioration de la qualité de vie, la réduction de la morbidité ou de la mortalité dans une population cible. Cette machine de gestion s’exprime par des actes visant une transformation du monde réel par le travail, la médiation ou l’instrumentation. La gestion du risque est nécessaire parce les organisations doivent identifier ce qui est prévisible afin d’assurer leur pérennité et identifier les actions susceptibles de produire des résultats qui réduisent son efficacité, qui vont à l’encontre de l’atteinte de ses objectifs ou qui produisent des résultats négatifs. L’organisation doit identifier les risques les plus significatifs pour elle. Ainsi, la gestion de risque est l’une des composantes d’une gestion prudente et diligente. C’est-à-dire que, sachant qu’il existe la possibilité qu’ils se produisent des aléas susceptible de réduire l’utilité attendue ou de nuire à l’atteinte efficace des objectifs, le gestionnaire, en tant qu’acteur individuel vertueux, doit tenir compte du risque. De plus, la bonne gouvernance d’une organisation, par exemple dans le cadre d’une norme de gouvernance tel que ISO3800, la conformité à des cadres de gestion, tel que COBIT ou ISO 27001, requiert la mise en oeuvre d’un programme de gestion de risque formalisé. Fondamentalement, la gestion du risque est accomplie par des activités d’identification (I) et d’évaluation des scénarios de risque (les combinaisons d’élément à risque, aléas et de vulnérabilités susceptible de causer des dommages), de la priorisation (P) de ces scénarios (en fonction de l’importance des dommages ou de la réduction de l’utilité attendue (μ) au delà de l’appétence au risque de l’organisation) et des actions de mobilisation (M) de ses ressources humaines et financières pour un traitement approprié du risque: le processus IPM qui sera traité plus en détails plus loin. Ces actions de mobilisation vont généralement prendre les formes suivantes:

• Ignorer le risque : l’’organisation peut décider consciemment d’’ignorer le risque.
• Éviter le risque : l’organisation pourra décider de ne pas poursuivre une opportunité car elle considère que le risque ne vaut pas la chandelle.
• Accepter le risque : l’’organisation détermine que le risque associé à un scénario donnée est acceptable pour l’’organisation compte tenu de ses contraintes, des ses objectifs d’’affaires ou de sa résilience.
• Mitiger le risque par la mise en oeuvre de mécanismes de protection, de détection ou de réponse: par exemple par la mise en place d’’un pare- feu, une organisation réduira la menace d’’intrusion de son réseau informatique via l’Internet.
• Transférer le risque : une organisation pourrait décider de prendre une police d’’assurance qui couvre un risque précis, une organisation pourrait aussi transférer le risque, contractuellement, à un tiers ou l’externaliser via d’autres mécanismes.

Les actions de mobilisation seront diverses et nombreuses en fonction des différents risques auxquels fait face l’organisation. L’ensemble des actions de mobilisation (Ω), pour une période de temps (Δt) défini à priori dans un espace (s) donné, formeront le portfolio de mesures (φ) composé des actions de mobilisation individuelles (Ωn). La gestion de risque est discuté avec plus de détails dans le chapitre suivant.

1.6 Exercice pratique

En équipe de deux (2) ou trois (3) étudiants, identifier un éléments à risque du patrimoine informationnel de l’organisation d’un des étudiants et deux aléas réels (des événements qui sont survenus dans le passé) qui ont compromis l’élément à risque choisi. Pour chaque aléa choisi répondre aux questions suivantes:

• Quel élément est à risque ?
• Quel est l’aléa ?
• Quelle est la vulnérabilité qui fut exploité ?
• Quels furent les dommages ?
• Quand et où s’est-il produit ?

1.7 Questions de révision

1.7.1) Indiquez si l’énoncé suivant est vrai (V) ou faux (F):

1. _____ : La sécurité désigne l’absence de risque inacceptables.
2. _____ : La sécurité est le contraire du risque.
3. _____ : La sécurité est un concept gradué
4. _____ : La sécurité est un concept absolu.
5. _____ : Il existe un seuil métaphysique au-delà duquel nous entrons dans un état de sécurité.
6. _____ : Il n’existe pas de seuil en deçà duquel on peut dire que la sécurité manque.
7. _____ : La sécurité comporte ensuite une dimension proprement subjective.
8. _____ : La sécurité ne varie pas en fonction des individus et des communautés.
9. _____ : Le sentiment de sécurité est intimement lié à la prévisibilité.
10. _____ : Le sentiment de sécurité n’exige pas que nous soyons à l’abri de tout risque inaceptable.

