La méthode Open FAIR (Factor Analysis of Information Risk) publiée par The Open Group est aujourd’hui la référence internationale pour la quantification financière du risque cyber. Elle décompose le risque en facteurs élémentaires probabilistes (Loss Event Frequency multiplié par Loss Magnitude, eux-mêmes décomposés en Threat Event Frequency, Vulnerability, Probable Loss Magnitude, Secondary Loss Magnitude) qu’on agrège par simulation Monte Carlo pour produire la distribution de l’Annual Loss Expectancy.
La méthode est rigoureuse. Son application courante en France ne l’est pas. Et cette divergence entre la méthode théorique et sa mise en œuvre opérationnelle produit aujourd’hui des analyses FAIR qui, dans leur écrasante majorité, ne tiendraient pas trente minutes face à un auditeur ANSSI, un commissaire aux comptes ou un assureur cyber qui interrogerait sérieusement leurs fondements.
Le problème central — l’origine des paramètres
Une analyse Open FAIR est essentiellement un assemblage de distributions PERT-Beta. Chaque facteur élémentaire est représenté par une distribution caractérisée par trois valeurs : minimum, mode, maximum. La simulation Monte Carlo tire 10 000 fois ces paramètres et calcule l’Annual Loss Expectancy.
La qualité de l’analyse dépend entièrement de la qualité des paramètres injectés. Si les paramètres sont arbitraires, la sophistication de la simulation ne compense rien. Or, dans la pratique courante observée en France, comment ces paramètres sont-ils calibrés ? Par dire d’expert. Un consultant senior, sur la base de son expérience, propose un triplet (min/mode/max) pour la Contact Frequency, pour la Probability of Action, pour la Threat Capability. Cette estimation est rarement documentée, jamais sourcée, et invariablement renégociée à la mission suivante.
Cette posture est statistiquement non robuste pour plusieurs raisons cumulatives. Premièrement, l’expérience individuelle d’un consultant, même très expérimenté, couvre quelques dizaines d’incidents observés au plus. C’est très loin d’une base de calibration statistique. Deuxièmement, le biais de récence joue à plein : les incidents récents pèsent disproportionnellement sur l’estimation, alors que la fréquence de fond peut être très différente. Troisièmement, le biais de notoriété joue aussi : les acteurs médiatisés sont sur-représentés dans la perception, les acteurs discrets sont sous-représentés. Quatrièmement, la calibration est non reproductible : deux consultants de même expérience produiront deux paramètres différents pour la même organisation.
Pourquoi ces analyses sont indéfendables en audit
Imaginez l’échange suivant en audit ANSSI ex post, après un incident significatif. L’auditeur demande au RSSI de présenter l’analyse de risque qui justifiait l’arbitrage de ne pas investir dans tel contrôle. Le RSSI produit une analyse FAIR avec une distribution d’Annual Loss Expectancy bien dessinée et un investissement qui apparaissait comme insuffisamment rentable à l’époque.
L’auditeur pose une question simple : sur quoi reposait la Contact Frequency de 12 attaques annuelles que vous aviez retenue ? Le RSSI répond que c’était l’estimation de son consultant. L’auditeur insiste : sur quelles sources cette estimation reposait-elle, et comment a-t-elle été calibrée ? Le RSSI ne sait pas. Le consultant non plus, six mois après la mission. L’analyse FAIR perd toute valeur probante. L’arbitrage qu’elle a justifié devient indéfendable.
Cette situation n’est pas théorique. Elle se reproduit régulièrement face aux assureurs cyber qui, depuis trois ans, exigent des analyses de risque structurées pour calibrer leurs primes et leurs exclusions. Une analyse FAIR fondée sur des dires d’experts non traçables ne tient pas leur examen. L’assureur ajuste à la hausse ou refuse de couvrir certains scénarios.
L’alternative observationnelle
Il existe une alternative méthodologique qui résout ce problème, et qui est documentée dans la littérature FAIR Institute depuis plusieurs années sans avoir été véritablement adoptée en France. Cette alternative consiste à dériver les paramètres de menace à partir d’observations publiques structurées plutôt que de dires d’experts.
