{"id":19573,"date":"2026-09-29T15:48:55","date_gmt":"2026-09-29T13:48:55","guid":{"rendered":"https:\/\/citalid.com\/?p=19573"},"modified":"2026-09-30T12:03:11","modified_gmt":"2026-09-30T10:03:11","slug":"quantification-du-risque-cyber-lapproche-est-validee-place-a-lintegration","status":"publish","type":"post","link":"https:\/\/citalid.com\/fr\/resources\/quantification-du-risque-cyber-lapproche-est-validee-place-a-lintegration\/","title":{"rendered":"Quantification du risque cyber : l’approche est valid\u00e9e, place \u00e0 l’int\u00e9gration"},"content":{"rendered":"

Le vrai chantier commence maintenant.<\/em><\/p>\r\n\r\n

Pendant des ann\u00e9es, la quantification du risque cyber<\/a> a surtout d\u00fb convaincre. Chaque pr\u00e9sentation commen\u00e7ait par les m\u00eames explications : ce qu’est la CRQ, \u00e0 quoi elle sert, pourquoi l’organisation aurait int\u00e9r\u00eat \u00e0 s’y int\u00e9resser. Les praticiens consacraient autant d’\u00e9nergie \u00e0 d\u00e9fendre la m\u00e9thode qu’\u00e0 l’appliquer. Cette p\u00e9riode n’est pas tout \u00e0 fait termin\u00e9e, mais une nouvelle \u00e9tape s’ouvre d\u00e9j\u00e0.<\/p>\r\n\r\n

\r\n

Aujourd’hui, la CRQ est entr\u00e9e dans les usages. Les conseils d’administration veulent conna\u00eetre leur exposition financi\u00e8re au risque cyber, les directions financi\u00e8res attendent qu’on leur parle dans leur langage, et les RSSI qui ont b\u00e2ti leur premier mod\u00e8le il y a trois ou quatre ans disposent d’un atout rare dans ce domaine : assez de recul pour mesurer ce qui a fonctionn\u00e9, et une vision plus claire de la suite.<\/em><\/p>\r\n<\/blockquote>\r\n\r\n

Il y a quelques ann\u00e9es, les questions \u00e9taient simples. La CRQ est-elle s\u00e9rieuse ? M\u00e9rite-t-elle qu’on y consacre du temps ? D’autres organisations l’utilisent-elles ? Pour les \u00e9quipes qui ont lanc\u00e9 un programme, ces questions ne se posent plus. Ce qu’elles cherchent d\u00e9sormais, c’est \u00e0 aller plus vite et \u00e0 inscrire la quantification au c\u0153ur des processus o\u00f9 se prennent les d\u00e9cisions. Quand une organisation d\u00e9j\u00e0 \u00e9quip\u00e9e d’un outil de notation cyber vient nous voir, ce n’est g\u00e9n\u00e9ralement pas parce qu’elle doute de l’int\u00e9r\u00eat de la quantification, mais parce que son score n’a jamais r\u00e9ussi \u00e0 s’imposer dans les achats, la souscription ou les arbitrages budg\u00e9taires.<\/p>\r\n\r\n

\r\n

\u00ab Pendant longtemps, le risque cyber \u00e9tait per\u00e7u comme un sujet n’int\u00e9ressant que la Direction des Syst\u00e8mes d’Information et la Cybers\u00e9curit\u00e9. Pourtant il est transverse \u00e0 toutes les activit\u00e9s de l’entreprise. Gr\u00e2ce \u00e0 Citalid, nous avons pu sensibiliser les m\u00e9tiers et aligner le risque cyber avec les autres enjeux strat\u00e9giques de l’entreprise. \u00bb<\/em><\/p>\r\nJean-Paul Joanany<\/strong>, DSSI & Responsable Continuit\u00e9 d’Activit\u00e9, Action Logement Services<\/cite>\r\n<\/blockquote>\r\n\r\n