1.7.2) Apparier le bon terme avec la description qui lui convient le mieux:

• A. certitude
• B. incertitude
• C. possibilités
• D. risque

1. _____ : Les conséquences probables sont négatives
2. _____ : les conséquences probables sont impossible à déterminer
3. _____ : Les conséquences probables sont positives
4. _____ : Le résultat est inévitable
5. _____ : Il y a réduction de l’utilité attendue

1.7.3) Indiquez si l’énoncé suivant est vrai (V) ou faux (F):

1. _____ : Il y a une seule définition du risque.
2. _____ : Les définition du risque sont basé sur des données anecdotiques
3. _____ : La définition du risque permet d’identifier les variables à utiliser.
4. _____ : Le risque n’est pas un construit social.
5. _____ : Le risque dépend de celui qui le perçoit,
6. _____ : Le risque dépend de la nature du risque et du domaine.
7. _____ : Le mot risque tire ses origines du terme risco
8. _____ : Le mot risque tire ses origines du latin resecum
9. _____ : Le mot risque tire ses origines du mot arabe rizq.
10. _____ : Le risque est une combinaison de la probabilité d’occurrence d’un dommage et de sa gravité.
11. _____ : Le risque réfère à des situations par lesquelles le décideur assigne des probabilités mathématiques aux événements aléatoires.
12. _____ : Le risque est une variation dans les résultats qui peuvent survenir sur une période déterminé dans une situation donnée.
13. _____ : Dans le risque, il n’y a pas de notion de discontinuité.
14. _____ : Le risque est subjectif lorsque la variation existe dans la nature et est la même pour tous les individus dans une situation identique.
15. _____ : Le risque objectif lorsqu’il y a estimation du risque objectif par un individu.

1.7.4) Apparier le bon terme avec la description qui lui convient le mieux:

• A. Aléa
• B. Dommage
• C. Élément à risque
• D. Résilience
• E. Utilité attendue
• F. Vulnérabilité

1. _____ : Bénéfice espéré par un élément à risque après une période de temps défini à priori dans un espace donné.
2. _____ : Capacité d’un élément à risque de passer au travers un aléa en minimisant le dommage.
3. _____ : Capacité d’un élément à risque d’utiliser l’adversité comme catalyseur d’amélioration.
4. _____ : Capacité d’un élément à risque de tolérer une variabilité de l’utilité attendue.
5. _____ : Élément (actif, processus, système, etc.) ou ensemble d’éléments ayant une utilité attendue (μ) pendant une période de temps (Δt) dans un espace (s) donné. L’élément à risque (E) a une valeur intrinsèque (par exemple sa valeur de remplacement) et une utilité attendue (par exemple, sa contribution aux bénéfices de l’organisation).
6. _____ : Événement réel, envisagé ou perçu résultant de l’exploitation d’une vulnérabilité d’un élément à risque pouvant causer un dommage.
7. _____ : Fragilité d’un élément à risque à un aléa.
8. _____ : Impact réel, envisagé ou perçu.
9. _____ : Réduction de l’utilité attendue d’un élément à risque par un aléa.
10. _____ : Séquence d’événements résultant de l’exploitation d’une vulnérabilité d’un élément à risque pouvant causer un dommage.
11. _____ : Un gain, une amélioration d’une position après une période de temps défini à priori dans un espace donné.

