Cette page rassemble les questions les plus fréquentes sur la démarche de quantification et sur l’usage de la plateforme Citalid Core. Elle s’adresse aussi bien à un nouvel utilisateur qu’à quelqu’un qui doit expliquer la démarche autour de lui.

Qu’est-ce que la quantification du risque cyber, en une phrase ?

C'est le fait d'exprimer un risque cyber en euros (combien il peut coûter, à quelle fréquence) plutôt qu'en niveaux qualitatifs du type « faible / moyen / élevé ».

Pourquoi passer de « risque élevé » à un montant en euros ?

Parce qu’un niveau qualitatif ne permet pas de décider. « Risque élevé » ne se compare ni au coût du projet de sécurité censé le réduire, ni à un autre risque de l’entreprise, ni au montant d’une police d’assurance. La quantification ne rend pas le risque plus certain : elle le rend comparable et discutable.

Est-ce qu’un chiffre de perte n’est pas une fausse précision ?

C’est l’objection la plus légitime, et la réponse tient en deux points. D’abord, la plateforme ne produit pas un chiffre unique mais une fourchette : une moyenne, un minimum, un maximum, et des seuils de type VaR ou TVaR qui décrivent explicitement l’incertitude au lieu de la masquer. Ensuite, une estimation chiffrée expose son raisonnement : les hypothèses de fréquence, d'ampleur, de niveau de protection sont visibles et contestables. Une matrice de criticité, elle, ne montre rien de son raisonnement. L’enjeu n’est pas d’être exact, il est d’être défendable.

On n’a pas de données historiques d’incidents. Est-ce que la démarche tient quand même ?

Oui, et c’est même le cas général : très peu d’organisations ont assez d’incidents passés pour en tirer des statistiques. C’est précisément pourquoi le modèle s'appuie sur la donnée de menace externe collectée par les analystes CTI de Citalid (ce qui se passe réellement dans votre secteur, dans vos géographies) plutôt que sur votre seul historique interne, ainsi que sur des modèles de simulations probabilistes venant compenser le manque de données empiriques.

En quoi Citalid est différent d’une analyse de risque classique type EBIOS RM ?

Les deux ne s’opposent pas. EBIOS RM structure la réflexion : quels événements redoutés, quels chemins d’attaque, quelles parties prenantes. Citalid reprend cette logique de scénarios et y ajoute la valorisation financière et la mise à jour dynamique par la menace réelle. Vous pouvez très bien avoir mené une démarche EBIOS RM et l’utiliser comme point de départ.

À qui s’adresse la plateforme ?

Principalement aux RSSI et Risk Managers, qui construisent et pilotent l’analyse. Mais la finalité de la quantification est de produire un langage commun avec des interlocuteurs non techniques : direction financière, direction générale, comité d’audit, conseil d’administration, assureurs et courtiers.

Par où commencer ?

Par la création d’un périmètre : l’entité que vous voulez analyser. Rien ne peut être calculé tant qu’un périmètre n’existe pas. La séquence naturelle est ensuite : renseigner le profil de défense, modéliser des scénarios de risque, consulter les résultats, puis travailler les leviers de traitement (réduction, puis transfert vers l’assurance).

Combien de temps faut-il pour obtenir un premier résultat ?

Cela dépend surtout de la disponibilité des informations à renseigner sur le périmètre et sur le niveau de sécurité. Votre Customer Success Manager Citalid vous accompagne sur ce premier paramétrage : c'est un cas de figure courant, et vous n'êtes pas censé le faire seul.

Faut-il être expert en cybersécurité pour utiliser la plateforme ?

Non pour lire et exploiter les résultats. Oui, au moins partiellement, pour renseigner le profil de défense, qui suppose de savoir quelles mesures de sécurité sont réellement en place et à quel degré de maturité.

Que se passe-t-il si je me trompe dans le paramétrage ?

Rien d’irréversible : tous les objets de la plateforme sont modifiables, et le journal de logs conserve la trace des changements. Après une modification structurante, il faut simplement relancer les calculs pour que les résultats reflètent le nouvel état.

Combien de périmètres puis-je créer ?

Cela dépend de votre configuration contractuelle. Si vous avez besoin d’ajouter des entités au-delà de la limite en vigueur, contactez votre Customer Success Manager.

Pourquoi les résultats sont-ils présentés en fourchette plutôt qu’en chiffre unique ?

Parce que le calcul repose sur une simulation qui explore des dizaines de milliers de combinaisons plausibles. Elle produit donc une distribution de pertes possibles, dont on extrait plusieurs lectures : la moyenne pour budgéter, les valeurs extrêmes pour se préparer au pire.

Quelle valeur dois-je regarder : la moyenne, le maximum, la VaR ?

Cela dépend de la décision. Pour un arbitrage budgétaire courant, la moyenne est la bonne référence. Pour fixer un seuil de tolérance ou dimensionner une couverture d’assurance, les valeurs de queue de distribution (VaR, TVaR) sont plus pertinentes, car ce sont les scénarios graves qui menacent réellement l’organisation. En revanche, si l’objectif est de connaître le montant d’un incident de risque, de façon unitaire, alors c’est la Loss Event Magnitude qu’il convient d’observer (coût d’une attaque réussie).

