Comment estimer la probabilité des scénarios de risque du PRA ?
D’après Plan de reprise d’activité
Établir une échelle de probabilité
Pour quantifier la probabilité (ou vraisemblance) qu’un scénario se produise, on définit une échelle.
Par exemple, sur 4 niveaux :
1 = Très faible (peu probable, 1 fois en 10 ans ou événement exceptionnel),
2 = Faible (rare, peut-être 1 fois tous les 3-5 ans),
3 = Moyenne (annuel, plus régulier),
4 = Élevée (se produit plusieurs fois par an, ou menace quasi-certaine).
Certaines méthodes plus précises utilisent des pourcentages (ex. : 0-5 %, 5-20 %, etc.), mais il suffit souvent de rester sur une échelle simplifiée, tant qu’il y a un consensus clair sur ce que chaque niveau représente.
Se baser sur des données historiques et des études
Pour évaluer la probabilité, il est utile de rechercher :
Les incidents passés dans l’entreprise (ou le groupe), leurs fréquences, leurs causes.
Les statistiques du secteur ou les études de sinistralité (par exemple, l’éditeur d’antivirus ou de firewall qui publie un rapport annuel sur le taux d’attaques ransomware).
Les données géographiques (zone inondable, historique de séismes, etc.).
Les contrats d’assurance : souvent, les assureurs fournissent une cotation du risque qui peut être un bon point d’appui.
Attention cependant aux biais : une absence d’incident passé ne signifie pas forcément que la probabilité est nulle.
Au contraire, certaines menaces peuvent se concrétiser du jour au lendemain (ex. un virus informatique ciblé).