<page> <title>Vulnérabilité</title> <id>2847788</id> <revision> <id>31023268</id> <timestamp>2008-06-26T10:15:49Z</timestamp> <contributor> <username>Wikig</username> <id>173004</id> </contributor> <comment>Notes et.. , Bibliographie, Mà J liens wiki, etc..</comment> <text xml:space="preserve">:''Pour un usage du terme « vulnérabilité » en sécurité de l'information et sécurité informatique, veuillez consulter l'article [[Vulnérabilité (informatique)]].'' {{ébauche|sécurité}} En gestion des risques, la '''vulnérabilité''' d'une [[organisation]] ou d'une zone géographique est le point faible de cette organisation pouvant être défini par : * un '''objet de risque''' : ressource qui est en [[risque]], pouvant appartenir à cinq classes : [[être humain|humaine]], [[technique]], [[information]]s, [[partenaire]]s et [[financière]]s (H, T, I, P, F). Un exemple d'objet de risque est une [[Installation classée pour la protection de l'environnement]] ([[ICPE]]). * des '''causes''' : [[facteurs de risque]] ou périls, événements aléatoires dont la survenance prive l'[[organisation]] d'une ressource partiellement ou totalement, de façon provisoire ou définitive. * des '''conséquences''' : impact potentiel. Il s'agit de façon générale de l'[[impact]] sur l'atteinte des objectifs fondamentaux de l'[[organisation]]. Tous ne sont pas traduisibles facilement en termes financiers, comme le maintien de la [[compétence]] de l'entreprise. Il existe des tentatives d'évaluation du [[capital intellectuel]] des entreprises : Return on Knowledge Employed (ROKE). == Classes de vulnérabilités == Les classes de vulnérabilité selon l'[[AFNOR]] correspondent aux cinq catégories de ressources : * Atteintes de personne H * Dommage aux biens physiques et techniques T * Pertes d'informations I * Dommages aux partenariats P (ressources amont, latérales, aval) * Pertes de revenus F À ces catégories de ressources, il convient d'ajouter des ressources « gratuites » : * l'[[environnement]] [[physique]] * l'environnement [[politique]], légal et social, * l'environnement [[concurrentiel]]. == Place dans la [[gestion du risque|gestion des risques]] == L'identification de l'objet du [[risque]] et du péril ([[facteur de risque]]) permet de clore la phase d'identification des [[risque]]s. La suite de l'[[analyse des risques]] prend en compte les conséquences : * Conséquences primaire : les dommages sur l'[[organisation]] elle-même * Conséquences sur les tiers : les dommages subis par les tiers et l'[[environnement]] , qui peuvent se traduire par la [[responsabilité civile]] ou [[responsabilité pénale|pénale]] et la mise en cause d'[[employé]]s ou de dirigeants * Atteintes à la réputation (voir [[risque de réputation]]). == Quelques exemples == === Par rapport au risque industriel === Voir : [[Installation classée pour la protection de l'environnement]] La '''vulnérabilité''' d’une zone ou d’un point donné est l’appréciation de la sensibilité des cibles présentes dans la zone à un type d’effet donné (surpression de x mbar, gaz toxique à la concentration y pendant un temps t…). Par exemple, on distinguera des zones d’habitat, de zones de terres agricoles, les premières étant plus sensibles que les secondes à un aléa d’explosion en raison de la présence de constructions et de personnes. ''(Circulaire du 02/10/03 du MEDD sur les mesures d'application immédiate introduites par la loi 2003-699 en matière de prévention des risques technologiques dans les installations classées).'' === Par rapport au risque pays === Le [[Fonds monétaire international|FMI]] publie des indicateurs de vulnérabilité par rapport au [[risque pays]]<ref>[http://www.imf.org/external/np/exr/facts/fre/vulf.htm Indicateurs de