Ce glossaire réunit les termes rencontrés dans le guide et dans la plateforme Citalid Core. Il est écrit pour être lisible sans connaissance préalable en cybersécurité, en gestion des risques ou en assurance. Les définitions sont regroupées par thème plutôt que par ordre alphabétique, pour pouvoir être lues d’affilée.

Risque

La possibilité qu’un événement indésirable survienne et cause un dommage. Un risque cyber se décrit toujours par des conditions d’existence : une surface exposée et une démarche malveillante. Sans cette volonté de nuire, le risque cyber n’existe pas (un incident de prod. n’est donc pas un risque cyber, ni un défaut de conformité).

Il s’évalue au travers de deux dimensions : à quelle fréquence il peut survenir, et quel impact il aurait s’il survenait.

Menace

Ce qui peut causer le dommage : un attaquant, un Mode Opératoire d’Attaque (MOA), un groupe criminel, un service étatique. La menace existe indépendamment de vous : elle n'est pas quelque chose que vous contrôlez.

Vulnérabilité

Une faiblesse qui permet à la menace d’aboutir : un logiciel non mis à jour, une absence de double authentification, un processus mal conçu. Contrairement à la menace, la vulnérabilité est de votre côté, donc actionnable.

Exposition

La mesure de ce que vous risquez de perdre. Dans Citalid, l’exposition est exprimée en euros et résulte du croisement entre la menace réelle qui vous vise et votre niveau de protection.

Risque résiduel

Ce qui reste du risque une fois les mesures de protection appliquées, et le cas échéant une fois l’assurance déduite. C’est la grandeur qui compte pour décider : le risque brut, avant traitement, n’engage aucune décision.

Quantification du risque cyber (CRQ, pour Cyber Risk Quantification)

La démarche qui consiste à exprimer le risque cyber en montants financiers plutôt qu’en niveaux qualitatifs. Là où une approche classique conclut « risque élevé », une approche quantifiée conclut « perte moyenne estimée à 4,2 M€ par an, avec un scénario extrême à 30 M€ ». C’est le métier de Citalid.

Approche qualitative

L’approche traditionnelle : classer les risques en faible / moyen / élevé, souvent sur une matrice de criticité à deux axes. Simple à produire, mais deux personnes ne mettent pas la même chose derrière « élevé », et un niveau de criticité ne se compare pas au coût d’un projet de sécurité.

Approche quantitative

L’approche retenue par Citalid : estimer une fréquence et un montant, puis les combiner pour produire une distribution de pertes possibles. Elle ne prétend pas prédire l’avenir ; elle rend le raisonnement explicite, comparable d’un risque à l’autre, et discutable par un tiers.

Fréquence d’événement de perte (LEF, pour Loss Event Frequency)

Le nombre de fois par an où l’on estime qu’un scénario d’attaque aboutit effectivement à une perte. Une fréquence peut être inférieure à 1 : une LEF de 0,2 signifie « en moyenne une fois tous les cinq ans ».

Ampleur de la perte (LEM, pour Loss Event Magnitude)

Le montant de la perte si l’événement survient une fois. C’est une valeur par incident, pas par an. Elle agrège toutes les natures de perte : interruption d’activité, remédiation, notification, sanctions, préjudice de réputation.

Fréquence de ciblage (TEF, pour Threat Event Frequency)

Le nombre de tentatives d’attaque par an, avant de savoir si elles réussissent. La LEF est le sous-ensemble des tentatives qui aboutissent : plus la protection est forte, plus l’écart entre TEF et LEF est grand.

Susceptibilité (Vuln.)

Elle fait référence au taux de compromission d’un système d’information ou d’un bien support, en tenant compte à la fois de son niveau de maturité (déclarée) et de la sophistication de la menace cyber, contextualisée.

Perte annualisée (souvent notée MAE, ou exposition annuelle)

Le produit de la fréquence par l’ampleur, ramené à l’année. C’est la grandeur qui permet de comparer un risque cyber à n’importe quelle autre ligne budgétaire.

Simulation de Monte-Carlo

La technique de calcul utilisée pour combiner des estimations incertaines. Plutôt que de multiplier deux chiffres uniques, on tire au sort des dizaines de milliers de combinaisons plausibles pour obtenir non pas un résultat, mais une distribution de résultats possibles.

Distribution de pertes

Le résultat d’une simulation : l’ensemble des montants de perte possibles avec leur probabilité. C'est ce qui permet de distinguer le cas courant du cas catastrophique, une information qu'un chiffre unique ne peut pas porter.

Value at Risk (VaR)

Un seuil de perte associé à un niveau de confiance. Une VaR à 95 % de 12 M€ signifie : dans 95 % des cas simulés, la perte reste inférieure à 12 M€. C’est une façon de chiffrer le « mauvais scénario » sans se limiter à la moyenne.

