Vulnérabilité

En étude et gestion des risques (cyndinique), la vulnérabilité d'un groupe, d'une organisation, d'un élément bâti ou d'une zone géographique est le point faible de cette entité, pouvant être défini par :

• un objet de risque : ressource qui est en risque, pouvant appartenir à cinq classes : humaine, technique, informations, partenaires et financières (H, T, I, P, F).
  Un exemple d'objet de risque est une Installation classée pour la protection de l'environnement (ICPE).
• des causes : facteurs de risque ou périls, événements aléatoires dont la survenance prive l'organisation ou l'entité de son intégrité, ou d'une ressource partiellement ou complètement, de façon provisoire ou définitive.
• des conséquences : impacts potentiels ; Il s'agit de façon générale de l'impact sur les fonctions de l'entité, l'atteinte des objectifs fondamentaux de l'organisation.
  Tous ne sont pas aisément traduisibles en termes financiers, comme le maintien de la compétence de l'entreprise.
  Il existe des tentatives d'évaluation du capital intellectuel des entreprises : Return on Knowledge Employed (ROKE).

Classes de vulnérabilités

Les classes de vulnérabilité (selon l'AFNOR en france) correspondent aux cinq catégories de ressources :

• Atteintes de personne H
• Dommage aux biens physiques et techniques T
• Pertes d'informations I
• Dommages aux partenariats P (ressources amont, latérales, aval)
• Pertes de revenus F

À ces catégories de ressources, il convient d'ajouter des ressources «gratuites» :

• l'environnement physique et naturel (ressources naturelles, et gratuites (aménités) ou non... dont eau, air, sol, biodiversité) contribuant à la résilience en cas de crise ;
• l'environnement politique, légal et social,
• l'environnement concurrentiel.

Place dans la gestion des risques

L'identification de l'objet du risque et du péril (facteur de risque) sert à clore la phase d'identification des risques.

La suite de l'analyse des risques prend en compte les conséquences :

• Conséquences primaire : les dommages sur l'organisation elle-même
• Conséquences sur les tiers : les dommages subis par les tiers et l'environnement, qui peuvent se traduire par la responsabilité civile ou pénale et la mise en cause d'employés ou de dirigeants
• Atteintes à la réputation (voir risque de réputation).

Quelques exemples

Comparé au risque industriel

Voir : Installation classée pour la protection de l'environnement

La vulnérabilité d'une zone ou d'un point donné est l'appréciation de la sensibilité des cibles présentes dans la zone à un type d'effet donné (surpression de x mbar, gaz toxique à la concentration y pendant un temps t…). A titre d'exemple, on distinguera des zones d'habitat, de zones de terres agricoles, les premières étant plus sensibles que les secondes à un aléa d'explosion à cause de la présence de constructions et de personnes. (Circulaire du 02/10/03 du MEDD sur les mesures d'application immédiate introduites par la loi 2003-699 en matière de prévention des risques technologiques dans les installations classées).

Comparé au risque pays

Le FMI publie des indicateurs de vulnérabilité comparé au risque pays^[1].

Comparé aux informations sensibles

Les données informatiques sont de plus en plus constituées par des informations éparpillées et des documents répartis sur différents sites et postes de travail, qui contiennent le patrimoine de connaissances (explicites) de personnes et d'organismes qui travaillent en communautés de pratique. Ce patrimoine, parfois nommé capital immatériel (ou capital intellectuel), doit être protégé contre les risques de perte de compétence.

D'autre part, les documents contractuels de l'entreprise, signés avec des partenaires (clients, fournisseurs, banques, assurances) engagent l'entreprise, par la signature électronique. Les impacts économiques, environnementaux et sociaux des activités de l'entreprise sur diverses parties prenantes, peuvent engager la responsabilité des dirigeants ou des employés de l'entreprise sur le plan juridique. Il est par conséquent indispensable de pouvoir apporter la preuve de la bonne exécution des termes d'un contrat (gestion de la preuve), et de s'assurer que différents types de risques ont été pris en compte, pour se prémunir contre le risque juridique, responsabilités civile et pénale, pouvant entraîner des amendes lourdes en cas de non respect de dispositions légales.

Tout cela nécessite d'analyser la vulnérabilité de l'organisation dans son ensemble, et du système d'information, qui débute par l'identification des éléments sensibles :

• Actifs,
• Informations de toutes nature, données,

etc.

Voir :

• Sécurité des données
• Patrimoine informationnel

Comparé aux processus de décision

Certains processus de décision peuvent aussi présenter des vulnérabilités comparé aux actions d'influence, car ils véhiculent des connaissances sensibles pour les communautés qui partagent ces connaissances (gouvernements, pôles de compétitivité... ).

En l'absence d'une gestion rigoureuse des données partagées, des informations même assez peu sensibles (grises), disponibles en sources ouvertes, peuvent être captées par des réseaux d'influence internationaux pouvant avoir des intérêts différents de l'organisation.

Si on dispose d'une organisation (registres de métadonnées) servant à décrypter, avec des moteurs de recherche, des ressources informatiques indexées avec des métadonnées structurées de façon cohérente, on dispose d'une puissance d'influence particulièrement importante.

Comparé au dérèglement climatique

Comparé au risque épidémiologique

L'ONU, et plus exactement l'OMS, avec la FAO et l'OIE ont mis en place des outils de veille et alerte pour mieux gérer le risque pandémique.
Des plans nationaux et régionaux existent aussi, récemment mis en œuvre à échelle mondiale pour la grippe aviaire ou le H1N1par exemple.

Notes et références

Voir aussi

Liens externes

• (en) NIMS Information Security Threat Methodology - The MITRE Corporation, août 1998 [pdf]

Bibliographie

• Défense nationale et sécurité collective, février 2006.
• Fonction risk manager, Catherine Véret, Richard Mékouar, Dunod, 2005.
• Gestion des risques, 100 questions pour comprendre et agir, Jean-Paul Louisot, AFNOR et CARM Institute, avec la participation de Jacques Lautour.

Principaux mots-clés de cette page : risques - vulnérabilité - ressource - informations - comparé - organisation - environnement - entreprise - gestion - zone - sensibles - pouvant - conséquences - dommage - données - entité - objet - classes - installation - classée -

Ce texte est issu de l'encyclopédie Wikipedia. Vous pouvez consulter sa version originale dans cette encyclopédie à l'adresse http://fr.wikipedia.org/wiki/Vuln%C3%A9rabilit%C3%A9.
Voir la liste des contributeurs.
La version présentée ici à été extraite depuis cette source le 17/12/2010.
Ce texte est disponible sous les termes de la licence de documentation libre GNU (GFDL).
La liste des définitions proposées en tête de page est une sélection parmi les résultats obtenus à l'aide de la commande "define:" de Google.
Cette page fait partie du projet Wikibis.