Ces nouvelles questions changent profond\u00e9ment ce qu’on attend d’un programme CRQ. Les pionniers, qui ont pass\u00e9 des ann\u00e9es \u00e0 justifier l’approche, font maintenant face \u00e0 d’autres d\u00e9fis : l’int\u00e9grer aux outils existants, l’industrialiser et l’\u00e9tendre \u00e0 toute l’organisation. La CRQ a rapidement fait parler d’elle parce qu’elle rompait avec les m\u00e9thodes classiques d’\u00e9valuation du risque, et cet effet de nouveaut\u00e9 a port\u00e9 ses premi\u00e8res ann\u00e9es. Il ne suffit plus. Tout n’est pas gagn\u00e9 pour autant, puisqu’une partie du march\u00e9 reste \u00e0 convaincre. Mais pour ceux qui la pratiquent d\u00e9j\u00e0, l’enjeu a chang\u00e9 : il ne s’agit plus de d\u00e9montrer que la m\u00e9thode est pertinente, mais de la faire fonctionner dans la dur\u00e9e, au service de d\u00e9cisions concr\u00e8tes. C’est plus exigeant, et beaucoup plus int\u00e9ressant.<\/p>\r\n\r\n

Du chiffre au syst\u00e8me<\/h2>\r\n\r\n

La premi\u00e8re g\u00e9n\u00e9ration de programmes CRQ s’est construite autour d’un livrable unique : le chiffre. Combien co\u00fbterait une attaque par ran\u00e7ongiciel ? Quelle est notre perte annuelle attendue ? Face \u00e0 des instances habitu\u00e9es aux cartographies de risques en rouge, orange et vert, ces montants ont r\u00e9ellement chang\u00e9 la donne.<\/p>\r\n\r\n

Mais un chiffre, aussi juste soit-il, ne fait pas un syst\u00e8me. Les organisations qui pratiquent la CRQ depuis plusieurs ann\u00e9es en per\u00e7oivent aujourd’hui les limites lorsqu’elle reste un exercice ponctuel. Leur parcours se ressemble souvent. Elles commencent par d\u00e9montrer que la quantification financi\u00e8re est possible et cr\u00e9dible. Elles la raccrochent ensuite \u00e0 de vraies d\u00e9cisions, comme le budget, le renouvellement de l’assurance ou le reporting au conseil. Puis elles constatent qu’une analyse mise \u00e0 jour \u00e0 la main une ou deux fois par an ne peut pas suivre une menace qui \u00e9volue chaque semaine. \u00c0 ce moment-l\u00e0, leur priorit\u00e9 n’est plus de gagner en pr\u00e9cision. Elles ont besoin d’un dispositif solide : des r\u00e9sultats qui arrivent directement dans les processus concern\u00e9s, et des mod\u00e8les assez stables pour que chaque mise \u00e0 jour reste cr\u00e9dible.<\/p>\r\n\r\n

\r\n

Le test de maturit\u00e9 : vos r\u00e9sultats CRQ se mettent-ils \u00e0 jour automatiquement quand la menace \u00e9volue ? Alimentent-ils votre outil de GRC ? Un acheteur peut-il conna\u00eetre le niveau de risque cyber d’un nouveau fournisseur sans mobiliser l’\u00e9quipe s\u00e9curit\u00e9 \u00e0 chaque fois ? Si la r\u00e9ponse est non, vous disposez d’un \u00e9clairage ponctuel, pas encore d’un syst\u00e8me.<\/em><\/p>\r\n<\/blockquote>\r\n\r\n

Cinq \u00e9volutions structurelles<\/h2>\r\n\r\n

Des mod\u00e8les plus performants et des donn\u00e9es plus riches restent n\u00e9cessaires, mais ce n’est pas l\u00e0 que se jouera la prochaine \u00e9tape. Elle se jouera sur la capacit\u00e9 de la quantification \u00e0 s’int\u00e9grer au fonctionnement quotidien de l’organisation. Cinq \u00e9volutions sont d\u00e9j\u00e0 en cours.<\/p>\r\n\r\n

