Pratique des actifs informationnels et des risques

L'entreprise A est un revendeur d'équipements industriels employant 120 personnes. Mme B, du service commercial, vient d'être nommée responsable de la sécurité de l'information pour son service et doit établir pour la première fois le registre des actifs informationnels du service commercial. Le service commercial dispose des coordonnées des interlocuteurs clients enregistrées dans le système de gestion de la clientèle, de contrats papier, de cartes de visite reçues lors de salons professionnels, de fichiers Excel de devis, d'ordinateurs portables prêtés par l'entreprise et d'un service cloud d'aide à la vente. Lorsque Mme B a consulté le service informatique, on lui a répondu : « Nous connaissons les données présentes sur le serveur, mais pas les informations que chaque service détient individuellement. » Que doit faire Mme B en premier lieu pour établir ce registre ?

1. Signaler au comité de sécurité de l'information l'absence de registre et attendre des instructions à l'échelle de l'entreprise avant d'agir
2. Reprendre telle quelle la liste des serveurs gérés par le service informatique comme registre du service commercial
3. Ne s'intéresser qu'aux données figurant dans le système de gestion de la clientèle et déterminer d'abord les niveaux de confidentialité, d'intégrité et de disponibilité
4. Recenser toutes les informations traitées par le service commercial dans le cadre de son activité, sans distinction entre données électroniques, papier, équipements et services externes

Mme B, du service commercial de l'entreprise A, a recensé les informations du service et établi la première version du registre des actifs informationnels. Le service commercial traite les coordonnées de clients enregistrées dans le serveur de gestion des ventes, les originaux de contrats conservés dans l'armoire du 3e étage, les cartes de visite reçues lors de salons ou de visites, et les modèles de devis placés dans le dossier partagé. Pour chaque actif, Mme B a rempli les colonnes service utilisateur, responsable de gestion, lieu de conservation, support et quantité. Pour les cartes de visite, ayant appris que « chaque collaborateur les reçoit et les conserve lui-même », elle l'a consigné tel quel. Avant de soumettre le registre à sa hiérarchie, Mme B vérifie s'il présente des problèmes de rédaction. Parmi les entrées suivantes, laquelle nécessite le plus une révision ?

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. N°4 — Les actifs qui ne sont jamais sortis de l'entreprise n'ont pas besoin de figurer dans le registre
2. N°1 — Les actifs comportant un grand nombre d'éléments doivent obligatoirement être répartis sur plusieurs lignes selon leur quantité
3. N°3 — Le responsable de gestion n'est pas une personne identifiée, et ni le lieu de conservation ni la quantité ne sont connus
4. N°2 — Les documents papier ne relevant pas du registre des actifs informationnels, cette ligne doit être supprimée du registre

Dans l'entreprise A, les informations client saisies par le service commercial à la réception d'une commande sont utilisées par le service logistique pour vérifier l'adresse de livraison, et par le service comptable pour émettre les factures. Ces informations client sont stockées dans le système de gestion des ventes exploité par le service informatique. Lors de l'élaboration du registre des actifs informationnels, les services ne s'accordent pas sur qui doit être désigné responsable de gestion de ces informations client. Les services logistique et comptable affirment « nous ne faisons que les utiliser », tandis que le service informatique déclare « nous ne faisons qu'héberger le serveur, nous ne connaissons pas le contenu ». Quelle est la manière la plus appropriée de désigner le responsable de gestion ?

1. Désigner le directeur du service informatique, qui exploite le système hébergeant l'information, comme responsable de gestion, et mentionner en regard le service commercial, le service logistique et le service comptable comme services utilisateurs
2. Désigner le responsable du service commercial, qui produit l'information dans le cadre de son activité et répond de son contenu et de son périmètre d'utilisation, comme responsable de gestion, et mentionner en regard le service logistique et le service comptable comme services utilisateurs
3. Enregistrer conjointement les directeurs des trois services utilisateurs comme responsables de gestion et décider par consensus
4. Ne désigner aucun responsable de gestion et ne consigner au registre que les services utilisateurs

