Vous êtes ici :
Calcul des scores de risque pour la conformité TI
Le service informatique Agentforce calcule deux scores pour chaque risque. Un score inhérent qui reflète la sévérité brute avant toute mesure de protection, et un score résiduel qui indique ce qui reste une fois les contrôles mappés pris en compte. Les deux scores sont automatiquement calculés par le Moteur de règles métiers en utilisant l'ensemble d'expressions de score de risque actif.
Éditions requises
| Disponible avec : Lightning Experience |
| Disponible avec : éditions Enterprise, Performance et Unlimited avec Agentforce IT Service. |
Les scores offrent à votre équipe de conformité une méthode objective et répétitive pour comparer les menaces entre les unités commerciales, les produits et les actifs informatiques. Au lieu de se fier à un jugement subjectif, la formule de score transforme les scores des enquêtes des parties prenantes en chiffres que votre équipe peut suivre, générer des tendances et agir.
Les deux scores sur chaque risque
Chaque risque comporte deux scores qui sont automatiquement mis à jour en fonction des différentes modifications apportées à votre environnement.
- Score de risque inhérent : La gravité du risque avant tout contrôle est prise en compte. Il répond à la question : Quelle est la gravité de cette menace ? Utilisez-le pour prioriser les risques qui nécessitent le plus d'attention, quelles que soient les garanties déjà en place.
- Score de risque résiduel : La sévérité qui subsiste après la mappage des témoins avec le risque est prise en compte. Elle répond à la question : Quelle exposition reste-t-il après tout ce que votre équipe fait pour gérer le risque ? Utilisez-le pour déterminer si les garanties actuelles sont suffisantes ou si un traitement supplémentaire est nécessaire.
Les deux scores sont des valeurs numériques. Un tableau de décision de l'ensemble d'expressions mappe chaque chiffre avec une bande de sévérité, par exemple Faible, Moyen, Élevé ou Critique, qui est affichée dans les enregistrements de risque, les tableaux de bord et la Carte thermique des risques.
Comment l'ensemble d'expressions lit vos données de risque
Le Moteur de règles métiers ne lit pas directement les champs d'enregistrement. À la place, il utilise une définition de contexte, un mappage structuré qui indique à l'ensemble d'expressions exactement les champs à lire dans quels enregistrements et les champs dans lesquels réécrire les résultats.
La définition de contexte du score de risque par défaut connecte trois types d'enregistrement à l'ensemble d'expressions.
| Type d'enregistrement | Ce que lit l'ensemble d'expressions (entrée) | Ce que l'ensemble d'expressions écrit (sortie) |
|---|---|---|
| Évaluation des risques | ImpactNumber : le taux d'impact numérique collecté à partir des enquêtes auprès des parties prenantes. LikelihoodNumber : le taux de probabilité numérique recueilli à partir des enquêtes auprès des parties prenantes. |
InherentRiskScore : le score inhérent calculé, réécrit dans l'enregistrement Évaluation du risque. ResidualRiskScore : le score résiduel calculé, réécrit dans l'enregistrement Évaluation du risque. |
| Version du contrôle (une ligne par contrôle mappé) | EffectivenessRatingNumber : le taux d'efficacité numérique attribué à la version de contrôle. ControlWeightPercentage : le poids attribué au contrôle, qui détermine son influence sur le score résiduel par rapport aux autres contrôles mappés. |
WeightedEffectivenessValue : le score pondéré par contrôle, calculé en multipliant l'efficacité par le poids. Cette valeur intermédiaire alimente la formule du score résiduel. |
| Risque | Métadonnées de risque qui fournissent le contexte de l'évaluation, par exemple la catégorie de risque et le propriétaire. | Aucune sortie écrite directement dans l'enregistrement Risk par la formule par défaut. |
Les attributs marqués en entrée seule sont lus par l'ensemble d'expressions, mais jamais remplacés. Les attributs marqués en entrée-sortie peuvent être lus et mis à jour. Ainsi, l'ensemble d'expressions réécrit les scores finaux dans l'enregistrement d'évaluation.
Calcul du score de risque inhérent
Le score inhérent est d'abord calculé, avant que les contrôles soient pris en compte. La formule par défaut multiplie les deux notes que les parties prenantes fournissent dans l'enquête Évaluation des risques.
Inherent Risk Score = Likelihood × Impact
Par exemple, si les parties prenantes évaluent un risque à Probabilité 4 sur 5 et Impact 5 sur 5, le score inhérent est de 20. Le tableau de décision mappe ensuite 20 avec la bande de sévérité Critique.
L'ensemble d'expressions écrit ce résultat dans le champ Score de risque inhérent de l'enregistrement Évaluation du risque en tant que sortie.
