Registre de risques : « les pirates » ne sont pas une source de risque

Votre rendez-vous du dimanche · Série risques

Depuis le début de la série, votre registre a pris forme. Vous avez nommé les scénarios qui arrêteraient l'entreprise, donné à chacun ses quatre propriétaires, et dimanche dernier, regardé ce que les attaquants voient de vous en premier. Il reste une colonne que presque tous les registres remplissent mal : la source. Celle qui dit qui provoquerait le scénario, et donc à quel point il est probable.

Notre position : « les pirates » ne sont pas une source de risque. C'est un décor. Une source utile dit qui, pourquoi et comment, et elle change quand la menace change.

Ce que « les pirates » empêche de faire

Reprenez la phrase en quatre parties du premier épisode : une source, un événement, ce qui est touché, la conséquence d'affaires. Quand la source s'écrit « les pirates » ou « une cyberattaque », trois choses deviennent impossibles.

• Prioriser. Tous les scénarios ont la même source, donc la même probabilité apparente. On les classe à l'intuition.
• Choisir les contrôles. Un groupe de rançongiciel qui entre par des identifiants volés ne se combat pas comme un fraudeur qui usurpe un fournisseur, ni comme un service de renseignement qui cherche vos plans.
• Réviser. Quand une nouvelle campagne vise votre secteur, rien dans le registre ne dit quelle ligne elle touche.

Ce que ça change : la colonne « source » n'est pas un champ descriptif. C'est elle qui relie le registre au monde extérieur.

Trois questions qui remplacent « les pirates »

Pour chaque scénario, la source s'écrit en une ligne qui répond à trois questions.

1. Qui ? Une catégorie précise, et un nom quand il existe : un groupe de rançongiciel actif au Canada, un fraudeur qui usurpe des fournisseurs, un acteur étatique, un hacktiviste, une personne de l'interne, un prestataire défaillant.
2. Pourquoi ? L'argent, l'espionnage, la perturbation, la visibilité. La motivation dit ce que l'attaquant cherchera chez vous : la trésorerie, les renseignements, les plans, l'arrêt du service.
3. Comment ? La méthode habituelle, surtout l'accès initial : identifiants volés, équipement de bordure non corrigé, hameçonnage, prestataire, faille d'une application exposée. C'est le lien direct avec l'épisode de dimanche dernier : une méthode qui correspond à ce que vous exposez rend le scénario plus probable.

Un exemple, sur le scénario du rançongiciel qui chiffre l'ERP. Avant : « Source : cyberattaque. » Après : « Source : groupes de rançongiciel à motivation financière, opportunistes, qui entrent le plus souvent par des accès à distance ou des équipements de bordure exposés et non corrigés, et revendiquent régulièrement des victimes canadiennes de toutes tailles. » La deuxième version se vérifie, se conteste et se met à jour.

Ce que dit le Centre canadien pour la cybersécurité

L'Évaluation des cybermenaces nationales 2025-2026 du Centre canadien pour la cybersécurité, fondée sur l'information disponible au 20 septembre 2024, donne le cadre de départ pour une organisation d'ici. Trois de ses jugements comptent directement pour un registre. Statut : évaluation officielle du gouvernement du Canada.

• Le rançongiciel est la principale cybermenace criminelle qui pèse sur les infrastructures essentielles du Canada.
• Les acteurs du rançongiciel sont presque certainement opportunistes et ne ciblent pas des industries précises ; un large éventail d'entreprises canadiennes en a été victime.
• La Chine présente la cybermenace étatique la plus sophistiquée et la plus active contre le Canada, et l'évaluation note que l'IA abaisse presque certainement les barrières à l'entrée et améliore la qualité, l'ampleur et la précision des activités malveillantes.

Ce que ça change : pour le rançongiciel, la question n'est pas tant « mon secteur est-il visé ? » que « ma porte d'entrée ressemble-t-elle à celles qu'ils utilisent ? ». Pour l'espionnage, c'est l'inverse : le secteur, les clients et les relations comptent davantage. Une entreprise qui travaille pour la Défense, un laboratoire de recherche ou un fournisseur d'infrastructures essentielles n'a pas la même source de risque qu'un commerce de détail.

Comment la menace fait varier la probabilité

La probabilité d'un scénario ne se décrète pas une fois pour toutes. Trois signaux la font monter ou descendre, et chacun doit pouvoir se citer.