1.7.5) Apparier le bon terme avec la description qui lui convient le mieux:

• A. Accepter
• B. Éviter
• C. Ignorer
• D. Mitiger
• E. Transférer

1. _____ : L’organisation mets en oeuvre de mécanismes de protection anti-virus. 
2. _____ : L’organisation impartiti ses TI.
3. _____ : L’’organisation ne fait rien car elle ignore que le risque existe.
4. _____ : L’organisation décide de ne pas poursuivre une opportunité.
5. _____ : L’organisation mets en oeuvre de mécanismes de détection des intrusions. 
6. _____ : L’’organisation détermine que le risque est acceptable et ne prends aucunes mesures particulières.
7. _____ : L’organisation mets en oeuvre des mécanismes de réponse automatiques à des attaques à son réseau informatique via l’Internet.
8. _____ : L’organisation mets en oeuvre de mécanismes de prise de copies de sauvegarde automatiques.
9. _____ : L’organisation prends une ’assurance qui couvre les risques informationnels
10. _____ : L’organisation passe à une architecture infonuagique (cloud computing).

1.8 Bibliographie

• Blakley, B., McDermott, E., Geer, D. (2001), Session 5: less is more: Information security is information risk management, Proceedings of the 2001 workshop on New security paradigms, September 2001
• Lagadec, P. (2003), Risques, Crises et Gouvernance: ruptures d’horizons, ruptures de paradigmes, Réalités Industrielles, Annales des Mines, numéro spécial: “Sciences et génie des activités à risques”, Mai 2003, pages 5-11
• Guide ISO 73, Management du risque — Vocabulaire, International Standards Organisation, 25 p.
• Stoneburner, G., Goguen, A., Feringa, A. (2002), Risk Management Guide for Information Technology Systems, Recommendations of the National Institute of Standards and Technology, Special Publication 800-30, NIST, July 2002, 55 p.

◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊

Chapitre 2. Gestion du risque

Ce chapitre a pour objectif de développer une compréhension de haut niveau de la gestion du changement, de la résistance au changement, ainsi que des facteurs humains, culturels et organisationnels:

• La perception et le risque
• Le changement et le risque
• Principaux concepts de la gestion du risque

Tout individu est un expert du risque. Notre expertise individuelle est basée sur nos expériences quotidiennes et notre capacité à apprendre de ces expériences. Le risque est un phénomène naturel qui est présent partout et les individus y sont confrontés tout au long de leur vie. Chez les humains, les réflexes naturels de la peur et de l’’anxiété, sont un indicateur de la présence d’’un risque inopiné. Dans le cas de l’’Homme c’’est une question de survie qui a emmené le développement d’’un sens naturel d’’identification du risque, la peur. Cette habilité intrinsèque est inscrite dans son code génétique, développé et affiné de génération en génération par le principe de sélection naturelle depuis que le genre humain apparut. Pour une organisation, il n’’y a pas de mécanismes naturels possible pour identifier la présence du risque, encore moins pour alerter l’organisation d’’un danger ou prendre des actions défensives par rapport à une situation à risque, comme la peur engendre des réactions instinctives et des mécanismes de protection chez l’’humain. L’organisation doit faire le choix de créer et de mettre en oeuvre ces mécanismes.

2.1 La perception et le risque

Fondamentalement, il y a deux approches qui sont utilisées pour obtenir des données qui peuvent être utilisés en gestion de risque: l’approche scientifique et l’approche non scientifique. L’approche scientifique permettra de quantifier le risque, en s’appuyant sur des principes scientifiques, des paradigmes analytiques et des données probantes qui peuvent provenir des données historique de l’organisation ou d’organisations similaires. L’approche scientifique s’intéressera à des aspects de scientificité des mesures, de rigueur méthodologique, de fidélité et de validité (interne et externe) qui seront présentés de façon plus détaillée au chapitre 7. L’approche scientifique s’opère dans un paradigme rationaliste. L’approche non scientifique se fondera sur l’expérience et l’intuition. Les partisans des deux approches ont leur propre notion de l’objectivité au sujet du risque. Il y a des similitudes dans la façon dont ils arrivent à leurs décisions: les deux feront appel au dialogue et à la comparaison avec leurs pairs, afin d’arriver à un accord entre eux ou par consensus sur ce qu’est ce qui est la réalité objective. Cependant, il existe des différences entre l’approche rationnelle scientifique et l’approche non scientifique. Cette différence est très apparente dans dans le traitement du risque, les actions de mobilisation et les décisions dans des situations à risque.