Dans l'entreprise A, le registre des actifs informationnels est mis à jour chaque année lors de l'inventaire de mars. Cette année, au sein du service commercial, un changement de personnel en avril a entraîné le remplacement du responsable du système de gestion de la clientèle. En juin, un nouveau service cloud d'aide à la vente a été introduit et l'enregistrement de l'historique des négociations a commencé. En septembre, 1 000 contrats papier ont été transférés de l'armoire interne vers un entrepôt externe. En novembre, un employé sous contrat à durée déterminée a quitté l'entreprise et un autre collaborateur a repris les fichiers de devis dont il s'occupait. Mme B pense que « l'inventaire annuel ayant lieu en mars, le registre peut rester tel quel jusque-là ». Quelle est la remarque la plus appropriée face à cette manière de voir ?

1. Les informations conservées sur un service cloud relèvent de la gestion du prestataire ; il n'est donc pas nécessaire de les faire figurer au registre de l'entreprise
2. La mise à jour du registre ne doit avoir lieu qu'en cas de refonte de système ; les changements de personnel ou de lieu de conservation ne relèvent pas de la mise à jour
3. Il faut mettre à jour le registre au fur et à mesure des changements affectant les actifs, et considérer l'inventaire annuel comme l'occasion de combler les lacunes restantes
4. Le registre est un enregistrement figé au moment de son établissement ; il ne doit plus être modifié une fois validé, et un nouveau registre doit être créé chaque nouvelle année

Mme B, du service commercial de l'entreprise A, a recensé les actifs informationnels au moyen d'une enquête interne au service. Seules trois réponses lui sont parvenues : les données du système de gestion de la clientèle, les propositions du dossier partagé et les contrats de l'armoire. Or, en faisant le tour du service, elle a constaté qu'un collaborateur conservait une liste de clients au format Excel sur le bureau de son ordinateur portable prêté par l'entreprise, qu'un autre enregistrait des propositions sur un service de stockage cloud gratuit souscrit à titre personnel et les modifiait depuis son domicile, qu'un autre gardait dans un tiroir une liasse de cartes de visite reçues lors de salons, et qu'un autre conservait une clé USB reprise d'un ancien collègue parti à la retraite. Aucun de ces éléments n'apparaissait dans les réponses à l'enquête. Quelle est la réaction la plus appropriée de Mme B ?

1. Ne pas compter précisément les cartes de visite et clés USB, en faible quantité, et les enregistrer regroupées en une seule ligne « divers »
2. Faire également figurer au registre les informations découvertes lors de la vérification sur le terrain, et revoir la méthode de recensement afin de ne plus s'appuyer sur les seules déclarations volontaires
3. Considérer le recensement comme achevé dès lors qu'une nouvelle règle interdisant l'usage de services de stockage cloud gratuits a été instaurée
4. Ne faire figurer au registre que les actifs mentionnés dans l'enquête, et traiter le reste comme des biens personnels gérés par chacun

Mme B, du service commercial de l'entreprise A, a établi le registre des actifs informationnels du service et doit vérifier s'il existe des actifs insuffisamment gérés. Sa hiérarchie lui a indiqué : « Nous n'avons pas le temps de tout vérifier d'un coup, occupez-vous d'abord des points les plus risqués. » Le registre indique, pour chaque actif, le support, le lieu de conservation, la quantité et la possibilité de sortie. Mme B pense que l'état de la gestion peut se lire directement dans le contenu des rubriques, et compare les différentes lignes. Un extrait du registre est présenté ci-dessous. Pour quel actif la vérification sur le terrain doit-elle être la plus prioritaire ?

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. N°1 (liste des coordonnées clients)
2. N°3 (notes de négociation)
3. N°4 (copies de factures)
4. N°2 (originaux de contrats)

M. C, chef d'équipe du service commercial de l'entreprise A, quittera l'entreprise à la fin du mois prochain. Il conserve l'historique des négociations de 20 clients dont il a la charge dans un dossier local de son ordinateur portable prêté par l'entreprise et dans sa boîte de réception professionnelle, et n'en a placé qu'une partie dans le dossier partagé du service. Il conserve également, dans le tiroir de son bureau, une clé USB contenant des plans confiés par un client. Sa hiérarchie a demandé à Mme B, en tant que responsable de la sécurité de l'information : « Merci de finaliser la transmission avant son départ. » Mme B doit organiser la procédure. Que doit-elle faire en premier lieu ?

