MONARC

Mthode optimise danalyse des risques CASES

Documentation de la mthode
v1.0

Auteur : Thierry Petitgenet

MONARC : Documentation de la mthode Version 1.0

Table des matires

1 INTRODUCTION ................................................................................................................................ 3
1.1 OBJECTIF DU DOCUMENT ................................................................................................................ 3
1.2 AVERTISSEMENT DE COMPATIBILIT ............................................................................................... 3
1.3 SYNTAXE UTILISE DANS LE DOCUMENT ......................................................................................... 3
1.4 SYNTAXE UTILISE DANS MONARC ............................................................................................... 3
2 MTHODE MONARC......................................................................................................................... 4
2.1 MTHODE ITRATIVE....................................................................................................................... 4
2.2 MTHODE QUALITATIVE ............................................................................................................ 5
2.3 MTHODE LARGEMENT INSPIRE DISO/IEC 27005 ....................................................................... 5
2.4 ACCS AUX CRANS MTHODOLOGIQUES ........................................................................................ 6
2.5 DFINITION DU CONTEXTE DANALYSE DES RISQUES....................................................................... 6
3 DFINITION DU CONTEXTE DANALYSE DES RISQUES ..................................................... 7
3.1 CONTEXTE DE LANALYSE DES RISQUES ........................................................................................... 7
3.2 EVALUATION DES TENDANCES, DES MENACES ET SYNTHSE .......................................................... 8
3.2.1 valuations des tendances..................................................................................................... 8
3.2.2 valuations des menaces ....................................................................................................... 8
3.2.3 Rsum des valuations ......................................................................................................... 9
3.3 CONTEXTE DE GESTION DES RISQUES .............................................................................................. 9
3.4 DFINITION DES CRITRES D'VALUATION, D'ACCEPTATION ET D'IMPACT .................................... 10
3.4.1 chelle dimpacts ................................................................................................................. 10
3.4.2 chelles des menaces............................................................................................................ 11
3.4.3 Gestion des vulnrabilits .................................................................................................... 11
3.4.4 Gestion des seuils dacceptation .......................................................................................... 11
3.5 LIVRABLE : VALIDATION DU CONTEXTE ......................................................................................... 12
4 MODLISATION DU CONTEXTE ................................................................................................ 13
4.1 IDENTIFICATION DES ACTIFS, VULNRABILITS ............................................................................ 13
4.2 VALUATION DES IMPACTS ET CONSQUENCES ............................................................................. 13
4.3 SYNTHSE DES ACTIFS / IMPACTS .................................................................................................. 14
4.4 LIVRABLE : VALIDATION DU CONTEXTE ......................................................................................... 15
5 VALUATION ET TRAITEMENT DES RISQUES..................................................................... 16
5.1 VALUATION ET TRAITEMENT DES RISQUES .................................................................................. 16
5.1.1 valuation des probabilits de menaces ............................................................................. 16
5.1.2 valuation des vulnrabilits .............................................................................................. 16
5.1.3 Traitement des risques ......................................................................................................... 16
5.2 GESTION DU PLAN DE TRAITEMENT ............................................................................................... 16
5.3 LIVRABLE : RAPPORT FINAL........................................................................................................... 17
6 IMPLMENTATION ET SURVEILLANCE ................................................................................. 18

Page 2/18
MONARC : Documentation de la mthode Version 1.0

1 Introduction

1.1 Objectif du document

Ce document a pour objectif dexpliquer le droulement de la mthode MONARC travers

les tapes proposes par loutil.

1.2 Avertissement de compatibilit

Lapplication MONARC est optimise pour Chrome . Dans un premier temps, veuillez ne
pas utiliser Internet Explorer .

1.3 Syntaxe utilise dans le document

: Tous les chiffres en blanc sur fond rouge sont utiliss sur des copies de vues pour
fournir des explications supplmentaires. Les explications se trouvent toujours aprs la vue
avec la numrotation correspondante : 1) , etc.
Italique : Toutes les phrases exprimes en italiques sont des conseils dutilisation.

1.4 Syntaxe utilise dans MONARC

: Reprsente toujours lappel dun menu.

: Cration / ajout de quelque chose en contexte (actifs, recommandations, etc.).
: La plupart des champs de MONARC affichent une information complmentaire,
lorsque la souris est laisse quelques instants immobiles dessus.

Page 3/18
MONARC : Documentation de la mthode Version 1.0

2 Mthode MONARC
MONARC est une mthode itrative Qualitative danalyse des risques en quatre phases,
trs largement inspire dISO/IEC 27005.

