5.4.2 Quiz sur la gestion des risques et les contrôles de sécurité Réponses
1. Une entreprise de services de cloud public fournit des services de stockage de données à plusieurs clients. L’entreprise décide de souscrire une police d’assurance pour couvrir les pertes de données dues à des catastrophes naturelles. Quel niveau d’action de gestion des risques la société de services a-t-elle prise pour gérer le risque potentiel?
- accepter
- transférer
- atténuation
- évitement
Explication : La gestion des risques consiste à identifier, à évaluer et à hiérarchiser les risques. Les entreprises gèrent les risques de l’une des quatre façons suivantes:
- Évitement (élimination) – l’évitement des risques est la suppression complète ou l’élimination des risques liés à une menace spécifique.
- Atténuation (réduction) – l’atténuation des risques consiste à mettre en œuvre des contrôles qui permettent à l’entreprise de continuer à effectuer une activité tout en utilisant des mécanismes pour réduire les risques liés à une menace particulière.
- Transfert – les entreprises peuvent transférer les risques liés aux menaces spécifiques à un tiers ou à une autre entreprise.
- Accepter – L’acceptation des risques implique l’identification des menaces, mais pas la mise en œuvre de processus d’atténuation basés sur une décision consciente.
2. Quel contrôle d’accès le service informatique doit-il utiliser pour rétablir l’état normal d’un système?
- correctif
- détection
- prévention
- compensatoire
Explication : Le contrôle d’accès interdit aux intrus d’accéder aux données sensibles et aux réseaux. Il existe différentes technologies pour implémenter des stratégies de contrôle d’accès efficaces.
3. Une bannière d’avertissement indiquant les conséquences en cas de non-respect d’une politique d’entreprise s’affiche chaque fois qu’un utilisateur se connecte à l’ordinateur Quel type de contrôle d’accès est implémenté?
- masquage
- prévention
- dissuasion
- détection
Explication : Des moyens de dissuasion sont mis en place pour décourager les hackers ou pour contrer leur action.
4. Un utilisateur est invité à effectuer une analyse des risques d’une entreprise. L’utilisateur demande la base de données des ressources de l’entreprise qui contient une liste de tous les équipements. L’utilisateur utilise ces informations dans le cadre de l’analyse des risques. Quel type d’analyse des risques peut être effectué?
- facteur d’exposition
- matériel
- quantitative
- qualitative
Explication : Il est possible d’attribuer une valeur à des éléments physiques afin d’effectuer une analyse quantitative.
5. En fonction du processus de gestion des risques, que doit faire l’équipe chargée de la cybersécurité lorsqu’un risque lié à la cybersécurité est identifié?
- Encadrer le risque.
- Évaluer le risque.
- Surveiller le risque.
- Répondre au risque.
Explication : La gestion des risques est un processus formel qui réduit l’impact des menaces et des vulnérabilités. Le processus comprend quatre étapes générales:
- Encadrer le risque – Identifier les menaces dans l’ensemble de l’organisation qui augmentent le risque.
- Évaluer le risque – une fois qu’un risque a été identifié, il est évalué et analysé pour déterminer la gravité de la menace.
- Répondre aux risques – Élaborer un plan d’action pour réduire l’exposition globale de l’entreprise aux risques. La direction doit classer et hiérarchiser les menaces et une équipe détermine comment répondre à chaque menace.
- Surveillez le risque – Examinez en permanence les réductions de risque dues aux actions d’élimination, d’atténuation et de transfert.
6. Un PDG craint qu’en cas de violation des données et d’exposition des données des clients son entreprise soit poursuivie. Il décide alors de contracter une assurance pour son entreprise. Quel type de réduction des risques le PDG met-il en œuvre?
- évitement
- test de transfert
- réduction
- atténuation
Explication : Souscrire une assurance permet de transférer le risque à un tiers.
7. Quelle affirmation décrit un risque de cybersécurité?
- C’est une faiblesse des systèmes d’information.
- C’est une menace qui entraîne la perte de ressources.
- Il s’agit de la probabilité de perte due à une menace.
- Ce sont les dommages subis par un événement qui perturbent les services réseau.
Explication : Le risque est la probabilité de perte due à une menace qui endommage les systèmes d’information ou les ressources de l’entreprise. La vulnérabilité est une faiblesse des systèmes d’information.
8. Quels sont les deux types de contrôles qui sont efficaces après une violation d’une politique de sécurité? (Choisissez deux réponses.)
- correction
- reprise
- prévention
- dissuasion
- compensatoire
Explication : Les organisations mettront en place des contrôles d’accès correctifs après qu’un système ait subi une menace. Les contrôles de sécurité de récupération permettent de rétablir les ressources, les fonctions et les capacités dans un état normal après une violation d’une politique de sécurité.
9. Quelle est la première étape du processus de gestion des risques qui permet de réduire l’impact des menaces et des vulnérabilités?
- Encadrer le risque.
- Évaluer le risque.
- Surveiller le risque.
- Répondre au risque.
Explication : La gestion des risques est un processus formel qui réduit l’impact des menaces et des vulnérabilités. Le processus comprend quatre étapes générales:
- Encadrer le risque – Identifier les menaces dans l’ensemble de l’organisation qui augmentent le risque.
- Évaluer le risque – Une fois qu’un risque a été identifié, il est évalué et analysé pour déterminer la gravité de la menace.
- Répondre aux risques – Élaborer un plan d’action pour réduire l’exposition globale de l’entreprise aux risques. La direction doit classer et hiérarchiser les menaces et une équipe détermine comment répondre à chaque menace.
- Surveillez le risque – Examinez en permanence les réductions de risque dues aux actions d’élimination, d’atténuation et de transfert.
10. Un utilisateur est invité à évaluer l’approche de l’entreprise en matière de sécurité. L’utilisateur examine les tentatives passées d’attaque sur l’entreprise et évalue les menaces et les expositions pour créer un rapport. Quel type d’analyse des risques l’utilisateur peut-il réaliser?
- qualitative
- objective
- subjective
- sur des opinions
Explication : Deux approches sont possibles pour effectuer une analyse de risque: l’approche quantitative et l’approche qualitative. L’analyse qualitative repose sur des opinions et des scénarii.
11. Quel type de contrôle de sécurité inclut les opérations de sauvegarde et de restauration, ainsi que le stockage des données tolérant aux pannes?
- dissuasion
- reprise
- des menaces
- compensatoire
Explication : Les contrôles de sécurité de récupération permettent de rétablir les ressources, les fonctions et les capacités dans un état normal après une violation d’une politique de sécurité.