1. Réinitialiser en bloc l'ordinateur portable de M. C le jour de son départ, et jeter la clé USB qui lui avait été prêtée sans en vérifier le contenu
2. Recenser les informations que M. C détient dans le cadre de son travail, en dresser une liste, et vérifier avec le responsable de gestion lesquelles doivent être transmises en tant qu'actifs informationnels
3. Faire consulter par la hiérarchie l'intégralité de la boîte de réception professionnelle de M. C et transférer, un par un, les courriels jugés nécessaires vers le dossier partagé du service
4. Suspendre immédiatement tous les comptes internes attribués à M. C, de sorte qu'il ne puisse plus du tout utiliser les systèmes de l'entreprise jusqu'à son départ

Dans un souci d'efficacité, un collaborateur du service commercial de l'entreprise A avait souscrit à titre personnel un service d'enquête en ligne dans sa formule gratuite. Ce service permettait de collecter le nom, la société et l'adresse électronique des visiteurs de salons professionnels, données utilisées ultérieurement pour l'activité commerciale. Aucune demande n'avait été adressée au service informatique, et seuls quelques chargés de compte connaissaient l'existence de ce service au sein même du service commercial. Lorsque Mme B a découvert ce service au cours de son recensement des actifs informationnels, environ 600 fiches avaient déjà été collectées. L'interface d'administration du service était accessible via les comptes personnels de deux collaborateurs. Quelle est la réaction la plus appropriée de Mme B ?

1. Ne pas inscrire ce service au registre puisque la formule gratuite n'entraîne aucun coût, et laisser son utilisation se poursuivre telle quelle
2. Inscrire les noms des deux titulaires de compte dans la colonne du responsable de gestion et confier l'ensemble de la gestion future à ces deux seules personnes
3. Supprimer immédiatement toutes les données personnelles collectées et résilier le service, sans effectuer ni signalement interne ni inscription au registre
4. Consigner au registre les informations collectées et les conditions d'utilisation, engager la procédure interne de demande d'autorisation, et vérifier les mesures de sécurité mises en œuvre par le prestataire

Dans l'entreprise A, tous les services doivent, à compter de cette année, constituer un registre des actifs informationnels, et le service général a organisé une réunion d'information à ce sujet. Après cette réunion, plusieurs collaborateurs ont demandé à Mme B, du service commercial, « jusqu'où faut-il aller pour faire figurer un élément au registre des actifs informationnels ? ». Le service commercial dispose d'une base de données clients, de contrats papier, d'ordinateurs portables et de smartphones prêtés, d'un logiciel de création de devis et d'un service cloud externe d'aide à la vente. S'y ajoute le savoir-faire de négociation des remises, connu uniquement des employés expérimentés. Un collaborateur affirme : « Les équipements figurant déjà au registre du matériel de l'entreprise générale ne devraient pas être des actifs informationnels », tandis qu'un autre déclare : « Les données sur le cloud appartiennent au prestataire. » Quelle est l'explication la plus appropriée concernant le périmètre des actifs informationnels ?

1. Seuls les éléments dont on peut estimer la valeur monétaire constituent des actifs informationnels ; les savoir-faire des personnes, dont la valeur ne peut être estimée, sont exclus du périmètre
2. Les données électroniques, les documents papier, les équipements, les logiciels, les services externes et les connaissances détenues par les personnes sont tous traités comme des actifs informationnels dès lors qu'ils ont une valeur pour l'activité
3. Seuls les éléments possédés par l'entreprise et conservés en interne constituent des actifs informationnels ; les informations stockées sur des services cloud externes et les connaissances détenues par les personnes n'en font pas partie
4. Seules les données électroniques constituent des actifs informationnels ; les documents papier, les équipements et les services externes n'en font pas partie

