Trois termes souvent confondus mais fondamentalement distincts : comprendre leur articulation est la clé pour saisir à quoi servent le CIS Controls et le NIST CSF.
Il s'agit d'une multiplication : si un seul facteur tombe à zéro, le risque s'annule. Ne pouvant supprimer les menaces extérieures ni toujours annuler l'impact sur un système vital, la sécurité opérationnelle agit prioritairement sur la vulnérabilité, raison d'être des contrôles CIS.
Un incident n'est jamais un événement isolé : c'est une chaîne d'événements. Casser un seul maillon suffit à stopper net l'attaque.
Un acteur ou un événement cherche à nuire.
Une faiblesse interne lui offre un chemin.
La faiblesse est utilisée avec succès.
L'actif est atteint : perte, arrêt, fuite.
Ce qui a de la valeur pour l'organisation.
Un actif est tout élément que l'organisation cherche à protéger : données, serveurs, applications, personnes, réputation, processus métier. C'est le point de départ de toute analyse : sans actif identifié, il n'y a pas de risque à évaluer.
Un événement ou un acteur capable de nuire à un actif.
La menace existe indépendamment de vous : elle vient de l'extérieur (cybercriminel, concurrent, État), de l'intérieur (employé négligent ou malveillant) ou de l'environnement (incendie, panne, catastrophe naturelle). On ne peut pas supprimer une menace, seulement réduire sa capacité à réussir.
Une faiblesse qui permet à la menace d'aboutir.
La vulnérabilité est interne : une faille logicielle non corrigée, un mot de passe faible, une absence de sauvegarde, un collaborateur non formé, un processus mal défini. C'est le seul élément sur lequel l'organisation a un contrôle direct, et c'est précisément là qu'agissent les contrôles CIS.
La conséquence si la menace exploite la vulnérabilité.
L'impact se mesure sur plusieurs axes : financier, opérationnel, juridique, réputationnel. Il s'exprime souvent en fonction des trois critères de sécurité (confidentialité, intégrité, disponibilité / triptyque CIA).
La vraisemblance que le scénario se réalise.
Elle combine la motivation et la capacité de l'attaquant avec la facilité d'exploitation de la vulnérabilité. Une faille critique exposée sur Internet a une probabilité d'exploitation très élevée ; la même faille sur un réseau isolé, bien moindre.
La combinaison de tous les éléments précédents.
Le risque n'est pas un événement mais une estimation : la rencontre d'une menace et d'une vulnérabilité sur un actif de valeur, pondérée par l'impact. C'est l'unité de langage entre la technique et la direction.
Les menaces proviennent de l'extérieur ; les vulnérabilités résident au sein de vos systèmes et pratiques.
Les 18 contrôles ferment méthodiquement les brèches exploitables : patch management, durcissement des configurations, contrôle des accès et sauvegardes isolées.
Le NIST CSF organise l'ensemble du cycle de gestion du risque (Govern, Identify, Protect, Detect, Respond, Recover) et fournit la boussole pour mesurer la maturité et combler les écarts organisationnels.