Par exemple, les chances de gagner à la loterie 6/49 au Québec sont mathématiquement très faibles, de l’ordre de 1/13 983 816. La décision rationelle serait de ne pas acheter de billet, minimisant la perte. Pourtant des millions de personnes chaque semaine achètent des billets dans l’espoir de devenir millionnaire.

En plus du choix de l’approche (scientifique ou non scientifique), la prise de décisions impliquant le risque subit l’influence de facteurs socio-culturels. Lorsqu’un individu estime la probabilité et la crédibilité qu’un aléa se produise, il est biaisé par des hypothèses sociales et culturelles. Selon le contexte social dans lequel les normes et les expériences connexes de l’individu ont été établis. Les notions de risque d’un individu diffèrent grandement de celles des autres: ses expériences, son éducation, ses croyances et d’autres facteurs culturels, au sens ethnologique du terme, créent des filtres à travers lesquels il voit le monde. Des variations perceptuelles sont introduites dues à l’appartenance à différents groupes socio-culturels. Les professionnels de la gestion des risques sont sujets aux mêmes influences que les membres de la société et des groupes dont ils sont issus. Pour toutes ces raisons, le risque est une construction culturelle. Cependant, ces facteurs socio-culturels ne sont qu’une part de l’équation. La propension aux risques, qui est une volonté des individus à prendre ou à éviter les risques, a un impact sur la construction du risque chez les individus et la prise de décisions impliquant le risque. Si un individu a une aversion au risque, c’est à dire s’il n’aime pas s’exposer aux risques, il sera plus probable qu’il sera plus pessimiste sur les résultats, il surestimera la réduction de l’utilité attendue (μ) et évitera de s’engager dans une action ou un projet nécessitant la prise de risque. Au contraire, l’individu qui a une propension au risque s’exposera au risque avec une vision plus optimiste des résultats attendus, il sous-estimera la réduction de l’utilité attendue (μ). La propension au risque d’un individu aura un influence sur sur la prise de décisions impliquant le risque. D’autres facteurs peuvent aussi influencer l’individu impliqué dans des décisions impliquant le risque. Nous avons mentionné précédemment que l’approche non scientifique se fonde sur l’expérience et l’intuition. Il est important de comprendre qu’il existe deux façons d’obtenir de l’information sur le monde qui nous entoure : directement perçu par les sens (e.g. on peut toucher, sentir ou voir) ou par intuition qui amène du contenu de l’inconscient au conscient (e.g la mémoire de connaissances acquises). La psychologie cognitive enseigne que cette information, bien qu’elle soit exacte du point de vue de l’individu comme acteur particulier, est sujette à nombre de biais, entre autres :

• Les paralogismes (erreurs de raisonnement) formels et informels
• La dissonance cognitive
• Les heuristiques de jugement
• Les limites de la vigilance

Un autre facteur qui aura une influence est le langage utilisé pour communiquer sur les risques. Le choix de langage a un effet sur la perception du risque des individus, plus précisément sur la manière dont les individus évaluent de façon asymétrique leurs perspectives de perte (réduction de l’utilité attendue) et de gain (augmentation de l’utilité attendue). Comme l’explique le théorie des perspectives (Prospect Theory), le cadrage du problème, la façon dont il est présenté et la mise en situation sont tous des éléments qui influent la construction du risque, la prise de décision et les résultats. Le point de référence adopté par les individus afin d’estimer les situations à risque affecte la prise de risque. Le résultats de ces éléments, le choix de l’approche, les aspects culturels, la propension aux risques, et le choix de langage, auront un impact sur le comportement des individus dont il résultera une sous-estimation ou une surévaluation de la probabilité de réalisation d’aléas, des dommages et de la vulnérabilité d’un élément à risque à ceux-ci. L’estimation subjective, non scientifique, passe par le prisme des individus. Elle peut ne pas se conformer aux besoins des organisations en matière de gestion du risque. Il est nécessaire de mettre en place des mécanismes correcteurs pour limiter l’effet de la subjectivité inhérente aux approches non scientifiques et aux biais qui l’accompagne. Mieux encore, les organisations devraient opter pour une approche scientifique de gestion des risques.