Dans l'entreprise A, la règle de détermination du niveau d'importance des actifs informationnels est unifiée à l'échelle de l'entreprise. La confidentialité, l'intégrité et la disponibilité sont chacune évaluées sur trois niveaux : élevé (3), moyen (2) et faible (1). Le niveau d'importance de l'actif correspond ensuite à la plus élevée de ces trois valeurs. Mme B, du service commercial, a évalué les principaux actifs du service selon cette règle et obtenu les résultats suivants. Elle souhaite extraire les actifs dont le niveau d'importance est « élevé » afin d'étudier les mesures prioritaires. Selon cette règle, quelle combinaison d'actifs présente un niveau d'importance « élevé » ?

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. N°2 et N°3
2. N°3 et N°4
3. N°1 et N°2
4. N°1 et N°3

Mme B, du service commercial de l'entreprise A, souhaite expliquer aux collaborateurs la logique d'évaluation en prenant pour exemple un tableau de prix indiquant le taux de remise accordé à chaque client. Si ce tableau parvenait à un concurrent, l'entreprise se retrouverait désavantagée dans les négociations tarifaires. Si les chiffres étaient modifiés par erreur, un devis à un montant erroné serait présenté au client, ce qui obligerait ensuite à l'annuler. En revanche, si une panne système en empêchait la consultation pendant une demi-journée environ, une copie papier imprimée le mois précédent permettrait d'y suppléer et l'activité pourrait se poursuivre. Quelle est l'évaluation la plus appropriée de ce tableau de prix ?

1. Confidentialité élevée · Intégrité faible · Disponibilité élevée
2. Confidentialité faible · Intégrité faible · Disponibilité faible
3. Confidentialité faible · Intégrité élevée · Disponibilité élevée
4. Confidentialité élevée · Intégrité élevée · Disponibilité faible

Dans le service commercial de l'entreprise A, l'évaluation des actifs informationnels a été laissée au jugement de chaque collaborateur, ce qui a conduit à classer presque tous les actifs en « confidentialité élevée ». Selon les règles internes de traitement, un actif de confidentialité élevée doit être conservé dans une armoire verrouillée, faire l'objet d'une autorisation hiérarchique pour toute sortie, et être chiffré avec conservation d'un relevé de remise en cas de partage externe. Il en est résulté que même la sortie d'une brochure de salon ou d'un catalogue de produits déjà publié nécessitait une autorisation. Le nombre d'autorisations est passé d'une dizaine à près de deux cents par mois. Peu à peu, la hiérarchie s'est mise à approuver par tampon sans vérifier le contenu, et l'on a découvert que même la sortie, pourtant réellement sensible, de listes de clients passait sans contrôle réel. Quelle est la réponse la plus appropriée de Mme B ?

1. Supprimer purement et simplement l'autorisation hiérarchique lors des sorties, quel que soit le niveau d'importance, afin de réduire la charge liée aux autorisations
2. Abaisser uniformément à « moyen » l'évaluation de tous les actifs détenus par le service commercial et simplifier fortement les règles de traitement, y compris pour les actifs de confidentialité élevée
3. Présenter des critères d'évaluation fondés sur l'ampleur réelle des conséquences, refaire l'évaluation, et abaisser en conséquence le niveau d'évaluation des actifs à faible impact, tels que les informations publiques
4. Laisser inchangées les valeurs d'évaluation des actifs, mais transférer intégralement le rôle d'autorisation des sorties de la hiérarchie vers le collaborateur qui effectue lui-même la sortie

Dans l'entreprise A, des règles de traitement sont définies selon le niveau d'importance des actifs informationnels. Mme B, du service commercial, a reçu du directeur commercial la demande de fournir à une agence externe la liste des coordonnées clients, classée en niveau d'importance « élevé », dans le cadre d'une campagne conjointe avec un partenaire commercial. Un contrat de sous-traitance a été conclu avec cette agence, mais Mme B n'a pas vérifié s'il comportait une clause de confidentialité. Le directeur commercial lui a indiqué : « La campagne débute bientôt, merci de faire vite. » Un extrait des règles de traitement est présenté ci-dessous. Que doit faire Mme B en premier lieu ?