1. Le risque accessible par API<\/h3>\r\n\r\n

Longtemps, la quantification du risque est rest\u00e9e enferm\u00e9e dans des tableurs, des rapports et des pr\u00e9sentations. Elle se connecte d\u00e9sormais, par API, aux outils que les organisations utilisent d\u00e9j\u00e0 : plateformes de GRC, outils achats, ERP, SIEM. Ce n’est pas un simple confort technique, puisque cela change qui a acc\u00e8s \u00e0 l’information sur le risque, et \u00e0 quel moment. Un niveau de risque cyber disponible par API peut s’afficher au moment de r\u00e9f\u00e9rencer un fournisseur, d’instruire un dossier de cr\u00e9dit ou de mener une due diligence d’acquisition, sans qu’un analyste ait \u00e0 produire et exporter un rapport.<\/p>\r\n\r\n

Le mouvement joue aussi dans l’autre sens. Hier, faire de la CRQ supposait de collecter les donn\u00e9es \u00e0 la main puis de les int\u00e9grer dans un mod\u00e8le. Aujourd’hui, les outils connect\u00e9s r\u00e9cup\u00e8rent automatiquement une bonne partie de ces informations, et les \u00e9quipes peuvent se concentrer sur l’exploitation des r\u00e9sultats plut\u00f4t que sur la collecte. La CRQ n’est alors plus seulement l’outil de l’\u00e9quipe risques : elle devient une capacit\u00e9 int\u00e9gr\u00e9e aux processus de l’entreprise.<\/p>\r\n\r\n

Le chiffre voyage plus loin, et c’est justement l\u00e0 qu’il faut rester vigilant. Une donn\u00e9e erron\u00e9e qui se propage rapidement dans plusieurs syst\u00e8mes fait bien plus de d\u00e9g\u00e2ts qu’une donn\u00e9e erron\u00e9e rest\u00e9e dans un rapport. Une strat\u00e9gie d’API ne vaut donc que par la qualit\u00e9 du mod\u00e8le qui la nourrit.<\/p>\r\n\r\n

2. L’IA pour all\u00e9ger le travail<\/h3>\r\n\r\n

L’IA appliqu\u00e9e \u00e0 la quantification du risque suscite beaucoup de discours. Son apport r\u00e9el est plus pr\u00e9cis : elle all\u00e8ge ce qui a toujours rendu la CRQ fastidieuse. Pr\u00e9parer un sc\u00e9nario demandait du temps, entre la collecte des \u00e9l\u00e9ments et le calibrage des hypoth\u00e8ses dans des tableurs. Les plateformes qui ont int\u00e9gr\u00e9 l’IA prennent d\u00e9sormais en charge une grande partie de ce travail pr\u00e9paratoire. C’est le cas de l’AI for Defense Profile de Citalid, qui analyse les documents de s\u00e9curit\u00e9 existants pour produire une \u00e9valuation selon le r\u00e9f\u00e9rentiel retenu par l’organisation.<\/p>\r\n\r\n

La mod\u00e9lisation elle-m\u00eame a longtemps \u00e9t\u00e9 l’\u00e9tape la plus laborieuse. Traduire un sc\u00e9nario de menace en hypoth\u00e8ses chiffr\u00e9es de fr\u00e9quence et d’impact, c’est l\u00e0 que les praticiens perdent le plus de temps, et l\u00e0 que les moins exp\u00e9riment\u00e9s abandonnent. Lorsque l’IA est int\u00e9gr\u00e9e directement \u00e0 cette \u00e9tape, plut\u00f4t qu’ajout\u00e9e sous la forme d’un outil suppl\u00e9mentaire, la mod\u00e9lisation n’est plus r\u00e9serv\u00e9e \u00e0 quelques experts : un plus grand nombre d’utilisateurs peuvent la conduire et s’y fier.<\/p>\r\n\r\n