vulnérabilité] - [[Fonds monétaire international|FMI]], avril 2003</ref>. === Par rapport aux informations sensibles === Les [[donnée]]s informatiques sont de plus en plus constituées par des [[information]]s éparpillées et des [[document]]s répartis sur différents sites et [[postes de travail]], qui contiennent le [[patrimoine de connaissances]] (explicites) de personnes et d'organismes qui travaillent en [[communautés de pratique]]. Ce patrimoine, quelquefois appelé [[capital immatériel]] (ou [[capital intellectuel]]), doit être protégé contre les [[risques de perte de compétence]]. D'autre part, les documents [[contractuel]]s de l'entreprise, signés avec des [[partenaire]]s (clients, fournisseurs, [[banque]]s, [[assurance]]s) engagent l'entreprise, par la [[signature électronique]]. Les impacts [[économique]]s, [[environnementaux]] et [[sociaux]] des activités de l'entreprise sur diverses [[parties prenantes]], peuvent engager la [[responsabilité]] des dirigeants ou des employés de l'entreprise sur le plan juridique. Il est donc nécessaire de pouvoir fournir la [[preuve]] de la bonne exécution des termes d'un [[contrat]] ([[gestion de la preuve]]), et de s'assurer que différents types de [[risque]]s ont été pris en compte, afin de se prémunir contre le risque juridique, [[responsabilité civile|responsabilités civile]] et [[responsabilité pénale|pénale]], pouvant entraîner des [[amende]]s lourdes en cas de non respect de dispositions légales. Tout cela nécessite d'analyser la vulnérabilité de l'organisation dans son ensemble, et du [[système d'information]], qui commence par l'identification des éléments sensibles : * [[Actif (comptabilité)|Actif]]s, * [[Information]]s de toutes nature, [[donnée]]s, etc. Voir : * [[Sécurité des données]] * [[Patrimoine informationnel]] === Par rapport aux processus de décision === Certains [[processus de décision]] peuvent également présenter des vulnérabilités par rapport aux actions d'[[influence]], car ils véhiculent des [[connaissance]]s sensibles pour les [[communauté]]s qui partagent ces connaissances ([[gouvernement]]s, [[pôles de compétitivité]]...). En l'absence d'une [[gestion]] rigoureuse des [[donnée]]s partagées, des informations même relativement peu sensibles (grises), disponibles en [[sources ouvertes]], peuvent être captées par des réseaux d'[[influence]] internationaux pouvant avoir des [[intérêt]]s différents de l'organisation. Si l'on dispose d'une organisation ([[registres de métadonnées]]) permettant de décrypter, avec des [[moteurs de recherche]], des [[ressources informatiques]] [[indexée]]s avec des [[métadonnée]]s structurées de façon cohérente, on dispose d'une puissance d'[[influence]] très importante. == Notes et références == <references /> == Bibliographie == * ''Défense nationale et sécurité collective'', février [[2006]]. * ''Fonction risk manager'', Catherine Véret, Richard Mékouar, Dunod, [[2005]]. * ''Gestion des risques, 100 questions pour comprendre et agir, Jean-Paul Louisot, AFNOR et CARM Institute, avec la participation de Jacques Lautour. == Voir aussi == * [[Risque majeur]] * [[Sécurité]] * [[Risque]] * [[Menace]] * [[Gestion des risques]] * [[Sécurité des données]] * [[Intelligence économique]] * [[Responsabilité sociétale des entreprises]] * [[Partie prenante]] == Lien externe == * {{en}} [http://www.mitre.org/work/tech_papers/tech_papers_98/nims_information/nims_info.pdf NIMS Information Security Threat Methodology] - The MITRE Corporation, août 1998 {{pdf}} [[Catégorie:Cindynique]] [[Catégorie:Santé publique]] [[Catégorie:Sécurité]] [[ast:Vulnerabilidá]] [[de:Vulnerabilität]] [[en:Vulnerability]] [[es:Vulnerabilidad]] [[fa:آسیب‌پذیری]] [[simple:Vulnerability]]</text> </revision> </page>