Évaluation des risques
Comprendre les risques de cybersécurité pesant sur les opérations et les actifs.
Évaluation des risques est défini par les résultats NIST CSF 2.0 ID.RA-03 (Internal and external threats to the organization are identified and recorded); ID.RA-04 (Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded); ID.RA-05 (Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization); ID.RA-06 (Risk responses are chosen, prioritized, planned, tracked, and communicated). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS, CMMC, 800-53, HIPAA et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, GDPR, DORA et CPS 234. Aucune correspondance dans nos données Aucune correspondance dans nos données pour CIS v8.1, Essential Eight et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | Internal and external threats to the organization are identified and recorded; Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded; Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization… | Définition du sujet | ID.RA-03 ID.RA-04 ID.RA-05 ID.RA-06 |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | Information security risk assessment; Information security risk treatment | Correspondance | Clause 6.1.2: via ID.RA-03; ID.RA-04; ID.RA-05; NIST 800-53 map: RA-3 Clause 6.1.3: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; NIST 800-53 map: RA-7 |
| CIS v8.1 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CIS v8.1 n'est mise en correspondance avec ce thème dans nos données. |
| SOC 2 | CC3.2CC3.4CC3.3 | Risk identification and analysis; Identifying and assessing significant changes; Considering the potential for fraud | Éditorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Correspondance | 12.3.1: via ID.RA-03; ID.RA-04; ID.RA-05 |
| CMMC | RA.L2-3.11.1 | Risk Assessments | Correspondance | RA.L2-3.11.1: via 800-171r3 03.11.01 ↔ ID.RA-03, ID.RA-04, ID.RA-05 → RA-3; 800-171r2 Appendix D → RA-3 |
| 800-53 | RA-3RA-7 | Risk Assessment; Risk Response | Correspondance | RA-3: via ID.RA-03; ID.RA-04; ID.RA-05 RA-7: via ID.RA-05; ID.RA-06 |
| HIPAA | §164.308(a)(1)(ii)(A) | Risk Analysis | Correspondance | §164.308(a)(1)(ii)(A): via NIST HIPAA map: RA-3 |
| GDPR | Art.35(1)Art.35(7) | Data protection impact assessment; Data protection impact assessment | Éditorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.1 | Risk management framework | Correspondance | 2.1: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; ENISA ISO map: Clause 6.1.2, Clause 6.1.3 |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.8(2)Art.8(3)Art.8(7) | Identification; Identification; Identification | Éditorial | Art.8(2): Continuously identify sources of ICT risk and assess cyber threats and vulnerabilities; review risk scenarios at least yearly. Art.8(3): Perform a risk assessment on each major change to infrastructure, processes or procedures. Art.8(7): Assess the ICT risk of legacy systems at least yearly. |
| CPS 234 | Para 21Para 17 | Timely controls commensurate with risk and asset life-cycle; Keep capability current as threats and vulnerabilities change | Éditorial | Para 21: Controls must be commensurate with vulnerabilities, threats, criticality and potential consequences: a risk-based basis. Para 17: Keep the security capability current as vulnerabilities and threats change. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Évaluation des risques
Les évaluations des risques offrent une analyse structurée des menaces, des vulnérabilités et des impacts potentiels sur les actifs et les opérations de l'organisation. Les praticiens recourent généralement à des méthodologies qualitatives ou quantitatives pour noter les risques, et utilisent des outils tels que les scanners de vulnérabilités, les tests d'intrusion et la modélisation des menaces pour collecter les données. ISO 27001 exige la réalisation d'évaluations des risques à intervalles planifiés et après tout changement significatif (8.2), et HIPAA exige une analyse des risques exacte et approfondie, maintenue à jour ; les constats doivent être suivis jusqu'à leur traitement.