2.1 Mthode itrative

MONARC est une mthode itrative qui permet de progresser pragmatiquement dans la
gestion des risques. Cette approche, conseille par ISO 27005 permet de se restreindre
dabord lessentiel, puis de procder des itrations successives pour largir la cible ou
lapprofondir des dimensions plus techniques. Les modles de risques optimiss fournis de
base avec loutil permettent cette gestion.

1) tablissement du contexte : Dfinition de la cible danalyse des risques, dcouverte

et description du contexte, dfinition des critres danalyses des risques et de la
structure de lapproche des risques.
2) Modlisation du contexte : Phase de construction du modle de risques. Aprs avoir
identifi les actifs primaires, il suffit de les dcomposer en actifs de supports de faon
hirarchique. Les actifs les plus usuels sont prsents dans la base de connaissance de
MONARC et donc une identification par dfaut des risques est propose. Cette
identification est peut tre suffisante dans une premire itration de risques, mais il
est la charge de lexpert en scurit de rendre le modle exhaustif.
3) valuation et traitement des risques : Lvaluation des risques consiste
dterminer les niveaux de menaces et de vulnrabilits du contexte trait. Le
traitement des risques consiste proposer des mesures de scurit qui vont tendre
baisser les grands risques des niveaux acceptables, ainsi qu accepter les risques
faibles.
4) Implmentation et surveillance : La version actuelle de MONARC, propose en
version Beta des vues de suivies de limplmentation des recommandations. La
surveillance consiste vrifier priodiquement les changements significatifs du
contexte danalyse des risques, mais galement tout changement significatif
lextrieur du contexte et qui suggreraient de refaire une itration danalyse.

Page 4/18
MONARC : Documentation de la mthode Version 1.0

2.2 Mthode Qualitative

MONARC est une mthode Qualitative , cest--dire que les paramtres du risque sont
exprims sur des chelles numriques contextuelles qui permettent de hirarchiser les
risques. Cette approche est prconise par ISO/IEC 27005 parce quelle est plus simple
apprhender, surtout pour des critres non tangibles dimpact et de consquences comme la
Rputation , l Image , la Lgalit , etc.

2.3 Mthode largement inspire dISO/IEC 27005

La figure ci-dessous montre le parallle entre ISO/IEC 27005 et MONARC.

Les sous-tapes proposes par la mthode vont galement dans le sens dISO/IEC 27005 :

Page 5/18
MONARC : Documentation de la mthode Version 1.0

2.4 Accs aux crans mthodologiques

Laccs aux vues des tapes de la mthode se fait en cliquant sur les numros de 1 4 qui se
trouvent sous le fil dAriane de la vue principale MONARC.
Les processus dISO/IEC 27005 sont mis en uvre travers les vues.

2.5 Dfinition du contexte danalyse des risques

En cliquant, sur le chiffre 1, le menu suivant apparat :

1) Cocher les cases permet de faire voluer ltat davancement de la mthode

2) Cliquer sur le libell appel le sous-cran contextuel de gestion

En cliquant, sur le chiffre 2, le menu suivant apparat :

En cliquant, sur le chiffre 3, le menu suivant apparat :

En cliquant, sur le chiffre 4, le menu suivant apparat :

Page 6/18
MONARC : Documentation de la mthode Version 1.0

3 Dfinition du contexte danalyse des risques

En cliquant, sur le chiffre 1, le menu suivant apparat :

1) Liens vers les pop-up de gestion contextuels, voir chapitres suivants

2) Cases cocher, indiquant que ltape slectionne est termine. Cette information
optionnelle sert montrer lavancement du projet danalyse de risques et afficher le
graphique de reprsentation des risques du tableau de bord.
3) Lien qui permet de gnrer le livrable de Validation du contexte . Dans une mission
de consultance par exemple, il peut tre utile de le faire valider par le client.

3.1 Contexte de lanalyse des risques

Cette vue offre des fonctionnalits dencodage et de formatage du texte, permettant ainsi de
contextualiser la cible danalyse des risques avec des textes bien formats qui seront repris
dans les livrables.

1) Accs aux fonctionnalits de formatage du texte (Bold, Italique, paragraphe, taille de

texte, etc.). La qualit de lencodage conditionne directement la qualit du livrable.
2) Permet dafficher ou deffacer la zone daide .
3) Zone daide sur le contenu qui est prconis de saisir (suite voir ci-dessous).
4) Chapitres prconiss par ISO27005. Cliquer sur le libell le place automatiquement
dans la zone de saisie.