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. Faire passer le niveau d'importance de la liste des coordonnées clients à « moyen » afin de pouvoir la fournir avec la seule autorisation hiérarchique
2. Limiter la fourniture à 100 fiches, ce qui ferait baisser le niveau d'importance, créer un extrait à cet effet, et le fournir sans obtenir d'autorisation
3. Vérifier si le contrat conclu avec l'agence comporte une clause de confidentialité, et engager la procédure d'autorisation par le responsable du service
4. Envoyer le fichier au responsable de l'agence sous forme d'archive compressée protégée par mot de passe, en communiquant ce dernier par un autre moyen

Dans le service commercial de l'entreprise A, le fichier des rapports de visite quotidiens était classé en niveau d'importance « faible » au motif qu'il s'agissait « d'un document partagé en interne », et placé dans un dossier partagé modifiable par tous les collaborateurs du service. Les rapports mentionnent parfois le nom et la fonction des interlocuteurs visités, le contenu des entretiens, ainsi que les conditions commerciales convenues avec d'autres entreprises. Un jour, un intérimaire a commis une erreur de manipulation en copiant le dossier des rapports vers le dossier partagé de l'ensemble de l'entreprise, rendant ces rapports consultables par tous les employés des autres services pendant deux semaines. À la suite de cet incident, Mme B doit revoir l'évaluation. Quelle est l'approche la plus appropriée pour cette révision ?

1. Réévaluer selon les conséquences qu'aurait une fuite du contenu des rapports, et appliquer une règle de traitement relevant le niveau d'évaluation de confidentialité lorsqu'ils contiennent des informations à fort impact telles que des conditions commerciales
2. Exclure les rapports de visite du champ de l'évaluation puisqu'ils sont mis à jour quotidiennement et que leur contenu change constamment
3. Considérer que la cause de l'incident réside dans l'erreur de manipulation de l'intérimaire, laisser inchangée l'évaluation des rapports, et supprimer le compte de l'intérimaire concerné pour prévenir toute récidive
4. Se contenter de revoir les droits d'accès au dossier partagé de l'ensemble de l'entreprise afin que les employés des autres services ne puissent plus voir les rapports, et laisser inchangée l'évaluation de confidentialité des rapports

Dans l'entreprise A, le critère d'évaluation de la confidentialité est défini ainsi : « une information dont la fuite risquerait d'entraîner une obligation légale de signalement ou une action en dommages-intérêts est classée élevée » ; « une information déjà rendue publique est classée faible » ; « une information ne relevant d'aucun des deux cas est classée moyenne ». Au service commercial, l'évaluation a été répartie entre les collaborateurs, et Mme B en a compilé les résultats. Au cours de cette compilation, elle a le sentiment que l'application du critère a pu varier d'un collaborateur à l'autre, en particulier selon que l'information avait été collectée ou non lors d'un événement externe. Les résultats de l'évaluation du service commercial sont présentés ci-dessous. Laquelle de ces évaluations nécessite une révision au regard du critère défini ?

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. N°1 (liste des coordonnées clients du service commercial)
2. N°4 (catalogue de produits publié sur le site web)
3. N°3 (originaux de contrats)
4. N°2 (questionnaire des visiteurs de salon)

Dans l'entreprise A, chaque service évaluait ses actifs informationnels selon sa propre terminologie : le service commercial utilisait « important, ordinaire, mineur », le service de production « A, B, C », et le service comptable une échelle de « 1 à 5 ». Lors d'une tentative d'appréciation des risques transversale à l'ensemble de l'entreprise, il s'est avéré impossible de déterminer quels actifs traiter en priorité. Il est apparu, en outre, que la notion d'« important » recouvrait des raisonnements différents selon les services. Quelle est la proposition la plus appropriée de Mme B, qui assure le secrétariat du comité de sécurité de l'information ?

