Notation de sécurité externe
Note chiffrée attribuée à une organisation par un prestataire à partir de données observables de l'extérieur, utilisée en souscription et en gestion des fournisseurs, mais dont la corrélation avec la sinistralité reste discutée.
Une notation de sécurité externe est un score, souvent sur une échelle de type crédit, que des prestataires spécialisés calculent pour une organisation à partir de signaux collectés sans son concours : configuration de ses services exposés, rapidité de correction des vulnérabilités, signes de machines compromises communiquant avec des serveurs malveillants, hygiène de la messagerie, fuites d'identifiants. Ces notations sont employées par les assureurs comme variable de sélection et de tarification, par les grandes entreprises pour évaluer leurs fournisseurs, et par les directions générales pour suivre leur propre posture dans le temps. Leur attrait est évident : elles sont comparables, continues et bon marché. Leurs limites le sont aussi. Elles mesurent ce qui se voit de l'extérieur, qui n'est qu'une partie du risque. Elles peuvent attribuer à tort des actifs, pénaliser un hébergeur mutualisé ou ignorer des compensations internes. Et la preuve publique de leur pouvoir prédictif sur la sinistralité reste limitée, les études disponibles émanant souvent des prestataires eux-mêmes. Pour le souscripteur, la notation est un indice utile à combiner avec d'autres, jamais un substitut à l'analyse.
En 2017, la chambre de commerce des États-Unis a publié, avec plusieurs prestataires de notation, des principes pour des notations de sécurité justes et exactes : transparence de la méthode, droit pour l'organisation notée de contester et de corriger les données, et exactitude de l'attribution des actifs, signe que la fiabilité de ces notes était déjà contestée par les entreprises notées.
security rating, cyber security score, score de cybersécurité
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.