Calcul du score de risque résiduel
Le score résiduel part du score inhérent et le réduit en fonction de l'efficacité collective des contrôles mappés avec le risque. La formule par défaut est exécutée en quatre étapes.
| Séquence | Étape | Explication |
|---|---|---|
| 1 | Calculer une valeur d'efficacité pondérée pour chaque contrôle | Pour chaque version de contrôle mappée avec le risque, l'ensemble d'expressions multiplie le taux d'efficacité du contrôle par le pourcentage de poids qui lui est attribué. Cela produit une valeur de contribution pondérée pour ce contrôle. |
| 2 | Ajouter les valeurs pondérées dans tous les contrôles | L'ensemble d'expressions additionne les valeurs de contribution pondérées de tous les contrôles mappés pour obtenir un score d'efficacité total pondéré. |
| 3 | Calculer l'efficacité moyenne pondérée | L'ensemble d'expressions divise l'efficacité totale pondérée par la somme de tous les pourcentages de poids de contrôle. Cela produit un chiffre moyen unique qui représente la mesure dans laquelle l'ensemble combiné de contrôles réduit le risque. |
| 4 | Appliquer la formule résiduelle | L'ensemble d'expressions applique l'efficacité moyenne pondérée en tant que facteur de réduction au score inhérent : Score de risque résiduel = Score de risque inhérent × (1 − Efficacité moyenne pondérée du contrôle ÷ 100) |
Une efficacité moyenne de contrôle plus élevée signifie une réduction plus importante et un score résiduel plus faible. Si aucun contrôle n'est mappé, l'efficacité moyenne est égale à zéro et le score résiduel égal au score inhérent.
Personnalisation de la formule de score
Le service informatique Agentforce fournit un ensemble d'expressions de score de risque par défaut permettant à votre équipe de commencer à évaluer les risques dès l'activation de Gestion des risques. Un administrateur active l'ensemble d'expressions par défaut pendant la configuration.
L'ensemble d'expressions par défaut est un point de départ, pas une contrainte. Si votre organisation a besoin d'une méthode de score différente (par exemple, pondérer les risques financiers plus lourdement que les risques opérationnels, ou utiliser une échelle de 1 à 10 au lieu de 1 à 5), un administrateur peut cloner l'expression par défaut définie dans le Moteur de règles métiers et modifier les formules.
Les ensembles d'expressions personnalisés peuvent utiliser différentes pondérations, ajouter une logique supplémentaire pour des contrôles inefficaces ou introduire un score plancher résiduel minimum. Lorsque la version personnalisée est activée, toutes les évaluations utilisent la logique mise à jour.
Comment les scores sont automatiquement recalculés
Les scores sont actualisés dynamiquement lorsque les conditions changent.
- Lorsqu'une enquête Évaluation des risques atteint son seuil de réponse, le Moteur de règles métiers recalcule la probabilité et l'impact sur l'évaluation parente, et le score inhérent est mis à jour.
- Lorsqu'un contrôle est mappé avec ou sans mappage avec le risque, le score résiduel est recalculé pour refléter le nouvel ensemble de mesures de protection.
- Lorsqu'un plan de traitement est terminé et que de nouveaux témoins sont mappés avec le risque, le score résiduel est mis à jour pour refléter l'amélioration de la posture.
- Lorsque la Surveillance continue des risques est activée, l'agent en arrière-plan surveille les changements, par exemple l'inefficacité d'un contrôle ou l'ajout d'une nouvelle étendue, et déclenche une nouvelle évaluation lorsque les scores ont changé.
Suivi des scores
- La page de détail de chaque enregistrement Risque affiche les scores inhérents et résiduels, ainsi que les tendances des évaluations passées.
- Chaque enregistrement Évaluation du risque affiche les scores générés par ce cycle d'évaluation spécifique.
- La Carte thermique des risques trace chaque risque sur une grille de probabilité par impact, en utilisant les scores inhérents pour positionner les risques afin que les dirigeants puissent observer la sévérité en un coup d'œil.
L'équipe de conformité de la Banque Cumulus enregistre un risque d'attaque par hameçonnage pour l'unité commerciale Amérique du Nord et effectue une évaluation du premier trimestre. Voici comment les chiffres circulent à travers l'ensemble d'expressions.
Étape 1 : Recueillez les évaluations d'enquête. Les parties prenantes répondent à l'enquête Risk Assessment. Les cotes agrégées reviennent sous les valeurs Likelihood 4 et Impact 5.
Étape 2 : Calculez le score inhérent. L'ensemble d'expressions lit LikelihoodNumber (4) et ImpactNumber (5) dans l'enregistrement Évaluation du risque et les multiplie. Score de risque inhérent = 4 × 5 = 20. L'ensemble d'expressions écrit 20 dans le champ InherentRiskScore. Le tableau de décision mappe 20 avec Critique.
Étape 3 : Calculez l'efficacité pondérée pour chaque contrôle mappé. L'équipe de conformité a mappé trois contrôles avec le risque.
| Contrôle | Taux d'efficacité | Poids (%) | Efficacité pondérée |
|---|---|---|---|
| MFA clé matérielle | 60 | 40 | 2,400 |
| Passerelle de sécurité de la messagerie | 65 | 35 | 2,275 |
| Programme de sensibilisation à l'hameçonnage | 50 | 25 | 1 250 |
| Totaux | — | 100 | 5,925 |
Étape 4 : Calculer l'efficacité moyenne pondérée. Somme de l'efficacité pondérée (5 925) ÷ Somme des poids témoins (100) = Efficacité pondérée moyenne de 59,25.
Étape 5 : Calculez le score résiduel. Score de risque résiduel = 20 × (1 − 59,25 ÷ 100) = 20 × 0,4075 = 8,15, arrondi à 8. L'ensemble d'expressions écrit 8 dans le champ ResidualRiskScore. Le tableau de décision mappe 8 avec Moyen.
Le résultat indique aux dirigeants que même si la menace de l'hameçonnage est intrinsèquement critique, les contrôles existants ont réduit l'exposition résiduelle à Moyenne. Le risque est toujours activement surveillé, et tout changement dans l'efficacité d'un contrôle, par exemple l'expiration du programme de sensibilisation à l'hameçonnage, déclenche un recalcul qui pourrait faire remonter le score résiduel.