2.2 Le changement et le risque

L’histoire des civilisation est celle d’une continuité de changements. Le changement continuel est normal. Ce qui est anormal est de tenter de contrôler et restreindre le changement, ce que de nombreuses organisations tentent de faire, généralement en lien avec des cycles budgétaires ou des stratégies d’affaires. Puisque la mobilisation de ressources humaines et financières pour un traitement approprié du risque est une source de changement et qu’elle est une des composantes de la gestion de risque, il est essentiel d’aborder les principaux concepts du changement avant d’aborder en plus de détails la gestion de risque. Une compréhension des enjeux de la gestion du changement augmentera le succès des efforts de gestion de risque. es changements dans un système suivent des processus d’acculturation et d’assimilation. Ces migrations culturelles se font par diffusion inter-culturelle. Dans le processus de changement et d’adaptation, des dysfonctions entre les structures et les valeurs culturelles et symboliques de l’organisation apparaîtrons. Chacune des composantes de l’organisation (individus, stratégies, processus, systèmes, etc.) sont soumise à des pressions auxquelles elles réagiront par des mécanismes différents d’adaptation et d’intégration. Il en résultera un état de tension, de dissonance ou de désynchronisation organisationnelle. Il est nécessaire de prévoir des processus de gestion du changement que l’organisation pourra mettre en oeuvre lorsque se développe ces désynchronisations, c’est-à-dire dans les moments d’acculturation et d’assimilation. Ces moments peuvent causer le rejet de la nouvelle façon de faire ce qui, dans notre contexte de gestion de risque, réduira l’efficacité des actions de traitement adéquat du risque. Lorsque des changements sont perçus, les membres de l’organisation tentent de s’y adapter en modifiant le système sociostructurel. Souvent, ces changements au système sociostructurel n’ont pas de sens, ni de légitimité, dans le système culturel. Il en résulte une dissonance et une désynchronisation entre les deux systèmes (sociostructurel et culturel). Les conséquences de cette tension peuvent être plus ou moins graves, allant d’une perte d’efficacité à la faillite complète du projet ou même de l’organisation. La gestion du changement cherchera à ajuster ces systèmes pour faciliter la réussite du changement proposé. Pour cela, il devient important de connaître les cinq phases du changement afin de les reconnaître sur le terrain et de mettre en oeuvre à priori des mesures, des méthodes ou des processus de gestion afin de limiter ou de contrôler leur impacts sur l’organisation. Le processus de changement s’opère en cinq (5) phases:

1. Le refus de comprendre (ou déni)
2. La résistance au changement
3. La décompensation
4. La résignation
5. L’intégration

La première phase est le refus de comprendre. Lorsqu’un changement qui ne correspond pas aux aspirations d’un individu est annoncé, la première phase observable est celle du refus de comprendre, aussi appelé déni. Dans un premier temps, l’individu ne comprend pas ce qu’on lui dit. II s’agit là quasiment d’un réflexe. La relation affective de l’individu avec ce que l’on est qu’on est en train de changer conditionne l’ampleur et la durée de cette phase. À cette phase, celui qui introduit le changement est tenté d’établir un lien entre le refus de comprendre et l’intelligence de son interlocuteur, ce qui aggrave la situation. La phase de refus de comprendre peut être brève. Cependant, dans le cas de changements majeurs, elle peut prendre des proportions considérables. La seconde phase est la résistance au changement. Entre la moitié et le trois-quart des projets de changement organisationnels échouent à la phase de résistance au changement. Malgré cela, cette phase est souvent minimisé dans la planification des projets de nature technologique. La résistance au changement est souvent un frein majeur dans la mise en oeuvre de nouveaux moyens de gestion et dans de nombreux projets de gestion de la qualité, qui ont des similitudes avec les de gestion de risque. Dans un contexte organisationnel, la résistance au changement est généralement perçue comme un frein au progrès, surtout du point de vue de ceux qui initient le changement. Assimilée à une vision passéiste, anti-progressiste et excessivement conformiste voire réactionnaire, elle est pourtant naturelle, innée, et elle peut même être utile et nécessaire. L’utilité de la résistance au changement repose sur quatre éléments :