Page 7/18
MONARC : Documentation de la mthode Version 1.0

Prconisation sur le contenu

Les chapitres cits ci-dessous font rfrence ISO/IEC 27005 :2011
Considrations gnrales : Voir chapitre 7.1
Approche de la gestion des risques : Voir chapitre 7.2.1
Critres de base : Voir chapitres 7.2.2, 7.2.3, 7.2.4
Cibles et limites : Voir chapitre 7.3
Ces prconisations ne sont bien entendues quindicatives et toute information prcisant le
contexte est bonne saisir.

3.2 Evaluation des tendances, des menaces et synthse

Cette tape est partage en 3 parties distinctes qui structurent la collecte des donnes
ncessaires pour bien comprendre le contexte analyser. Il est conseill danimer un groupe
de 5 10 personnes (selon organisme) qui rassemble des membres de la direction,
linformatique, le service de gestion des risques (sil existe), des chefs de service ou des
personnes fonction cl.

1) valuations des tendances : MONARC propose une srie de questions qui permettent de
dcouvrir le contexte dun point de vue trs global (suite voir chapitre 3.2.1).
2) valuation des menaces : Permet de revoir les menaces de faon trs gnraliste et
ventuellement de les valuer par dfaut dans le futur modle (suite voir chapitre 3.2.2).
3) Rsum textuel des points importants retenus lors des tapes 1 et 2 (suite voir chapitre
3.2.3).

3.2.1 valuations des tendances

Lvaluation des tendances propose une srie de questions qui permettent de dcouvrir le
contexte dun point de vue trs global. Ces questions permettent de mettre le focus sur la
slection des actifs importants quil faut considrer dans lanalyse, les critres de scurits,
ainsi que quelques points sur les motifs dattaque et le contexte extrieur de la cible.
La liste nest pas exhaustive, des questions de votre choix peuvent tre ajoutes en fin de
page.

3.2.2 valuations des menaces

Lvaluation des menaces, tout comme lvaluation des tendances est un meeting runissant
des personnes cls de lorganisme.
Lobjectif est de parcourir la plupart des menaces en collectant linformation sur le pass et
les remarques gnrales qui manent du groupe.
Le principe cest dobtenir un consensus sur la probabilit de la menace sur une chelle facile
interprter :
Plutt moins : Jamais arriv, vraiment pas probable
Normal : Pas de position ferme, pas davis
Plutt + : Dj arriv
Plutt ++ : Dj arriv plusieurs fois
Cest lexpert en scurit qui transforme le consensus en une valeur de probabilit de 1 n
qui sera utilise dans le modle.

Page 8/18
MONARC : Documentation de la mthode Version 1.0

1) Cliquer sur longlet valuation des menaces .

2) Libell de la menace.
3) Information sur la menace.
4) Commentaire encoder, collecte de linformation du groupe de personnes.
5) Information sur les critres de scurit impacts par la menace.
6) Choix de la tendance, obtenu par consensus du groupe.
7) Slection de la probabilit dduite du point par lexpert en scurit.
8) Possibilit par la suite de forcer les menaces du modle (aprs quil soit construit).
9) Sauvegarde des informations et navigations dans les menaces.

3.2.3 Rsum des valuations

Comme pour le contexte danalyse des risques, cette vue permet de rsumer linformation
pertinente collecte pendant lvaluation des tendances et des menaces.
Ce texte permet dtoffer le livrable.

3.3 Contexte de gestion des risques

Cette vue permet dencoder les informations sur le contexte de la gestion des risques, par
exemple ce qui concerne les rles et responsabilits, les parties prenantes, etc.
Pour plus dinformation, se rfrer au chapitre 7.4, dISO/IEC 27005 :2011

Page 9/18
MONARC : Documentation de la mthode Version 1.0

3.4 Dfinition des critres d'valuation, d'acceptation et d'impact

Il sagit ici de personnaliser toutes les chelles et critres dimpact et de consquence.

MONARC propose des valeurs par dfaut qui peuvent tre personnalises au contexte.
Toutes les chelles sont modifiables et les chelons personnalisables. Toutefois, il nest plus
autoris de modifier les chelles ds quune valuation a t encode.

3.4.1 chelle dimpacts

1) Cliquer pour modifier le nombre dchelons.

2) Cliquer pour Afficher ou Masquer les critres non utiliss de lanalyse.
3) Cliquer sur le symbole pour masquer une colonne inutilise.
4) Cliquer pour ajouter un nouveau critre dimpact.
5) Cliquer pour diter les libells de chaque chelon (la gestion est telle une table Excel,
en cliquant sur un libell, il est possible de lditer, en cliquant sur un autre, le premier
se sauvegarde automatiquement et ainsi de suite).
Par dfaut, lchelle dimpact et de consquence reprend les critres suivants :
C : Confidentialit
I : Intgrit
D : Disponibilit
R : Rputation
O : Opration
L : Lgal
F : Financier
P : Personne (impact la)
Il est possible dajouter des consquences personnalises, mais pas de critres dimpact.

