<page>
    <title>Vulnérabilité</title>
    <id>2847788</id>
    <revision>
      <id>31023268</id>
      <timestamp>2008-06-26T10:15:49Z</timestamp>
      <contributor>
        <username>Wikig</username>
        <id>173004</id>
      </contributor>
      <comment>Notes et.. , Bibliographie, MàJ liens wiki, etc..</comment>
      <text xml:space="preserve">:''Pour un usage du terme « vulnérabilité » en sécurité de l'information et sécurité informatique, veuillez consulter l'article [[Vulnérabilité (informatique)]].''

{{ébauche|sécurité}}
En gestion des risques, la '''vulnérabilité''' d'une [[organisation]] ou d'une zone géographique est le point faible de cette organisation pouvant être défini par :
* un '''objet de risque''' : ressource qui est en [[risque]], pouvant appartenir à cinq classes : [[être humain|humaine]], [[technique]], [[information]]s, [[partenaire]]s et [[financière]]s (H, T, I, P, F). Un exemple d'objet de risque est une [[Installation classée pour la protection de l'environnement]] ([[ICPE]]).
* des '''causes''' : [[facteurs de risque]] ou périls, événements aléatoires dont la survenance prive l'[[organisation]] d'une ressource partiellement ou totalement, de façon provisoire ou définitive.
* des '''conséquences''' : impact potentiel. Il s'agit de façon générale de l'[[impact]] sur l'atteinte des objectifs fondamentaux de l'[[organisation]]. Tous ne sont pas traduisibles facilement en termes financiers, comme le maintien de la [[compétence]] de l'entreprise. Il existe des tentatives d'évaluation du [[capital intellectuel]] des entreprises : Return on Knowledge Employed (ROKE).

== Classes de vulnérabilités ==

Les classes de vulnérabilité selon l'[[AFNOR]] correspondent aux cinq catégories de ressources :
* Atteintes de personne H
* Dommage aux biens physiques et techniques T
* Pertes d'informations I
* Dommages aux partenariats P (ressources amont, latérales, aval)
* Pertes de revenus F

À ces catégories de ressources, il convient d'ajouter des ressources « gratuites » :
* l'[[environnement]] [[physique]]
* l'environnement [[politique]], légal et social,
* l'environnement [[concurrentiel]].

== Place dans la [[gestion du risque|gestion des risques]] ==
L'identification de l'objet du [[risque]] et du péril ([[facteur de risque]]) permet de clore la phase d'identification des [[risque]]s.

La suite de l'[[analyse des risques]] prend en compte les conséquences :
* Conséquences primaire : les dommages sur l'[[organisation]] elle-même
* Conséquences sur les tiers : les dommages subis par les tiers et l'[[environnement]] , qui peuvent se traduire par la [[responsabilité civile]] ou [[responsabilité pénale|pénale]] et la mise en cause d'[[employé]]s ou de dirigeants
* Atteintes à la réputation (voir [[risque de réputation]]).

== Quelques exemples ==
=== Par rapport au risque industriel ===
Voir : [[Installation classée pour la protection de l'environnement]] 

La '''vulnérabilité''' d’une zone ou d’un point donné est l’appréciation de la sensibilité des cibles présentes dans la zone à un type d’effet donné (surpression de x mbar, gaz toxique à la concentration y pendant un temps t…). Par exemple, on distinguera des zones d’habitat, de zones de terres agricoles, les premières étant plus sensibles que les secondes à un aléa d’explosion en raison de la présence de constructions et de personnes. ''(Circulaire du 02/10/03 du MEDD sur les mesures d'application immédiate introduites par la loi 2003-699 en matière de prévention des risques technologiques dans les installations classées).''

=== Par rapport au risque pays ===
Le [[Fonds monétaire international|FMI]] publie des indicateurs de vulnérabilité par rapport au [[risque pays]]&lt;ref&gt;[http://www.imf.org/external/np/exr/facts/fre/vulf.htm Indicateurs de vulnérabilité] - [[Fonds monétaire international|FMI]], avril 2003&lt;/ref&gt;.