Mes résultats affichent un bandeau indiquant qu’ils sont obsolètes. Pourquoi ?

Parce qu'un élément structurant a changé depuis le dernier calcul : le périmètre, le profil de défense ou un scénario. Les résultats affichés ne reflètent donc plus la configuration actuelle. Relancez les calculs depuis le bandeau pour les mettre à jour.

Les résultats changent alors que je n’ai rien modifié. Est-ce normal ?

Oui. Le modèle est alimenté en continu par la donnée de menace : si l’activité observée dans votre secteur évolue, votre exposition évolue aussi. C’est le principe même d’une analyse dynamique, par opposition à une analyse figée une fois par an.

Comment savoir si le modèle est fiable ?

Trois éléments y contribuent : les hypothèses sont explicites et consultables scénario par scénario, la donnée de menace est sourcée par les analystes CTI de Citalid, et le journal de logs conserve la trace de tout ce qui a été modifié et par qui. Un résultat que vous ne pouvez pas expliquer à votre comité n'a pas de valeur : la traçabilité fait donc partie du livrable.

Puis-je exporter les résultats pour une présentation ?

Oui, des exports sont disponibles selon les modules : au format tableur pour le détail exploitable, et sous forme de rapport pour un usage de présentation. Le module d’assurance propose par ailleurs un rapport exécutif dédié.

Quelle est la différence entre réduire et transférer un risque ?

Réduire, c’est agir sur le risque lui-même : déployer des mesures de sécurité pour diminuer la probabilité qu’une attaque réussisse ou l’ampleur de ses conséquences. Transférer, c’est en faire porter les conséquences financières par un tiers, en pratique un assureur. L’assurance ne réduit en rien la probabilité d’être attaqué : les deux leviers sont complémentaires, pas substituables.

Comment savoir quel projet de sécurité lancer en priorité ?

En comparant, pour chaque projet, son coût et la réduction d’exposition qu’il permet. C’est l’objet de la feuille de route : les projets ne se hiérarchisent pas par leur intérêt technique mais par leur rendement sur le risque.

La plateforme me dit-elle si je suis bien assuré ?

Elle vous donne les éléments pour en juger : ce que votre programme couvre réellement, perte par perte, et surtout ce qui reste à votre charge après indemnisation : franchise, exclusions, et pertes dépassant les plafonds. Elle ne délivre pas de recommandation de souscription : la décision reste la vôtre, avec votre courtier.

Puis-je comparer plusieurs offres d’assurance avant un renouvellement ?

Oui. C’est le cas d’usage principal du module : vous modélisez plusieurs programmes en parallèle, un seul étant marqué comme celui en vigueur, et vous comparez leur effet sur un même scénario.

Pourquoi analyser le risque porté par mes fournisseurs ?

Parce qu’une part importante des attaques passe par un tiers : prestataire informatique, éditeur logiciel, sous-traitant disposant d’un accès. Votre propre niveau de sécurité ne dit rien du leur, et la réglementation (DORA en particulier pour le secteur financier) impose désormais de s'en préoccuper formellement.

Faut-il analyser tous mes fournisseurs ?

Non, et ce serait contre-productif. La démarche est progressive : une évaluation légère sur un large ensemble permet d’identifier les tiers critiques, sur lesquels une analyse approfondie se justifie ensuite.

Qui peut voir quoi dans la plateforme ?

Les droits sont gérés par rôle. Au niveau d’un périmètre, la logique générale est un accès en consultation largement ouvert : le Manager a une capacité de modification complète (y compris les polices d’assurance), l’Opérateur peut modifier certains objets (profils de défense, solutions de sécurité, scénarios en brouillon) mais pas les polices d’assurance, et l’Observateur est en lecture et export uniquement. L’Administrateur est un rôle distinct, indépendant des périmètres : il gère l’instance Citalid dans son ensemble. Le détail des droits par périmètre est décrit dans la Section 1, celui du rôle Administrateur dans la Section 0, et celui de l’assurance dans la card dédiée de la Section 3.

Toutes les actions sont-elles tracées ?

Oui. Le journal de logs, accessible depuis l’onglet Historique, enregistre les actions utilisateurs et les événements système avec leur horodatage et leur auteur.

Puis-je conserver une trace d’une analyse telle qu’elle a été présentée ?

Oui, via les snapshots : une photographie figée de l’état de la plateforme à une date donnée, consultable ensuite en lecture seule.

En quelle langue est disponible l’interface ?

Selon la configuration de votre instance, un sélecteur de langue est disponible en haut à droite de l’interface.

Comment signaler un problème ou proposer une amélioration ?

Via l’icône « Ampoule » en haut à droite de l’interface, qui donne accès aux actions « Suggérer une amélioration » et « Nous contacter », ainsi qu’aux notes de mise à jour de la plateforme.