Concrètement, pour chaque facteur élémentaire, on identifie une source d’observation publique exploitable. La Contact Frequency peut être dérivée de la Cyber Threat Intelligence sectorielle : nombre d’attaques observées dans le secteur du client sur une période de référence, corrigé par un coefficient de sous-déclaration calibré sur des études d’assureurs comme Hiscox ou Coalition. La Probability of Action peut être assignée par archétype d’acteur (script kiddie automatisé, ransomware-as-a-service, étatique espionnage) sur la base de paramètres structurels stables documentés publiquement. La Threat Capability peut être calculée à partir de l’inventaire MITRE ATT&CK des acteurs identifiés, pondéré par le niveau de sophistication des techniques observées.
Aucun dire d’expert dans la chaîne. Chaque paramètre est sourcé, traçable, reproductible. Une analyse conduite ainsi peut être présentée à un auditeur avec la documentation complète des sources, des hypothèses et des coefficients correctifs.
Le traitement explicite des biais
Toute approche fondée sur les observations publiques se heurte à des biais structurels qu’il faut documenter explicitement plutôt que d’ignorer. Cinq catégories de biais affectent la mesure du risque cyber à partir des sources publiques.
Premier biais — sous-déclaration
Les études d’assureurs estiment que 60 à 70 % des incidents cyber ne sont jamais déclarés publiquement. Toute analyse fondée uniquement sur les incidents publiquement connus sous-estime structurellement la fréquence réelle. Un coefficient correctif typique de 2,5 (multiplication par 2,5 du nombre observé) est documenté.
Deuxième biais — médiatisation par taille
Les incidents touchant les grandes entreprises sont sur-médiatisés. Les incidents touchant les PME sont largement invisibles. L’analyse doit pondérer par la taille des organisations observées vs la taille de l’organisation client.
Troisième biais — sectoriel
La fréquence d’attaque varie d’un facteur 3 à 10 selon le secteur. Une analyse non sectorisée moyenne ces variations et produit une estimation peu pertinente.
Quatrième biais — temporel rétrospectif
L’analyse fondée sur les 12 derniers mois capture la menace passée, pas la menace en émergence. Les acteurs nouvellement actifs sont sous-représentés.
Cinquième biais — attribution
L’attribution publique des incidents à un acteur est partielle et parfois inexacte. Une analyse fondée sur les attributions publiques peut sur-pondérer certains acteurs très médiatisés et sous-pondérer les acteurs discrets.
Chacun de ces biais peut être traité par un coefficient correctif documenté, ce qui rend l’analyse robuste face à une contestation méthodologique.
Conséquences pour les auditeurs et assureurs
Pour les organisations qui souhaitent que leur analyse FAIR tienne face à un audit ou une négociation d’assurance cyber, trois exigences pratiques s’imposent.
Première exigence : tout paramètre doit être documenté avec sa source. Si la source est un dire d’expert (ce qui reste légitime dans certains cas), le dire doit être explicité et signé par l’expert. Pas de paramètre orphelin dans l’analyse.
Deuxième exigence : les biais structurels mobilisés doivent être nommés et leurs coefficients correctifs documentés. Une analyse silencieuse sur les biais est suspecte par défaut.
Troisième exigence : l’analyse doit être reproductible. Une autre équipe disposant des mêmes sources et des mêmes coefficients doit pouvoir refaire la simulation et obtenir des résultats statistiquement comparables. Cette reproductibilité est ce qui distingue une démarche scientifique d’une opinion structurée.
En conclusion
Open FAIR est une méthode rigoureuse. Sa mise en œuvre courante en France ne l’est pas, parce qu’elle repose massivement sur des dires d’experts non documentés. Cette divergence n’est pas anodine : elle prive les organisations de la valeur défensive que la méthode pourrait leur apporter face aux auditeurs, assureurs et autorités de contrôle.
Pour les RSSI qui pilotent ce sujet en 2026, l’inversion méthodologique nécessaire, passer du dire d’expert par défaut à l’observation par défaut, est probablement le chantier de quantification du risque le plus rentable des trois prochaines années. C’est aussi l’un des plus exigeants à conduire, parce qu’il suppose de constituer un pipeline d’observation structuré et un référentiel de coefficients correctifs documenté. Mais c’est précisément cette exigence qui garantit la valeur du résultat.
Les experts Tricolor Expertise sont là pour vous accompagner, n’hésitez pas à nous contacter.
Sources : Jack Jones, Jack Freund, Measuring and Managing Information Risk: A FAIR Approach (Butterworth-Heinemann, 2014) ; Open FAIR Risk Taxonomy, The Open Group ; Hiscox Cyber Claims Report (publications annuelles) ; Coalition Cyber Claims Report ; framework MITRE ATT&CK.
Commentaires récents