Derrière les données : Méthodologie de recherche

Le cyberrisque est le risque de pertes financières, d’interruption des activités ou de dommages causés à une organisation par une défaillance de ses systèmes d’information ou de ses technologies opérationnelles. Mais le cyberrisque va bien au-delà de la technologie. Il s’agit, entre autres, d’un risque global et d’entreprise qui représente une menace financière, opérationnelle, humaine, réglementaire et même catastrophique pour toutes les organisations, peu importe leur taille ou leur secteur d’activité. Ainsi, la compréhension des facteurs opérationnels d’une organisation et des décisions quotidiennes connexes s’avère souvent être le lien essentiel pour gérer le parcours vers l’atteinte d’une cyberrésilience globale et durable.

L’évaluation du cyberquotient (CyQu) d’Aon donne un aperçu de la cybermaturité d’une organisation en fonction de 35 contrôles essentiels dans neuf domaines de sécurité.

L’évaluation complémentaire liée aux rançongiciels d’Aon offre une visibilité sur les contrôles liés aux technologies de l’information (TI) d’une organisation afin d’évaluer sa vulnérabilité face à une attaque par rançongiciel.

Les « signaux d’alarme » associés aux rançongiciels se concentrent sur les lacunes en matière de contrôle basées sur les principales préoccupations techniques des souscripteurs.

Les principaux contrôles de souscription et les pondérations de risque d’Aon évoluent au même rythme que les risques. La liste ci-dessous présente une comparaison des contrôles d’une année à l’autre, mais n’est qu’un sous-ensemble des principales catégories de souscription et des signaux d’alarme qu’Aon aide les clients à prioriser aujourd’hui.

Cette définition est tirée de la publication de Gartner intitulée Market Guide for Insider Risk Management Solutions

Le risque interne englobe les menaces malveillantes ou involontaires qui pèsent sur les comptes de confiance au sein de l’organisation. Ce risque est également accentué par les attaques menées par les États-nations et l’espionnage d’entreprise. La gestion des risques internes est axée sur les contrôles liés à la détection et à la réponse des points terminaux, à la surveillance des centres des opérations de sécurité, à la sécurité des données et à la formation de sensibilisation des utilisateurs.

Le risque lié à la chaîne d’approvisionnement comprend le risque continu et la vulnérabilité des organisations en ce qui a trait aux écosystèmes physiques et numériques des partenaires et à la chaîne d’approvisionnement. Les organisations évaluent les contrôles de la diligence à l’égard des tiers, l’harmonisation et l’examen des contrats conclus avec des tiers (ENS) ainsi que la gestion des stocks de systèmes d’application de tiers.

Le risque d’atteinte à la réputation s’entend du risque de tout événement susceptible de nuire à la réputation d’une entreprise et d’entraîner une perte importante de la valeur actionnariale, ce qui peut entraîner des risques réglementaires et de responsabilité personnelle pour les administrateurs et les dirigeants.

Le risque systémique englobe des événements de regroupement et d’accumulation qui peuvent avoir une incidence généralisée et entraîner une volatilité importante sur des secteurs d’activité, des chaînes d’approvisionnement et des économies d’importance stratégique.