Glossaire de la GRC cyber

A

Acceptation du risque

Décision formelle, prise par la personne désignée, de conserver un risque à son niveau ; elle se date et se motive.EBIOS RM

Appréciation des risques

Identifier, analyser et évaluer les risques ; dans EBIOS RM, les ateliers 1 à 4.EBIOS RM

Audit interne

Contrôle, par des personnes indépendantes de l'activité auditée, de la conformité et de l'efficacité du système de management.ISO 27001

B

BIA, bilan d'impact sur l'activité

Mesure ce que coûte, dans le temps, l'arrêt de chaque activité, et fixe les délais de reprise acceptables.

Bien support

Composant numérique, physique ou organisationnel sur lequel repose une valeur métier : matériel, logiciel, réseau, personne, local, prestataire.EBIOS RM

C

Couple SR/OV

Une source de risque associée à l'objectif qu'elle vise : la base des scénarios d'EBIOS RM.EBIOS RM

CSIRT

Équipe de réponse aux incidents de sécurité informatique ; NIS 2 lui fait notifier les incidents importants, ou à l'autorité compétente.NIS 2

D

DdA, déclaration d'applicabilité

Pièce maîtresse d'un SMSI selon l'ISO 27001, dit l'ANSSI : elle justifie chaque mesure de l'annexe A, retenue ou écartée, et suit sa mise en œuvre.ISO 27001

DICT

Disponibilité, intégrité, confidentialité, traçabilité : les critères de sécurité d'une information ou d'un système.

DORA

Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.DORA

E

EBIOS RM

EBIOS Risk Manager, la méthode d'appréciation et de traitement du risque numérique de l'ANSSI, en cinq ateliers.EBIOS RM

Entité essentielle, entité importante

Les deux catégories d'organisations régulées par NIS 2, selon leur secteur et leur taille.NIS 2

Événement redouté

Ce que l'on craint pour une valeur métier (fuite, indisponibilité, altération), avec la gravité de ses impacts.EBIOS RM

G

Gravité

Ampleur des impacts d'un événement redouté ou d'un scénario de risque, sur une échelle choisie.

GRC

Gouvernance, risques et conformité : piloter la sécurité, gérer les risques et prouver le respect des exigences.

H

Homologation de sécurité

Acceptation formelle, par une autorité, des risques d'un système d'information ; l'ANSSI ne recommande pas de la prononcer pour plus de trois ans, et elle ne se renouvelle jamais automatiquement.EBIOS RM

I

Incident important

Au sens de NIS 2, un incident qui cause ou peut causer une perturbation grave, des pertes financières ou des dommages considérables à d'autres.NIS 2

Incident majeur lié aux TIC

Au sens de DORA, un incident classé majeur selon des critères communs ; il se notifie en trois rapports.DORA

ISO/IEC 27001

Norme internationale du système de management de la sécurité de l'information, certifiable.ISO 27001

ISO/IEC 27002

Recommandations fondées sur les bonnes pratiques pour les mesures de sécurité ; contrairement à l'ISO 27001, elle ne se prête pas à la certification.

ISO/IEC 27005

Lignes directrices pour la gestion des risques liés à la sécurité de l'information ; la version 1.5 d'EBIOS RM vise à s'y conformer pleinement.

M

Mesure de sécurité

Moyen technique, organisationnel ou humain qui réduit un risque.

N

NIS 2

Directive (UE) 2022/2555 pour un niveau élevé commun de cybersécurité dans l'Union ; au 29 octobre 2026, la France ne l'a pas encore transposée.NIS 2

Non-conformité

Exigence non satisfaite ; elle appelle une analyse de cause et une action corrective.

O

Objectif visé (OV)

Ce qu'une source de risque cherche à obtenir : voler des informations, perturber une activité, nuire à une image.EBIOS RM

P

PAS, plan d'assurance sécurité

Document contractuel où un prestataire décrit les mesures de sécurité qu'il s'engage à appliquer pour son client.

Partie prenante

Acteur de l'écosystème (client, partenaire, prestataire) qui interagit avec l'objet étudié et peut servir de porte d'entrée à une attaque.EBIOS RM

PCA, plan de continuité d'activité

Ce qui permet de maintenir les activités essentielles pendant une crise.

Plan de traitement du risque

Les mesures décidées pour traiter les risques, avec responsables et échéances ; il remplace le PACS d'EBIOS RM 2018.EBIOS RM

PRA, plan de reprise d'activité

Ce qui permet de rétablir les systèmes et les activités après un arrêt.

PSSI

Politique de sécurité des systèmes d'information : les principes et règles de sécurité qu'une organisation se fixe, approuvés par sa direction.

R

ReCyF

Référentiel Cyber France de l'ANSSI : vingt objectifs de sécurité pour NIS 2, en version de travail (2.5 du 17 mars 2026).NIS 2

Registre d'informations

Au sens de DORA, la liste de tous les contrats de services TIC d'une entité financière avec ses prestataires tiers.DORA

Revue de direction

Point régulier où la direction examine le système de management et décide de ses évolutions.ISO 27001

Risque inhérent

Niveau d'un risque avant toute mesure de traitement ; on dit aussi risque brut.

Risque résiduel

Niveau d'un risque une fois les mesures appliquées ; il s'accepte formellement.EBIOS RM

RSSI

Responsable de la sécurité des systèmes d'information : pilote la politique de sécurité et la gestion des risques cyber.

S

Scénario opérationnel

Mode opératoire d'une attaque sur les biens supports, avec sa vraisemblance.EBIOS RM

Scénario stratégique

Chemin d'attaque de haut niveau, d'une source de risque vers son objectif, à travers l'écosystème.EBIOS RM

SMSI

Système de management de la sécurité de l'information : apprécier les risques, appliquer les mesures, les mesurer, s'améliorer.ISO 27001

Socle de sécurité

Les référentiels de sécurité qui s'appliquent à l'objet étudié, et leur état d'application.EBIOS RM

Source de risque (SR)

Personne, groupe ou phénomène susceptible de porter atteinte à l'organisation : État, concurrent, cybercriminel, employé malveillant.EBIOS RM

T

TLPT

Test de pénétration fondé sur la menace, exigé par DORA au moins tous les trois ans pour les entités désignées.DORA

Traitement du risque

Le choix, pour chaque risque, de le réduire, le transférer, l'éviter ou l'accepter.

V

Valeur métier

Information, processus ou service qui compte pour la mission ; les biens essentiels d'EBIOS 2010, les biens primaires de l'ISO 27005.EBIOS RM

Vraisemblance

Faisabilité ou probabilité qu'un scénario de risque se réalise, sur une échelle choisie.EBIOS RM