L’enjeu est important, car le principal frein \u00e0 l’adoption de la CRQ n’a jamais vraiment \u00e9t\u00e9 le doute sur la m\u00e9thode. C’\u00e9tait l’effort n\u00e9cessaire pour obtenir un r\u00e9sultat, et le manque de visibilit\u00e9 sur la fa\u00e7on dont ce r\u00e9sultat \u00e9tait construit. Tant qu’une analyse prend une semaine, la CRQ reste un exercice annuel. Quand elle prend une journ\u00e9e, elle peut accompagner les d\u00e9cisions au moment o\u00f9 elles se prennent.<\/p>\r\n\r\n

Ce qui ne se d\u00e9l\u00e8gue pas, c’est le jugement : choisir les bons sc\u00e9narios, valider les hypoth\u00e8ses, et savoir d\u00e9fendre un chiffre devant un COMEX qui le remettra en question.<\/p>\r\n\r\n

3. L’ergonomie, un enjeu de gouvernance<\/h3>\r\n\r\n

On le lit rarement dans la litt\u00e9rature sur la CRQ, et c’est pourtant essentiel : la facilit\u00e9 d’usage d’une plateforme de risque est une question de gouvernance \u00e0 part enti\u00e8re. Quand les r\u00e9sultats sont difficiles \u00e0 trouver, \u00e0 comprendre ou \u00e0 mettre \u00e0 jour, on s’en sert moins, et les d\u00e9cisions se prennent sans eux. L’analyse existe quelque part dans une base de donn\u00e9es, mais l’arbitrage se fait au jug\u00e9, parce que personne n’a eu le temps d’aller chercher le rapport avant la r\u00e9union.<\/p>\r\n\r\n

Les organisations qui d\u00e9ploient la CRQ \u00e0 grande \u00e9chelle l’ont compris : la fa\u00e7on dont les r\u00e9sultats sont restitu\u00e9s fait partie de la m\u00e9thode. Par ergonomie, il faut entendre ici le langage et le format dans lesquels chacun re\u00e7oit l’information. Un administrateur qui lit une synth\u00e8se d’une page, un DAF qui reprend un montant dans ses arbitrages d’allocation de capital et un RSSI qui teste les hypoth\u00e8ses d’un sc\u00e9nario utilisent le m\u00eame mod\u00e8le, mais pas de la m\u00eame fa\u00e7on. Un \u00e9cran unique, pens\u00e9 pour les trois \u00e0 la fois, ne r\u00e9pond vraiment aux besoins d’aucun. L’enjeu est de faire ressortir le bon r\u00e9sultat, au bon moment, sous une forme directement exploitable par chacun.<\/p>\r\n\r\n

\r\n

Un mod\u00e8le CRQ que personne ne consulte ne vaut pas mieux que pas de mod\u00e8le du tout.<\/em><\/strong><\/p>\r\n

\u00ab Avant Citalid, nous ne savions pas r\u00e9pondre \u00e0 la direction : combien co\u00fbterait une attaque par ran\u00e7ongiciel visant notre groupe ? Aujourd’hui, nous disposons d’une estimation structur\u00e9e par sc\u00e9nario de risque, mise \u00e0 jour r\u00e9guli\u00e8rement et pr\u00e9sent\u00e9e directement aux instances de gouvernance. \u00bb<\/em><\/p>\r\nMehdi Ben Thabet<\/strong>, Project Manager Cybersecurity, BPCE<\/cite>\r\n<\/blockquote>\r\n\r\n

Cette logique est en train d’\u00e9voluer. Une interface fixe, m\u00eame bien con\u00e7ue, reste un format unique pens\u00e9 pour un utilisateur type. L’IA permet d\u00e9sormais de produire \u00e0 la demande le support adapt\u00e9 \u00e0 chaque d\u00e9cision : un export structur\u00e9 pour l’un, une note r\u00e9dig\u00e9e pour l’autre, un tableau de bord actualis\u00e9 pour le troisi\u00e8me. Cette souplesse a une contrepartie. Si un m\u00eame chiffre peut \u00eatre pr\u00e9sent\u00e9 au conseil sous forme de slide, transmis \u00e0 un syst\u00e8me partenaire par API et remis aux achats sous forme de fiche fournisseur, la gouvernance doit s’assurer que ces trois versions disent bien la m\u00eame chose. L’ergonomie reste une question de gouvernance, et devient aussi une question d’auditabilit\u00e9.<\/p>\r\n\r\n