Page 10/18
MONARC : Documentation de la mthode Version 1.0

Les mmes chelles sont utilises pour traiter les risques de linformation et les risques
oprationnels, il y a juste une diffrence dinterprtation. :
Les risques de linformation sont valus sur les critres CID en prenant en compte
les consquences ROLFP.
Les risques oprationnels sont directement valus sur les critres ROLFP

3.4.2 chelles des menaces

Lchelle des menaces est utilise que pour calculer les risques de linformation et les
probabilits de scnarios des risques oprationnels

1) Cliquer pour modifier le nombre dchelons

2) Cliquer pour diter les libells de chaque chelon (Gestion idem chelle impact).

3.4.3 Gestion des vulnrabilits

Lchelle des vulnrabilits nest utilise que pour calculer les risques de linformation.

1) Cliquer pour modifier le nombre dchelons

2) Cliquer pour diter les libells de chaque chelon (Gestion idem chelle impact).

3.4.4 Gestion des seuils dacceptation

Il existe deux tables distinctes pour les seuils dacceptation, parce que les risques
oprationnels et les risques de linformation ne sont pas calculs sur les mmes critres.
Pour les risques de linformation, le calcul est fait sur 3 critres :

(Impact x Menace x Vulnrabilit)

Page 11/18
MONARC : Documentation de la mthode Version 1.0

Pour les risques oprationnels le calcul est fait sur 2 critres :

(Impact x Probabilit)
La Probabilit utilise lchelle de menace, cest en ralit la vraisemblance du scnario
exprim par le risque.
:

1) Modification des valeurs de seuils. La table juste au-dessous se met jour

directement, ainsi que toutes les tables de risques de lanalyse.

3.5 Livrable : Validation du contexte

Ce livrable reprend toutes les informations collectes et saisies lors de la phase

dtablissement du contexte. Il peut tre utilis pour valider les informations par le client,
avant de commencer lidentification des risques.
Un formulaire est remplir. Lorsque lon clique sur Sauvegarde , un fichier au format
Word est gnr.

Page 12/18
MONARC : Documentation de la mthode Version 1.0

4 Modlisation du contexte
En cliquant, sur le chiffre 2, le menu suivant apparat :

4.1 Identification des actifs, vulnrabilits

Le clique sur le lien appelle la vue principale de MONARC.

Lobjectif est de crer le modle de risques partir des actifs de la bibliothque.
Le principe de modlisation propose de placer sur la racine de lanalyse les actifs primaires,
puis de placer en dessous les actifs de support qui les composent.
La phase dtablissement du contexte a permis de dcouvrir les actifs primaires qui vont faire
lobjet de lanalyse. Il est dj possible qu ce stade de lanalyse, certains actifs secondaires
soient dj connus.
Par dfaut, MONARC propose une structuration Front Office , Back office , mais ce nest
pas une obligation. Il est important que la construction du modle suive une logique
contextuelle, les actifs et termes cits doivent utiliser la terminologie de lorganisme, et pour
ce faire, il ne faut pas hsiter renommer les actifs proposs par dfaut de la bibliothque.

Principe de la structuration Front Office , Back office

Le Front Office reprsente le ct utilisateur , par exemple dans le cas dun

service Ressources Humaines nous allons y trouver les employs et lensemble du
systme dinformation qui leur est accessible (Bureau, poste de travail, matriels
divers, logiciel, personnes, etc.).
Le Back Office reprsente le ct informatique et organisationnel de lorganisme
qui sont communs (btiment, data centre, rseau, administrateurs, rgles communes,
etc.).

4.2 valuation des impacts et consquences

Il faut dfinir pour chaque actif primaire les impacts et consquences qui pourraient
sappliquer, si les risques prsents dans le modle se ralisaient. Par dfaut, tous les actifs
de supports vont hriter de ces impacts, mais il est toujours possible de les redfinir.
Lorsque lactif primaire est un service, alors, le C (Confidentialit) et le I (Intgrit)
concernent linformation la plus sensible de ce service. Le D (Disponibilit) concerne le service
et linformation, en partant du principe que si linformation est indisponible, le service lest
galement.

Page 13/18
MONARC : Documentation de la mthode Version 1.0

Lorsque lactif primaire est linformation, il ny a pas dambigut sur les critres CID, ils
concernent tous linformation.
Dans certains cas plus rares, si le C associ un service exprime la confidentialit du
mode opratoire (ex. procd de fabrication), il suffit dexprimer distinctement les actifs dans
le modle en un actif informationnel et un service.