=== Par rapport aux informations sensibles ===
Les [[donnée]]s informatiques sont de plus en plus constituées par des [[information]]s éparpillées et des [[document]]s répartis sur différents sites et [[postes de travail]], qui contiennent le [[patrimoine de connaissances]] (explicites) de personnes et d'organismes qui travaillent en [[communautés de pratique]]. Ce patrimoine, quelquefois appelé [[capital immatériel]] (ou [[capital intellectuel]]), doit être protégé contre les [[risques de perte de compétence]].

D'autre part, les documents [[contractuel]]s de l'entreprise, signés avec des [[partenaire]]s (clients, fournisseurs, [[banque]]s, [[assurance]]s) engagent l'entreprise, par la [[signature électronique]]. Les impacts [[économique]]s, [[environnementaux]] et [[sociaux]] des activités de l'entreprise sur diverses [[parties prenantes]], peuvent engager la [[responsabilité]] des dirigeants ou des employés de l'entreprise sur le plan juridique. Il est donc nécessaire de pouvoir fournir la [[preuve]] de la bonne exécution des termes d'un [[contrat]] ([[gestion de la preuve]]), et de s'assurer que différents types de [[risque]]s ont été pris en compte, afin de se prémunir contre le risque juridique, [[responsabilité civile|responsabilités civile]] et [[responsabilité pénale|pénale]], pouvant entraîner des [[amende]]s lourdes en cas de non respect de dispositions légales.

Tout cela nécessite d'analyser la vulnérabilité de l'organisation dans son ensemble, et du [[système d'information]], qui commence par l'identification des éléments sensibles :
* [[Actif (comptabilité)|Actif]]s,
* [[Information]]s de toutes nature, [[donnée]]s,
etc.

Voir :
* [[Sécurité des données]]
* [[Patrimoine informationnel]]

=== Par rapport aux processus de décision ===
Certains [[processus de décision]] peuvent également présenter des vulnérabilités par rapport aux actions d'[[influence]], car ils véhiculent des [[connaissance]]s sensibles pour les [[communauté]]s qui partagent ces connaissances ([[gouvernement]]s, [[pôles de compétitivité]]...).

En l'absence d'une [[gestion]] rigoureuse des [[donnée]]s partagées, des informations même relativement peu sensibles (grises), disponibles en [[sources ouvertes]], peuvent être captées par des réseaux d'[[influence]] internationaux pouvant avoir des [[intérêt]]s différents de l'organisation.

Si l'on dispose d'une organisation ([[registres de métadonnées]]) permettant de décrypter, avec des [[moteurs de recherche]], des [[ressources informatiques]] [[indexée]]s avec des [[métadonnée]]s structurées de façon cohérente, on dispose d'une puissance d'[[influence]] très importante.

== Notes et références ==
&lt;references /&gt;

== Bibliographie ==
* ''Défense nationale  et sécurité collective'', février [[2006]].
* ''Fonction risk manager'', Catherine Véret, Richard Mékouar, Dunod, [[2005]].
* ''Gestion des risques, 100 questions pour comprendre et agir, Jean-Paul Louisot, AFNOR et CARM Institute, avec la participation de Jacques Lautour.

== Voir aussi ==
* [[Risque majeur]]
* [[Sécurité]]
* [[Risque]]
* [[Menace]]
* [[Gestion des risques]]
* [[Sécurité des données]]
* [[Intelligence économique]]
* [[Responsabilité sociétale des entreprises]]
* [[Partie prenante]]

== Lien externe ==
* {{en}} [http://www.mitre.org/work/tech_papers/tech_papers_98/nims_information/nims_info.pdf NIMS Information Security Threat Methodology] - The MITRE Corporation, août 1998 {{pdf}}



[[Catégorie:Cindynique]]
[[Catégorie:Santé publique]]
[[Catégorie:Sécurité]]

[[ast:Vulnerabilidá]]
[[de:Vulnerabilität]]
[[en:Vulnerability]]
[[es:Vulnerabilidad]]
[[fa:آسیب‌پذیری]]
[[simple:Vulnerability]]</text>
    </revision>
  </page>