4. De l’entreprise \u00e0 son \u00e9cosyst\u00e8me<\/h3>\r\n\r\n

L’une des \u00e9volutions les plus structurantes de la CRQ est l’\u00e9largissement de son p\u00e9rim\u00e8tre au-del\u00e0 de l’organisation elle-m\u00eame. Les attaques par la cha\u00eene d’approvisionnement ne laissent plus le choix : l’exposition cyber d’une entreprise est indissociable de celle de ses fournisseurs, de ses filiales, de ses partenaires et de ses prestataires critiques. C’est ce que recouvre la notion d’entreprise \u00e9tendue.<\/p>\r\n\r\n

Les programmes les plus avanc\u00e9s commencent \u00e0 quantifier le risque cyber li\u00e9 aux tiers<\/a> comme une composante \u00e0 part enti\u00e8re du risque de l’organisation, et non comme un sujet trait\u00e9 \u00e0 part. Un sc\u00e9nario de ran\u00e7ongiciel qui ne tient pas compte de la d\u00e9pendance \u00e0 quelques fournisseurs SaaS critiques reste incomplet. Une analyse de cr\u00e9dit qui ignore la concentration des fournisseurs de l’emprunteur passe \u00e0 c\u00f4t\u00e9 d’un facteur d\u00e9terminant.<\/p>\r\n\r\n

Les cons\u00e9quences sont directes pour le TPRM, les due diligences d’acquisition<\/a>, la gestion des portefeuilles d’assurance cyber<\/a> et la conformit\u00e9 \u00e0 DORA, \u00e0 NIS2 et, pour les op\u00e9rateurs d’importance vitale, \u00e0 la LPM. La quantification du risque d’\u00e9cosyst\u00e8me n’est pas un sujet pour plus tard : c’est un manque r\u00e9el, que les organisations les plus avanc\u00e9es s’emploient d\u00e9j\u00e0 \u00e0 combler.<\/p>\r\n\r\n

5. Conformit\u00e9 et CRQ : sortir du pi\u00e8ge<\/h3>\r\n\r\n

Presque toutes les grandes r\u00e9glementations cyber comportent un pi\u00e8ge, dans lequel beaucoup d’organisations tombent. DORA<\/a>, NIS2 ou la LPM ont un vrai m\u00e9rite : elles fixent un socle d’hygi\u00e8ne cyber que l’on peut auditer, contr\u00f4ler et comparer d’une organisation \u00e0 l’autre. La difficult\u00e9 appara\u00eet quand la conformit\u00e9 devient une fin en soi, car le minimum requis devient alors le maximum vis\u00e9. On travaille pour r\u00e9ussir l’audit plut\u00f4t que pour r\u00e9duire le risque, et la documentation finit par remplacer le jugement. Or, le jour de l’attaque, personne ne peut s’abriter derri\u00e8re un document ou une proc\u00e9dure.<\/p>\r\n\r\n

Les organisations qui utilisent le mieux la CRQ ont d\u00e9plac\u00e9 cette fronti\u00e8re. Pour elles, la r\u00e9glementation est un plancher, c’est-\u00e0-dire le niveau minimal acceptable, et la quantification est l’outil qui leur indique jusqu’o\u00f9 aller au-del\u00e0, en fonction de leur menace, de leur secteur, de leurs d\u00e9pendances et de leur app\u00e9tence au risque. Il ne s’agit pas de rejeter la r\u00e9glementation, mais d’en faire une lecture plus rigoureuse, dans laquelle la CRQ ne concurrence pas la conformit\u00e9 : elle la renforce.<\/p>\r\n\r\n