• D’un point de vue psychologique, la résistance nous permet de réaliser le changement. En verbalisant nos arguments, nous pouvons exorciser le sentiment de frustration qui nous étreint. En fait, la résistance nous permet d’évacuer notre stress, d’objectiver notre réalité et celle qui nous est imposée.
• D’un point de vue opérationnel, tout changement annoncé n’est pas nécessairement le meilleur possible. Tout changement annoncé peut, le plus souvent, être amélioré dans la forme et sur le fond. Le cas échéant, la résistance à travers l’argumentation permet d’améliorer le changement ou d’en montrer les limites.
• D’un point de vue éthique, certains changements tentent de se faire au mépris des valeurs ou des croyances d’un individu ou d’un groupe. La résistance permettra de faire échec à ces changements. Elle est une protection contre l’abusif, l’arbitraire, l’inconséquence et l’irresponsabilité.
• D’un point de vue humain, elle permet de réguler les risques d’abus de pouvoir.

La résistance se manifeste principalement sous quatre formes :

• L’inertie,
• l’argumentation,
• la révolte et
• le sabotage.

Ces quatre expressions alternent au cours de la phase de résistance. Le choix de la forme de résistance est dicté autant par l’individu que par l’environnement. Les résistances ne comportent bien sûr pas toutes l’ensemble des expressions. L’argumentation, néanmoins, est toujours présente.

La troisième phase est la décompensation. Elle se caractérise par l’abandon de la résistance sous toutes ses formes. Lorsque la résistance contre un changement en contradiction avec les aspirations est sans effet, les individus décompensent: ils se sentent las, incompris ou non reconnus. Plus la résistance fut forte, plus la décompensation est grande, à la mesure de l’impact affectif du changement et de som importance. Elle présente les symptômes de la dépression : fatigue, idées noires, tristesse, etc. La décompensation s’opère par rapport aux repères internes. Plus l’individu et sentimental et émotif, plus la décompensation est évidente. Au contraire, plus il est réfléchi, moins elle est observable. La décompensation peut durer quelques minutes ou plusieurs années. Les deux facteurs-clés de la durée et de l’intensité de la décompensation sont d’une part la distance affective par rapport à l’objet du changement, et d’autre part le niveau de stress lié à l’accumulation des changements.

La quatrième phase est la résignation. La résignation est souvent la phase la plus longue dans un processus individuel de changement, car elle correspond à l’acceptation du changement proposé. Lorsque l’individu entre dans cette phase, il fait contre mauvaise fortune bon coeur. S’il accepte le changement, il ne pourra se défendre contre la nostalgie du passé et de l’ancienne réalité, partagés entre le désir d’échapper au stress lié au changement et l’instinct de conservation de son identité. Dans cette phase, l’individu rationalise son acceptation du changement. L’enthousiasme et la satisfaction ne sont pas encore à l’ordre du jour. Il aura des bouffées de tristesse qui alimentent sa nostalgie. Cette nostalgie est le meilleur indice de la résignation au présent. La résignation permet d’achever le travail de deuil lors d’un changement individuel. La résignation cède finalement la place à l’intégration, parfois graduellement, parfois brutalement.

La cinquième et dernière phase est l’intégration. L’intégration d’un changement, c’est son acceptation totale dans la réalité présente et virtuelle. Distinguons deux niveaux d’intégration : l’intégration conceptuelle et l’intégration comportementale. L’intégration du changement s’accompagne le plus souvent d’un enthousiasme recouvré, d’une énergie positive tournée vers l’action, d’un sentiment de bien-être, voire de sérénité. La nostalgie du passé tend à disparaître, le deuil est fait et le processus de changement est complété avec succès.

2.3 Principaux concepts de la gestion du risque

Tel que mentionné au chapitre 1, la gestion du risque est accomplie par un processus IPM:

• I: identification et d’évaluation des scénarios de risque (les combinaisons d’élément à risque, aléas et de vulnérabilités susceptible de causer des dommages),
• P: priorisation des scénarios,
• M: mobilisation de ses ressources humaines et financières pour un traitement approprié du risque.

L’identification (I) et la priorisation (P) sont des processus d’analyse de risque. Nous devons d’abord comprendre ce qu’est un scénario de risque. Nous avons mentionné, au chapitre précédent que, pour que le risque existe, trois composantes doivent co-exister pour un élément à risque donné (E), dans un temps (t) et un espace (s) donné:

• l’élément à risque (E),
• l’aléa (A) et
• la vulnérabilité (ψ).