1. Définir de manière commune à l'entreprise les niveaux d'évaluation et le critère de classement dans chaque niveau (conséquences d'une fuite, d'une altération ou d'une interruption d'utilisation), et faire réévaluer chaque service selon ce critère commun
2. Confier l'évaluation à l'échelle de l'entreprise exclusivement au service informatique, sans faire participer les autres services
3. Aligner tous les libellés des autres services sur l'échelle à cinq niveaux du service comptable, la plus fine, tout en laissant, comme jusqu'à présent, à la discrétion de chaque service le critère de classement dans chaque niveau
4. Conserver les libellés d'évaluation propres à chaque service et sélectionner, dans chaque service, les trois éléments les mieux classés comme cibles de mesures à l'échelle de l'entreprise

Dans le service commercial de l'entreprise A, les données de commande sont saisies dans le système de gestion des ventes, sur la base duquel sont réalisées toutes les instructions d'expédition et toutes les factures. Si le système tombe en panne, les expéditions du jour deviennent impossibles ; une interruption d'une journée reporte au mois suivant environ 20 millions de yens de chiffre d'affaires et entraîne aussi des retards de livraison chez les clients. À l'inverse, le dossier partagé conservant l'historique des négociations passées ne cause pas de gêne notable dans le travail quotidien même s'il devient inaccessible pendant une semaine. Le nombre de fiches y est plus élevé que dans les données de commande. Mme B doit déterminer l'évaluation de disponibilité de ces deux actifs. Quelle est l'approche la plus appropriée ?

1. Considérer que la disponibilité relève du service informatique qui exploite le système, et que le service commercial, en tant qu'utilisateur, doit s'abstenir de participer à cette évaluation
2. Comme les deux relèvent d'informations utilisées quotidiennement en interne, fixer pour les deux la même valeur d'évaluation de disponibilité
3. Revoir l'évaluation pour que l'historique des négociations, dont le nombre de fiches est plus élevé, ait une disponibilité supérieure à celle des données de commande
4. Évaluer selon le degré d'interruption de l'activité en cas d'indisponibilité et la durée d'interruption tolérable, en classant les données de commande élevées et l'historique des négociations faible

Dans le service commercial de l'entreprise A, la liste des coordonnées clients est placée sur le serveur de fichiers interne, accessible à tous les collaborateurs du service. Le mois dernier, il est apparu que le compte d'un ancien collaborateur, parti à la retraite, n'avait pas été supprimé. Les collaborateurs consultent également ce même fichier depuis l'extérieur, via une connexion VPN sur leur ordinateur portable fourni par l'entreprise. Mme B commence l'appréciation des risques pour cet actif et doit d'abord procéder à l'identification des risques. Quel est le travail le plus approprié à réaliser dans le cadre de l'identification des risques ?

1. Recenser les événements susceptibles de se produire en combinant les menaces pesant sur la liste des coordonnées clients (accès non autorisé, malveillance interne, perte, etc.) et les vulnérabilités qui pourraient être exploitées (comptes inutiles laissés actifs, droits excessifs accordés, etc.)
2. Estimer, pour les risques recensés, le coût des mesures correspondantes, mettre en œuvre en priorité celles qui tiennent dans le budget, et consigner l'état de leur réalisation
3. Supprimer immédiatement les comptes des anciens collaborateurs encore présents dans la liste des coordonnées clients, restreindre en outre les droits d'accès de tous les collaborateurs au strict nécessaire pour leur activité, et considérer que l'ensemble du travail sur cet actif s'arrête là
4. Estimer respectivement, pour la liste des coordonnées clients, la probabilité d'occurrence et l'ampleur des conséquences, les multiplier pour calculer le niveau de risque, puis le comparer au critère d'acceptation

Dans l'entreprise A, la méthode de calcul du niveau de risque et le critère d'acceptation sont définis dans les règles internes. Le niveau de risque est obtenu par le produit de la « probabilité d'occurrence (élevée 3, moyenne 2, faible 1) » et des « conséquences (élevées 3, moyennes 2, faibles 1) ». Un produit égal ou supérieur à 6 est considéré comme un risque inacceptable, à traiter en priorité. Mme B, du service commercial, a analysé les risques du service selon cette méthode et obtenu les résultats suivants. Sa hiérarchie lui a indiqué : « Nous souhaitons d'abord concentrer les mesures sur un seul risque. » Selon ce critère, quel risque doit être traité en priorité ?

