Liste de contrôle pour l’évaluation des risques en cybersécurité

Le coût moyen d'une violation de données a atteint 4,44 millions de dollars en 2025, selon le IBM 2025 Cost of a Data Breach Report. Beaucoup de ces violations ont exploité des vulnérabilités que l'organisation avait déjà identifiées mais jamais corrigées.

Cette page explique ce qu’inclut une évaluation complète des risques en cybersécurité, depuis la définition de votre appétit pour le risque jusqu’à la mitigation continue et la formation, afin que vous puissiez voir à quoi ressemble un processus répétable avant d’en construire un. Téléchargez la liste de contrôle ci-dessous pour l’appliquer à votre propre environnement.

Qu'est-ce qu'une évaluation des risques en cybersécurité ?

Une évaluation des risques en cybersécurité est un processus systématique visant à identifier les vulnérabilités et les menaces dans votre environnement informatique et à évaluer leur potentiel à causer des dommages financiers. L'objectif est de comprendre où se situent vos plus grands risques avant qu'un incident ne survienne, afin que votre équipe de sécurité puisse allouer les ressources efficacement.

L’évaluation couvre trois dimensions principales : les actifs (ce que vous protégez), les menaces (ce qui pourrait nuire à ces actifs) et les vulnérabilités (les faiblesses qui permettent aux menaces de causer des dommages). Ensemble, elles déterminent votre niveau de risque global, noté et classé dans les étapes ci-dessous.

Pourquoi les organisations réalisent des évaluations des risques en cybersécurité

Les équipes de sécurité réalisent des évaluations des risques de cybersécurité pour quelques raisons spécifiques, chacune liée à la réduction de l'exposition financière ou à l'amélioration de la résilience organisationnelle :

• Quantifiez l'exposition financière avant qu'un incident ne se produise. Estimer le coût probable de chaque scénario de risque permet aux responsables de la sécurité de présenter le risque en termes compréhensibles pour les dirigeants et d'assurer un budget pour les lacunes les plus prioritaires.
• Démontrez la conformité aux exigences réglementaires. Les réglementations telles que HIPAA, GDPR, PCI DSS, et SOX exigent que les organisations documentent leur posture de risque ; une évaluation des risques HIPAA, par exemple, fait partie intégrante de la conformité HIPAA.
• Priorisez les investissements en sécurité. Classer les risques par impact financier vous permet de séquencer la remédiation de manière logique, en comblant les lacunes critiques avant que les éléments de moindre priorité ne consomment temps et budget.
• Renforcez la préparation à la réponse aux incidents. Modéliser comment les menaces deviennent des incidents révèle des lacunes dans vos incident response procédures avant les attaquants.
• Élaborez un profil de risque fondamental. Une base documentée vous permet de mesurer si vos contrôles fonctionnent et où le paysage des menaces a évolué lors des cycles futurs.

Liste de contrôle pour l’évaluation des risques en cybersécurité

Avant de commencer, alignez votre direction sur l'appétit au risque de l'organisation : quelle perte elle peut absorber, par catégorie de risque (financier, opérationnel, réputationnel), formalisée dans une déclaration approuvée par le conseil d'administration. Ce plafond est ce contre quoi chaque étape ci-dessous se mesure.

À partir de là, suivez les étapes suivantes dans l'ordre pour construire une image complète et défendable de l'exposition au risque de votre organisation. Le téléchargement ci-dessus inclut une feuille de travail complète pour chacune.

1. Identifiez et classez vos actifs

Inventoriez tout ce qui pourrait être compromis, des serveurs et des identifiants aux données clients et à la propriété intellectuelle, et étiquetez chacun selon sa sensibilité conformément à votre data classification policy.

2. Identifier les menaces pour chaque actif

Documentez chaque menace réaliste, des pannes système et catastrophes naturelles aux erreurs humaines et aux attaques par ransomware.

3. Évaluer les vulnérabilités existantes

Examinez les contrôles protégeant chaque actif et signalez les lacunes telles que les permissions d'accès excessives et les logiciels non corrigés, puis utilisez continuous vulnerability management pour garder cette vue à jour entre les cycles d'évaluation.

4. Analyser l'impact potentiel tout au long des chaînes de processus

Détaillez les conséquences financières, juridiques et réputationnelles si chaque menace devenait réalité.

5. Évaluer chaque risque

Classez chaque risque comme élevé, modéré ou faible en fonction de son impact financier potentiel, et documentez une solution proposée pour chaque risque élevé et modéré.

6. Définissez votre stratégie de contrôle de sécurité

Classez les contrôles selon leur impact sur vos risques prioritaires, en utilisant des mesures telles que la surveillance de l'intégrité des fichiers et le contrôle d'accès basé sur les rôles, et obtenez l'approbation de la direction avant le déploiement.

7. Évaluez vos exigences en matière de conformité

Cartographiez chaque risque par rapport aux réglementations qu'il pourrait compromettre, telles que GDPR, HIPAA, PCI DSS et SOX.

8. Élaborer un plan de réponse aux incidents

Documentez les rôles, les protocoles de communication et les actions de réponse automatisées pour vos scénarios de menace les plus prioritaires.

9. Documenter un plan de récupération

Priorisez vos systèmes et données critiques, cartographiez les dépendances et testez le plan au moins une fois par an.

10. Établir des pratiques continues de réduction des risques

Après chaque incident, analysez ce qui s'est passé et intégrez les conclusions dans vos contrôles.

11. Documentez chaque étape de l’évaluation

Enregistrez chaque décision et résultat pour soutenir les audits et donner du contexte aux nouveaux membres de l'équipe.

12. Communiquer les risques aux parties prenantes

Adaptez le niveau de détail à chaque public, des rapports exécutifs aux briefings ciblés pour les équipes.

13. Priorisez la formation à la sécurité en fonction du niveau de risque

Imposez une formation à l’échelle de l’organisation pour les risques à haute gravité comme le phishing, et ciblez les risques à gravité moindre vers des équipes spécifiques.

Comment évaluez-vous et priorisez-vous les risques ?

Le risque est une fonction de la valeur de l’actif, de la probabilité de la menace et de la vulnérabilité : Risque = Actif x Menace x Vulnérabilité. Évaluez chaque risque comme élevé, modéré ou faible en fonction de l’impact financier identifié par votre analyse.

Pour le modèle complet de notation, ainsi qu’un exemple pratique que vous pouvez adapter, consultez le modèle d’évaluation des risques en cybersécurité.

Comment cette liste de contrôle soutient-elle la conformité ?

Suivre cette liste de contrôle correspond naturellement aux mesures de protection dans CIS Controls v8 et aux familles de contrôles dans NIST 800-53 Rev 5, deux cadres que de nombreux programmes de conformité utilisent déjà. Une évaluation complétée sert également de preuve d’audit : elle documente que vous avez identifié vos risques, les avez notés, et attribué un responsable ainsi qu’un plan de remédiation, ce que les régulateurs et auditeurs demandent de voir sous HIPAA, GDPR, PCI DSS et SOX.

À quelle fréquence devez-vous effectuer une évaluation des risques ?

Effectuez une évaluation complète au moins une fois par an, et à nouveau après tout changement important, comme un nouveau système, une acquisition ou un incident significatif. Votre environnement informatique et le paysage des menaces évoluent constamment, donc une image des risques de l'année dernière, voire du dernier trimestre, reflète rarement votre exposition actuelle.