Ces organisations ont construit un circuit unique, o\u00f9 les r\u00e9sultats de la quantification alimentent le reporting r\u00e9glementaire comme une cons\u00e9quence naturelle de la gestion des risques, et non comme un exercice suppl\u00e9mentaire. Elles y gagnent moins de travail en double, une documentation de meilleure qualit\u00e9, et une posture de risque qui r\u00e9siste \u00e0 l’\u00e9preuve des faits.<\/p>\r\n\r\n

\r\n

\u00ab La quantification nous a permis de prouver que notre strat\u00e9gie cyber \u00e9tait proportionn\u00e9e, efficace et adoss\u00e9e au contexte de la menace. \u00bb<\/em><\/p>\r\nRSSI<\/strong>, soci\u00e9t\u00e9 de capital-investissement<\/cite>\r\n<\/blockquote>\r\n\r\n

O\u00f9 en est votre programme CRQ ?<\/p>Demander une d\u00e9mo<\/a><\/div><\/section>\r\n\r\n

La CRQ, moteur de transformation<\/h2>\r\n\r\n

Il existe une dimension de la CRQ dont les \u00e9crits techniques parlent peu, parce qu’elle n’est pas d’abord technique : la transformation qu’elle provoque dans l’organisation. Lorsque la quantification financi\u00e8re est r\u00e9ellement int\u00e9gr\u00e9e aux d\u00e9cisions, elle change la fa\u00e7on dont les fonctions travaillent ensemble. La finance et la s\u00e9curit\u00e9 parlent enfin le m\u00eame langage, les achats partagent leurs donn\u00e9es avec la gestion des risques, et le COMEX dispose d’un v\u00e9ritable outil de suivi de l’exposition cyber, qui prend la forme d’une position financi\u00e8re et non plus d’un simple point d’\u00e9tape.<\/p>\r\n\r\n

Les organisations qui pratiquent la CRQ depuis plusieurs ann\u00e9es font souvent le m\u00eame constat. Ce qu’elles en ont retir\u00e9 de plus pr\u00e9cieux, ce ne sont pas les r\u00e9sultats du mod\u00e8le, mais les discussions qu’il a rendues n\u00e9cessaires : entre le RSSI et le DAF, entre l’\u00e9quipe risques et le conseil, entre l’architecte s\u00e9curit\u00e9 et le responsable m\u00e9tier d’un processus critique.<\/p>\r\n\r\n

\r\n

La CRQ n’est pas seulement un outil de mesure, c’est une nouvelle fa\u00e7on de parler du risque. Les organisations qui s’en emparent s\u00e9rieusement \u00e9changent mieux sur leurs risques, non parce que les chiffres sont parfaits, mais parce qu’ils leur offrent enfin un cadre de r\u00e9f\u00e9rence commun.<\/em><\/p>\r\n<\/blockquote>\r\n\r\n

L’enjeu de la tra\u00e7abilit\u00e9<\/h2>\r\n\r\n

Avec la maturit\u00e9 de la CRQ, une nouvelle exigence appara\u00eet : pouvoir auditer la d\u00e9marche. Les organisations qui s’appuient sur la quantification pour des d\u00e9cisions importantes, qu’il s’agisse d’allocation de capital, de couverture d’assurance ou de reporting r\u00e9glementaire, doivent \u00eatre en mesure d’expliquer \u00e0 tout moment comment une estimation a \u00e9t\u00e9 obtenue. Cela implique de conserver l’historique des d\u00e9cisions d’analyse<\/a>, de versionner les hypoth\u00e8ses des sc\u00e9narios et de savoir qui a remis en cause quoi, et \u00e0 quel moment. En somme, il s’agit d’appliquer au processus CRQ la m\u00eame rigueur qu’\u00e0 la comptabilit\u00e9.<\/p>\r\n\r\n

Les directions de l’audit interne commencent \u00e0 inclure les processus CRQ dans leur p\u00e9rim\u00e8tre, et les r\u00e9gulateurs \u00e0 demander comment les organisations construisent leurs estimations de risque cyber. La rigueur documentaire, longtemps per\u00e7ue comme une contrainte, devient un avantage et, dans certaines juridictions, une obligation.<\/p>\r\n\r\n