Nous définissons donc un scénario de risque comme la description de l’aléa (A) et des événements ou séquences d’événements, des actions, des décisions et des facteurs connexes qui ont rendu possible l’exploitation d’une vulnérabilité (ψ) dont le résultat est un dommage (δ), c’est à dire la réduction de l’utilité attendue (μ), d’un élément à risque (E). Dit plus simplement, c’est l’histoire de ce qui est arrivé, ou des causes, d’un incident envisagé. Nous utiliserons le symbole Ζn(A,ψ,δ) pour identifier les scénarios de risque, ou n est un numéro identifiant le scénario.Dans la phase d’identification et d’évaluation des scénarios de risque (les combinaisons d’élément à risque, aléas et de vulnérabilités susceptible de causer des dommages):

1. Identifier ou concevoir les scénarios à envisager dans l’analyse de risque
2. Prévoir les conséquences, les dommages et les réduction de l’utilité attendue, possibles de chaque scénario envisagé et évaluer, objectivement et subjectivement, leur possibilité de se réaliser.

Dans la phase de priorisation des scénarios:

1. Identifier les variables susceptibles d’influencer l’utilité attendue et ajuster en fonction des contextes,
2. Évaluer les probabilités à assigner aux contextes retenus
3. Appliquer une stratégie décisionnelle.

• Ignorer le risque : l’’organisation peut décider consciemment d’’ignorer le risque.
• Éviter le risque : l’organisation pourra décider de ne pas poursuivre une opportunité car elle considère que le risque ne vaut pas la chandelle.
• Accepter le risque : l’’organisation détermine que le risque associé à une situation donnée est acceptable pour l’’organisation compte tenu de ses contraintes, des ses objectifs d’’affaires ou de sa résilience.
• Mitiger le risque : par la mise en oeuvre de mécanismes de protection, de détection ou de réponse, par exemple par la mise en place d’’un pare-feu, une organisation réduira la menace d’’intrusion de son réseau informatique via l’Internet.
• Transférer le risque : une organisation pourrait décider de prendre une police d’’assurance qui couvre un risque précis, une organisation pourrait aussi transférer le risque, contractuellement, à un tiers ou l’externaliser via d’autres mécanismes.

2.4 Exercice pratique

Création de scénarios de risque (10) en utilisant le formulaire disponible en ligne.

2.5 Questions de révision

2.5.1) Indiquez si l’énoncé suivant est vrai (V) ou faux (F) ?

1. _____ : L’expertise individuelle du risque est basée sur nos expériences quotidiennes.
2. _____ : L’expertise individuelle du risque est basée sur notre incapacité à apprendre de nos expériences.
3. _____ : Dans les organisations, les réflexes naturels de la peur et de l’’anxiété, sont un indicateur de la présence d’’un risque inopiné.
4. _____ : Dans le cas de l’’Homme c’’est une question de survie qui a emmené le développement d’’un sens naturel d’’identification du risque, la peur.
5. _____ : Pour une organisation, il n’’y a pas de mécanismes naturels possible pour identifier la présence du risque ou d’’un danger.

2.5.2) Indiques si l’énoncé proposé s’applique à l’approche scientifique (S) , à l’approche non scientifique (N) ou aux deux (2) approches de gestion de risque.

1. _____ : S’opère dans un paradigme rationaliste.
2. _____ : Permet de quantifier le risque en s’appuyant sur des paradigmes analytiques.
3. _____ : Se fonde sur l’expérience et l’intuition.
4. _____ : Permettra de quantifier le risque en s’appuyant sur des données probantes.
5. _____ : Fait appel au dialogue et à la comparaison avec les pairs.
6. _____ : Permet de quantifier le risque en s’appuyant sur des données historique.
7. _____ : S’intéresse à des aspects de scientificité des mesures.
8. _____ : S’intéresse à des aspects de rigueur méthodologique.
9. _____ : S’intéresse à des aspects de fidélité et de validité (interne et externe).
10. _____ : Recherche le consensus sur ce qu’est ce qui est la réalité objective.