La valeur des critres CID est dduite automatiquement en fonction des consquences
ROLFP ou autres qui leur ont t associs (valeur maximum).
Exemple : Dans le cas de la figure ci-dessus, le 3 dimpact sur la confidentialit, sexplique
par la valeur maximum ROLFP concernant la confidentialit qui est dans ce cas 3 en
consquence pour la personne.

4.3 Synthse des actifs / impacts

La synthse des actifs permet de fournir un contenu rdactionnel qui justifie le choix des
actifs et des impacts destination du livrable.

Page 14/18
MONARC : Documentation de la mthode Version 1.0

4.4 Livrable : Validation du contexte

Ce livrable reprend tous les actifs primaires importants du modle, cest--dire ceux sur
lesquels des impacts sont renseigns, ainsi que la synthse des actifs.
Un formulaire est remplir. Lorsque lon clique sur Sauvegarde , un fichier au format
Word est gnr.

Page 15/18
MONARC : Documentation de la mthode Version 1.0

5 valuation et traitement des risques

En cliquant, sur le chiffre 3, le menu suivant apparat :

Le clique sur le lien appelle la vue principale de MONARC.

5.1 valuation et traitement des risques

La phase prcdente a permis de renseigner les critres dimpacts, il reste maintenant

valuer les menaces et les vulnrabilits pour pouvoir calculer les niveaux de risques.

5.1.1 valuation des probabilits de menaces

Dans le cas o lvaluation des menaces faite pendant ltablissement du contexte a renseign
des probabilits, il faut revenir cet cran pour forcer toutes les menaces du modle.
Ensuite, lors du passage en revue des risques du modle, les valeurs par dfaut peuvent
toutes tre rvises unitairement.

5.1.2 valuation des vulnrabilits

Les niveaux de vulnrabilits dpendent directement des mesures de scurit en place. Afin
de justifier chaque valeur, il est ncessaire de dcrire de faon factuelle toutes ces mesures.

5.1.3 Traitement des risques

Le traitement des risques dans MONARC consiste comme dans ISO/IEC 27005, prendre
une dcision de type de traitement et non pas dimplmenter la mesure.
Il existe 4 faons pour traiter un risque :
1) Accepter : Le risque est accept tel quel. Aucune action supplmentaire ne sera lance.
2) Modifier / Rduire : Des mesures sont mises en place pour rduire le risque un
niveau acceptable. La force de rduction est alors value afin de pouvoir calculer le
risque rsiduel.
3) Partager / Refuser : cas des assurances par exemple. Ce type de traitement est
particulier, parce quil tend rduire limpact du risque et non pas la vulnrabilit.
Le risque rsiduel ne peut pas tre calcul.
4) Refuser : La cause du risque est limine, aprs traitement le risque ne doit plus
exister.

5.2 Gestion du plan de traitement

Tous les risques faisant lobjet dun des 4 traitements dcrits ci-dessus sont inscrits dans le
plan de traitement des risques, que ce soit les risques de linformation ou les risques
oprationnels.
La formule de calcul nest pas la mme pour les deux types de risques, cest donc les seuils
dacceptation des risques qui donne lordre des risques. Toutefois, il est possible de rordonner
lordre du plan de traitement des risques avant de gnrer le livrable final.

Page 16/18
MONARC : Documentation de la mthode Version 1.0

5.3 Livrable : Rapport final

Le livrable reprend de faon exhaustive toutes les informations collectes et saisies dans
MONARC, y compris les informations contenues dans les deux prcdents livrables.
Un formulaire est remplir. Il est possible dy ajouter un rsum de lanalyse qui sajoute
aux 5 premiers risques du plan de traitement. Lorsque lon clique sur Sauvegarde , un
fichier au format Word est gnr.

Page 17/18
MONARC : Documentation de la mthode Version 1.0

6 Implmentation et surveillance
En cliquant, sur le chiffre 4, le menu suivant apparat :

Cette vue va au-del de la norme ISO/IEC 27005, parce quelle permet de grer le suivi de
limplmentation des mesures.
La version actuelle est en Beta, elle est dveloppe, mais en attente de retour des utilisateurs
pour amlioration.
Le squencement des actions est le suivant :
Un responsable et un dlai sont dfinis pour chaque recommandation.
Lorsque la recommandation a t compltement implmente, une validation est
demande pour chaque risque trait par la recommandation en question.
Pour chaque risque, le nouvel tat est document et les valeurs de risques rsiduels
deviennent le risque actuel.
Et ainsi de suite pour chaque recommandation.

Page 18/18