Pourquoi le décompte de CVE échoue devant un conseil
La plupart des rapports cyber destinés aux dirigeants sont un échec de traduction. Une diapositive affichant « 4 200 vulnérabilités critiques, en baisse de 6 % ce trimestre » n'apprend rien d'actionnable à un conseil : ce chiffre ne peut être comparé au coût du contrôle qui le ferait baisser, il ne dit pas lesquelles de ces vulnérabilités pourraient réellement causer une perte matérielle, et il n'entre dans aucun cadre que le conseil utilise déjà pour arbitrer.
Résultat : le cyber est financé sur la peur et l'anecdote plutôt que sur la valeur attendue. FAIR existe pour corriger cela — pour exprimer le cyber-risque dans la seule unité que tous les autres risques de l'entreprise parlent déjà : l'argent.
Comment FAIR décompose le risque
FAIR modélise un risque comme la fréquence des événements de perte multipliée par l'ampleur des pertes. La fréquence des événements de perte se décompose en fréquence des événements de menace (à quelle fréquence un acteur malveillant agit contre l'actif) et vulnérabilité (la probabilité que cette action aboutisse). L'ampleur des pertes sépare la perte primaire (coûts directs : réponse, remplacement, indisponibilité) de la perte secondaire (amendes, frais juridiques, retombées de réputation, et la probabilité que ces effets secondaires se matérialisent réellement).
Point essentiel : les analystes ne devinent pas des valeurs uniques. Ils fournissent des plages calibrées — un minimum, une valeur la plus probable et un maximum — qui reflètent l'incertitude réelle. Cela évite la fausse précision qui discrédite la plupart des modèles de risque et impose une conversation honnête sur ce que l'on sait et ce que l'on ignore.
Des plages à une distribution de pertes
Parce que les entrées sont des plages, la sortie est une distribution, et non un chiffre unique. Une simulation de Monte-Carlo échantillonne des milliers de fois dans les plages d'entrée pour produire une courbe des pertes annualisées possibles. On y lit une perte annualisée attendue (la moyenne), mais aussi la queue de distribution — la « mauvaise année » au 90e ou 95e centile, qui pèse souvent davantage pour les décisions de capital et d'assurance.
C'est la même discipline statistique que les équipes de risque de marché et de crédit emploient depuis des décennies. Exprimer ainsi le cyber-risque lui permet de s'insérer directement dans un cadre d'appétence au risque d'entreprise, au lieu de vivre dans un silo séparé et incomparable.
Les données techniques rendent FAIR crédible
FAIR ne vaut que ce que valent ses entrées, et c'est là que les données techniques de sécurité prennent tout leur sens. Les signaux d'exploitabilité — l'inscription d'une vulnérabilité au catalogue des vulnérabilités activement exploitées de la CISA, sa probabilité d'exploitation EPSS — affinent le facteur « vulnérabilité ». La criticité des actifs et l'analyse des chemins d'attaque, qui déterminent si une exposition peut réellement atteindre un système stratégique, affinent l'ampleur des pertes et la fréquence des événements de menace.
Autrement dit, gestion des expositions et FAIR sont complémentaires et non concurrents : le graphe d'exposition indique quelles faiblesses sont atteignables et exploitables, et FAIR convertit cette accessibilité en un montant défendable. Alimentée par la télémétrie en direct, l'estimation se met à jour à mesure que l'environnement change, au lieu d'être le produit d'un atelier annuel.
Le rendre opérationnel
Les organisations qui tirent de la valeur de FAIR le traitent comme une capacité vivante, et non comme un exercice sur tableur. Elles maintiennent une petite bibliothèque de scénarios de risque bien cadrés, les alimentent avec des données d'actifs, d'exposition et de menace en direct, et relancent la quantification à mesure que les conditions évoluent. Lorsqu'une nouvelle vulnérabilité activement exploitée touche un actif critique, la perte annualisée du scénario concerné bouge, et l'argumentaire de remédiation se construit de lui-même.
Bien menée, la démarche FAIR fait passer la conversation sécurité de « nous avons trouvé beaucoup de choses mauvaises » à « voici la perte attendue, voici ce qui la réduit le plus par euro investi, et voici où elle se situe par rapport à notre appétence au risque ». C'est le langage sur lequel un conseil peut agir.