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. N°2 (consultation non autorisée par un compte d'ancien collaborateur)
2. N°3 (perte de contrats papier)
3. N°4 (envoi erroné d'une brochure de salon à un mauvais destinataire)
4. N°1 (fuite massive de la liste des coordonnées clients vers l'extérieur)

Dans le service commercial de l'entreprise A, une réunion a été organisée pour définir l'orientation du traitement des risques à la suite de l'appréciation des risques. Y ont assisté le directeur commercial, Mme B et un responsable du service informatique. À l'issue de la discussion, il a été décidé de traiter quatre risques selon des logiques différentes. Mme B doit rendre compte de ces décisions au comité de sécurité de l'information de l'ensemble de l'entreprise, et doit donc classer chaque traitement par type. Le contenu des décisions est présenté ci-dessous. En classant chaque traitement en évitement, réduction, transfert ou maintien (acceptation) du risque, quelle combinaison est correcte ?

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1 = évitement　2 = réduction　3 = transfert　4 = maintien
2. 1 = transfert　2 = réduction　3 = évitement　4 = maintien
3. 1 = réduction　2 = évitement　3 = maintien　4 = transfert
4. 1 = évitement　2 = transfert　3 = réduction　4 = maintien

Dans le service commercial de l'entreprise A, des mesures de réduction telles que la révision des droits d'accès ont été mises en œuvre pour le risque de fuite de la liste des coordonnées clients, mais le niveau de risque est resté légèrement au-dessus du critère d'acceptation. L'introduction d'un système dédié de gestion des sorties de documents est envisageable comme mesure supplémentaire, mais son coût s'élève à 8 000 000 yens par an. Or, le dommage attendu de ce risque est estimé à environ 1 000 000 yens par an. Mme B doit organiser le traitement du risque résiduel. Quelle est la réponse la plus appropriée ?

1. Le critère d'acceptation étant dépassé, mettre obligatoirement en œuvre une mesure supplémentaire, quel qu'en soit le coût
2. Modifier la méthode de calcul du niveau de risque et refaire l'évaluation de manière à rester dans le critère d'acceptation
3. Présenter le rapport coût-efficacité et le contenu du risque résiduel à la direction responsable, obtenir son approbation en tant que risque résiduel, et en conserver la trace
4. Le coût n'étant pas justifié, accepter le risque sur la seule décision de Mme B, responsable de la sécurité de l'information, sans conserver de trace particulière

Dans l'entreprise A, une appréciation des risques est réalisée chaque année en avril. Cette année, un nouveau service cloud d'aide à la vente a été introduit en juin et le stockage d'informations clients y a commencé. En septembre, une modification légale relative au traitement des informations personnelles est entrée en vigueur. En novembre, un incident d'infection par un logiciel malveillant est survenu dans un autre service, entraînant une alerte à l'échelle de l'entreprise. En janvier, le service commercial et le service de planification commerciale ont fusionné, modifiant le périmètre des responsables et des habilitations. Mme B pense que « la prochaine appréciation ayant lieu en avril, les résultats actuels peuvent rester en l'état jusque-là ». Quelle est la remarque la plus appropriée face à cette manière de voir ?