2.5.3) Apparier le bon terme avec la description qui lui convient le mieux:

• A. Décompensation
• B. Intégration
• C. Refus de comprendre
• D. Résignation
•  E. Résistance au changement

1. _____ : C’est la première phase du changement.
2. _____ : C’est la seconde phase du changement.
3. _____ : C’est la troisième phase du changement.
4. _____ : Cette phase est la quatrième phase du changement.
5. _____ : Cette phase est la cinquième phase du changement.
6. _____ : Cette phase présente les symptômes de la dépression : fatigue, idées noires, tristesse, etc.
7. _____ : Se produit lorsqu’un changement qui ne correspond pas aux aspirations d’un individu est annoncé.
8. _____ : Cette phase permet d’achever le travail de deuil lors d’un changement individuel.
9. _____ : Entre la moitié et le trois-quart des projets de changement organisationnels échouent à cette phase.
10. _____ : Cette phase est la dernière phase du changement.
11. _____ : Dans un contexte organisationnel, cette phase est généralement perçue comme un frein au progrès, surtout du point de vue de ceux qui initient le changement.
12. _____ : Cette phase est naturelle, innée et peut même être utile et nécessaire.
13. _____ : Cette phase se produit lorsque la résistance contre un changement en contradiction avec les aspirations est sans effet
14. _____ : Lors de cette phase les individus se sentent las, incompris ou non reconnus.
15. _____ : Plus la résistance fut forte, plus cette phase est grande, à la mesure de l’impact affectif du changement et de som importance.
16. _____ : Plus l’individu et sentimental et émotif, plus cette phase est évidente. Au contraire, plus il est réfléchi, moins elle est observable.
17. _____ : Cette phase peut durer quelques minutes ou plusieurs années. Les deux facteurs-clés de la durée et de l’intensité de cette phase sont d’une part la distance affective par rapport à l’objet du changement, et d’autre part le niveau de stress lié à l’accumulation des changements.
18. _____ : Cette phase est souvent la phase la plus longue dans un processus individuel de changement, car elle correspond à l’acceptation du changement proposé.
19. _____ : Lorsque l’individu entre dans cette phase, il fait contre mauvaise fortune bon coeur.
20. _____ : Dans cette phase, l’individu rationalise son acceptation du changement.
21. _____ : Cette phase cède finalement la place à l’intégration, parfois graduellement, parfois brutalement.
22. _____ : Cette phase est l’acceptation du changement dans la réalité présente et virtuelle.
23. _____ : Cette phase est souvent minimisé dans la planification des projets de nature technologique.
24. _____ : Cette phase s’accompagne le plus souvent d’un enthousiasme recouvré, d’une énergie positive tournée vers l’action, d’un sentiment de bien-être, voire de sérénité.
25. _____ : Cette phase est aussi appelé la phase de déni.

2.5.4) Mettre la stratégie avec la définition qui lui corresponds le mieux:

• A. Minimiser le regret maximum
• B. Maximaliser l’utilité attendue minimum
• C. Maximaliser l’utilité attendue
• D. Maximaliser l’utilité attendue moyenne
• E. Maximaliser l’utilité attendue dans le contexte le plus probable
• F. N’admettre que les scénarios non dominées

1. _____ : Ne sont admissibles que les scénarios qui ne sont pas dominés par d’autres.
2. _____ : L’on considère l’utilité attendue moyenne de chaque scénario et on choisit l’utilité moyenne la plus élevée.
3. _____ : Le décideur fait l’hypothèse qu’il se trouve dans le contexte le plus probable et choisi le scénario qui offre l’utilité la plus grande dans ce cas.
4. _____ : Consiste à prendre pour chaque scénario l’utilité attendue moyenne et à choisir le scénario offrant la plus grande utilité attendue.
5. _____ : Pour chaque scénario on identifie le regret maximum et on choisi le scénario qui représente le regret maximum le plus bas.

2.6 Bibliographie

◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊O◊

Chapitre 3. Les menaces

Habiliter les étudiants à participer aux activités d’identification des menaces.

• Qu’est-ce que l’identification des menaces?
• Toponymie des menaces informatiques;
• Cybercriminalité