• L'activité. Des acteurs de cette catégorie sont-ils actifs en ce moment contre des organisations de votre pays ou de votre secteur ? Des revendications récentes, un avis d'une autorité, une campagne documentée.
• La correspondance. Leur méthode habituelle correspond-elle à ce que vous exposez ? Un groupe qui entre par les passerelles VPN ne pèse pas de la même façon sur une organisation qui en expose deux non corrigées et sur une autre qui n'en a pas.
• La ressemblance. Leurs victimes récentes vous ressemblent-elles : taille, secteur, région, technologies ?

Pour l'instant, une échelle qualitative suffit : faible, moyenne, élevée, avec une phrase qui dit pourquoi et une source datée. Le chiffrage en fourchettes viendra plus tard dans la série. Ce qui compte aujourd'hui, c'est que chaque probabilité ait une raison écrite, et une date de révision.

Les sources gratuites, et ce que chacune apporte

Pas besoin d'un abonnement pour commencer. Quatre sources publiques couvrent l'essentiel.

1. Le Centre canadien pour la cybersécurité : l'évaluation nationale pour le cadre, ses alertes et avis pour les campagnes en cours qui visent le Canada.
2. Les avis #StopRansomware de la CISA : une fiche par groupe, avec ses techniques, ses accès initiaux habituels et des indicateurs de compromission. Américains, mais les groupes sont souvent les mêmes.
3. MITRE ATT&CK : la liste des groupes documentés, les techniques que chacun utilise et, souvent, les secteurs et pays qu'il a visés. C'est là que le « comment » devient précis.
4. ransomware.live : les revendications publiées sur les sites de fuite, filtrables par pays et par secteur. Statut : revendiqué. Une revendication n'est pas une preuve, mais une série de revendications contre des organisations comme la vôtre est un signal d'activité.

C'est ce qu'on appelle le renseignement sur les menaces (threat intelligence) : non pas un flux de plus, mais une lecture qui dit quelles lignes du registre bougent.

Les quatre pièges

La menace du jour. Chaque article inquiétant fait monter une probabilité, puis on oublie de la redescendre. Révisez à date fixe, chaque trimestre, et entre deux seulement sur un signal qui touche directement un scénario.

La menace exotique. L'acteur étatique sophistiqué occupe la conversation, pendant que la fraude au paiement et le rançongiciel opportuniste font l'essentiel des dégâts dans les organisations comme la vôtre. Gardez les deux, mais ne laissez pas le spectaculaire écraser le probable.

La revendication prise pour une preuve. Un nom sur un site de fuite dit qu'un groupe affirme quelque chose. Il ne dit ni ce qui a été pris, ni comment. C'est un signal d'activité, pas un fait sur la victime.

La menace sans scénario. Une veille qui ne se rattache à aucune ligne du registre est de la lecture, pas de la gestion du risque. Chaque signal retenu doit dire quel scénario il touche.

Le test de la semaine : trente minutes, une colonne

Reprenez vos dix scénarios et la personne qui suit la sécurité chez vous.

1. Pour chaque scénario, réécrivez la source en une ligne : qui, pourquoi, comment.
2. À côté, notez une source publique datée de moins de douze mois qui justifie cette ligne.
3. Sur ransomware.live, filtrez le Canada et votre secteur, et comptez les revendications des quatre-vingt-dix derniers jours. Puis, dans MITRE ATT&CK, regardez l'accès initial habituel d'un des groupes qui apparaissent.

Trois résultats doivent vous alerter. Une source encore écrite « pirates » ou « cyberattaque » : ce scénario ne peut pas être priorisé. Aucune source datée : la probabilité est une opinion. Une probabilité inchangée depuis la création du registre : personne ne le révise.

Ce que vous devriez avoir dimanche prochain

La même page, avec une colonne « source » enfin utile : qui, pourquoi, comment, une source datée, une probabilité qualitative et sa date de révision. Votre registre ne parle plus d'une menace abstraite, mais de celle qui vise réellement des organisations comme la vôtre.

Où FortaRisks intervient

Tenir cette colonne à la main demande une veille que peu d'équipes ont le temps de faire. Forta Radar agrège plus de 100 sources de renseignement sur les menaces, les filtre sur votre pays, votre secteur et votre environnement technique, et décrit les acteurs avec leurs techniques MITRE ATT&CK et leurs victimes récentes. Ces signaux alimentent ensuite Forta Cockpit, la vue des décideurs, où ils viennent éclairer la composante « ciblage » de chaque risque du registre.

Dimanche prochain : les tiers ont leur place dans le registre. Un fournisseur critique n'est pas une ligne d'un autre fichier : c'est une source de risque à part entière, avec ses propres scénarios.

Sources : Centre canadien pour la cybersécurité, Évaluation des cybermenaces nationales 2025-2026 · CISA, avis #StopRansomware · MITRE ATT&CK, groupes · ransomware.live