1. L'introduction d'un nouveau service, la modification légale, la survenue d'un incident et le changement d'organisation sont autant d'événements qui modifient les prémisses de l'appréciation et doivent être suivis d'une révision à chaque fois
2. La réponse à une modification légale relève du service juridique, ce qui ne constitue pas un motif de révision de l'appréciation des risques du service commercial
3. Un incident survenu dans un autre service n'a pas de lien avec le service concerné et ne constitue donc pas un motif de révision
4. Une fois l'appréciation des risques fixée à une fréquence annuelle, les changements survenus en cours d'année peuvent être répercutés globalement lors de la prochaine appréciation, sans nécessiter de révision au fil de l'eau

Mme B, du service commercial de l'entreprise A, doit réaliser pour la première fois une appréciation des risques au sein de son service. Elle dispose du registre des actifs informationnels achevé la semaine dernière, indiquant le nom de l'actif, le responsable de gestion, les valeurs d'évaluation de confidentialité, d'intégrité et de disponibilité, ainsi que le niveau d'importance. Sa hiérarchie lui a indiqué : « Le temps disponible étant limité, nous souhaitons traiter en priorité les éléments les plus importants. » L'entreprise dispose de règles internes définissant la méthode de calcul du niveau de risque et le critère d'acceptation. Que doit faire Mme B en priorité ?

1. En commençant par les actifs de niveau d'importance élevé, recenser les risques en combinant menaces et vulnérabilités, puis déterminer le niveau de risque à partir de la probabilité d'occurrence et des conséquences
2. Recueillir des cas d'incidents survenus dans d'autres entreprises et appliquer uniformément les mêmes mesures à tous les actifs
3. Mettre en œuvre, sans recourir au critère d'acceptation, les mesures venues à l'esprit, dans l'ordre où elles se présentent
4. Pour tous les actifs figurant au registre, demander des devis à plusieurs fournisseurs de produits de mesure et comparer coûts et efficacité

Dans le service commercial de l'entreprise A, un plan de traitement des risques a été établi sur la base des résultats de l'appréciation des risques. Le plan comporte un modèle indiquant le risque concerné, la mesure de traitement, le responsable, l'échéance et le traitement prévu du risque résiduel après mise en œuvre. Son élaboration a été répartie entre les responsables de chaque risque, et Mme B en a assuré la compilation. Lors de cette compilation, elle a remarqué que certaines lignes lui avaient été remises vides ou avec des formulations peu claires. Un extrait du plan établi est présenté ci-dessous. Laquelle de ces entrées nécessite le plus une révision ?

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. N°4 — Ni le responsable ni l'échéance ne sont fixés, et le traitement du risque résiduel n'est pas non plus déterminé
2. N°2 — Le responsable est le directeur du service, ce qui manque d'effectivité en raison d'un poste trop élevé
3. N°3 — Le responsable désigné n'est pas du service commercial mais du responsable d'un tout autre service
4. N°1 — La mesure de traitement repose non pas sur un moyen technique mais uniquement sur une procédure d'exploitation

Le service commercial de l'entreprise A étudie le traitement du risque de fuite d'informations dû à la perte d'un ordinateur portable contenant des informations clients. En cas de fuite, le dommage estimé est de 5 000 000 yens par incident, et l'expérience passée indique une perte tous les cinq ans environ, soit 0,2 incident par an. L'option A consiste à introduire un logiciel de chiffrement de disque, pour un coût de 300 000 yens par an, permettant d'éviter presque totalement la fuite même en cas de perte. L'option B consiste à remplacer intégralement les PC destinés aux sorties par des modèles dotés d'une fonction anti-perte, pour un coût de 4 000 000 yens par an. L'option C consiste à ne prendre aucune mesure et à verser une indemnité au client en cas de perte, pour une dépense annuelle attendue de 1 000 000 yens. Quel est le contenu le plus approprié que Mme B pourrait présenter en comité de direction ?

1. L'ampleur d'un risque ne pouvant de toute façon pas s'exprimer en montant, il convient d'omettre toute comparaison du rapport coût-efficacité entre les mesures
2. Le coût de chaque mesure dépassant le dommage annuel attendu, il ne faut mettre en œuvre aucune mesure et retenir directement l'option C
3. Le dommage annuel attendu étant de 1 000 000 yens, l'option A, qui permet d'éviter presque totalement la fuite pour 300 000 yens par an, est la plus intéressante en termes de rapport coût-efficacité
4. Il faut choisir l'option B, la plus robuste, et l'ampleur du coût de mesure de 4 000 000 yens par an ne mérite pas d'être prise en compte