Et maintenant ? Des priorit\u00e9s concr\u00e8tes<\/h2>\r\n\r\n

Les prochaines \u00e9tapes d\u00e9pendent du niveau de maturit\u00e9 de chaque organisation, mais quelques priorit\u00e9s s’appliquent \u00e0 la plupart.<\/p>\r\n\r\n

    \r\n
  • Int\u00e9grer avant d’\u00e9tendre.<\/strong> Avant d’ouvrir de nouveaux cas d’usage, v\u00e9rifier que les r\u00e9sultats existants sont r\u00e9ellement utilis\u00e9s dans les d\u00e9cisions, et pas seulement produits puis class\u00e9s.<\/li>\r\n
  • Penser d’abord aux d\u00e9cideurs.<\/strong> Les r\u00e9sultats de la CRQ ne s’adressent pas en priorit\u00e9 aux analystes, mais au DAF, aux administrateurs, aux acheteurs et aux responsables de la relation fournisseurs.<\/li>\r\n
  • Investir dans les API.<\/strong> La valeur de la CRQ augmente avec chaque syst\u00e8me auquel elle est connect\u00e9e : l’int\u00e9gration doit \u00eatre pens\u00e9e d\u00e8s le d\u00e9part, pas apr\u00e8s coup.<\/li>\r\n
  • \u00c9largir le p\u00e9rim\u00e8tre pas \u00e0 pas.<\/strong> Risque tiers, risque de cr\u00e9dit et due diligence reposent sur le m\u00eame mod\u00e8le : la couverture de l’\u00e9cosyst\u00e8me se construit progressivement.<\/li>\r\n
  • Relier r\u00e9glementation et quantification.<\/strong> Utiliser les exigences r\u00e9glementaires pour construire les sc\u00e9narios, et les r\u00e9sultats de la CRQ pour documenter la conformit\u00e9.<\/li>\r\n<\/ul>\r\n\r\n
    \r\n

    Dans les dix prochaines ann\u00e9es, les organisations les plus avanc\u00e9es en gestion du risque cyber ne seront pas forc\u00e9ment celles qui ont les mod\u00e8les les plus sophistiqu\u00e9s. Ce seront celles qui auront fait de la quantification un r\u00e9flexe, pr\u00e9sent dans chaque d\u00e9cision importante, accessible \u00e0 chaque acteur concern\u00e9 et reli\u00e9 \u00e0 chaque processus expos\u00e9 au risque cyber.<\/em><\/strong><\/p>\r\n<\/blockquote>\r\n\r\n

    Avec la CRQ, le plus difficile n’a jamais \u00e9t\u00e9 le calcul. C’\u00e9tait, et c’est encore, la conduite du changement. La bonne nouvelle, c’est que la question a chang\u00e9 : il ne s’agit plus de savoir s’il faut se lancer, mais comment aller plus loin. C’est, \u00e0 bien des \u00e9gards, un vrai progr\u00e8s.<\/p>","protected":false},"excerpt":{"rendered":"Le vrai chantier commence maintenant. Pendant des ann\u00e9es, la quantification […]","protected":false},"author":175698838,"featured_media":19572,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","rank_math_description":"La quantification du risque cyber a fait ses preuves. Cinq \u00e9volutions structurelles font passer la CRQ du chiffre au syst\u00e8me, au c\u0153ur des d\u00e9cisions.","footnotes":""},"categories":[6638],"tags":[],"topic":[6743],"class_list":["post-19573","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article-de-blog","topic-risque-cyber"],"acf":[],"_links":{"self":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/19573","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/users\/175698838"}],"replies":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/comments?post=19573"}],"version-history":[{"count":0,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/19573\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media\/19572"}],"wp:attachment":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media?parent=19573"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/categories?post=19573"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/tags?post=19573"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/topic?post=19573"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}