Tail Value at Risk (TVaR)

La perte moyenne dans les cas les plus graves, au-delà du seuil de la VaR. Là où la VaR dit « on ne dépasse pas 12 M€ dans 95 % des cas », la TVaR à 95 % répond à la question suivante : « et dans les 5 % restants, combien perd-on en moyenne ? ». Elle est plus prudente que la VaR et se prête mieux aux décisions de couverture.

Périmètre

L’entité sur laquelle porte une analyse : une entreprise, une filiale, une business unit, un site. Un périmètre porte les informations qui contextualisent le calcul : secteur d'activité, géographies, chiffre d'affaires, biens supports. Rien ne peut être analysé dans Citalid tant qu’un périmètre n’a pas été créé.

Sous-périmètre

Un périmètre rattaché à un périmètre parent, permettant de modéliser une organisation à plusieurs niveaux (groupe, filiales, entités locales) et de comparer les entités entre elles.

Bien support

Un élément du système d’information nécessaire à une activité : une application métier, un serveur, un annuaire, un prestataire d’hébergement. Les biens supports servent à décrire par où une attaque peut passer et ce qu’elle peut atteindre.

Valeur métier

Un actif business (donnée, processus, service) dont la compromission serait dommageable pour l’organisation. Elle est portée par un ou plusieurs biens supports, et sert de point d’ancrage pour objectiver l’impact financier d’un scénario de risque.

Événement redouté

Une situation de risque définie par un triptyque : une atteinte (disponibilité, intégrité ou confidentialité), un bien support qui la subit, une valeur métier qui en pâtit. Exemple : un défaut de confidentialité sur un serveur entraînant une fuite de données. Approche issue d’EBIOS Risk Manager, optionnelle et réservée aux utilisateurs avancés de la quantification.

Profil de défense

La représentation du niveau de sécurité d’un périmètre : quelles mesures de sécurité sont en place, à quel degré de maturité. C’est l’un des deux intrants majeurs du calcul, avec la menace. Un même scénario d’attaque n’aboutit pas au même résultat selon le profil de défense du périmètre visé.

Score de défense

La note synthétique issue du profil de défense. Elle agrège les niveaux de maturité déclarés et permet de suivre l’évolution de la posture de sécurité dans le temps.

Maturité défensive

Le degré de mise en œuvre effective d'une mesure de sécurité, de « inexistante » à « déployée et pilotée ». Une mesure décidée mais non déployée n’a pas d’effet sur le risque, et la maturité sert précisément à faire cette différence.

Susceptibilité

La probabilité qu’une attaque donnée réussisse contre le périmètre, compte tenu de son profil de défense. C’est le point de rencontre entre la menace extérieure et la protection interne : c’est elle qui transforme une fréquence de tentatives en fréquence de pertes.

Scénario de risque

La description d’une situation d’attaque redoutée : quel acteur, par quel chemin, contre quel bien support, avec quelles conséquences. Le scénario est l'unité de calcul de la plateforme : tous les résultats financiers sont produits scénario par scénario.

Profil de défense « Risque Brut »

Un profil de référence, non modifiable, dans lequel tous les contrôles sont évalués à 0 : il représente une organisation sans aucune mesure de sécurité et sert à mesurer le risque brut, avant protection. Il coexiste automatiquement avec le profil « Aujourd’hui » dès qu’un périmètre est créé.

Profil de défense « Aujourd’hui » / « Cible »

Deux photographies du niveau de sécurité : l’état actuel (« Aujourd’hui », le profil principal, à renseigner en priorité), et l’état visé une fois la feuille de route réalisée. Contrairement à « Risque Brut » et « Aujourd’hui », le profil « Cible » n’est pas créé automatiquement : il résulte d’une duplication manuelle du profil actuel, via une simulation de dette de sécurité. Comparer « Aujourd’hui » et « Cible » permet de chiffrer ce que les investissements de sécurité prévus feraient réellement gagner.

Feuille de route (plan d’action)

L’ensemble des projets de sécurité planifiés dans le temps, avec leur coût et leur effet attendu sur le risque. C’est l’outil de pilotage du volet réduction du risque.

Projet de sécurité

Une action de réduction du risque inscrite dans la feuille de route : déploiement d’un outil, mise en conformité, chantier organisationnel. Chaque projet porte un coût et un gain de maturité.

Solution de sécurité

Un outil ou dispositif effectivement déployé dans l’organisation, déclaré dans la plateforme pour alimenter le profil de défense.

Exigence de sécurité

Un niveau de sécurité attendu, que l’on se fixe comme cible ou que l’on impose à un tiers.

Tableau de comparaison

Une vue permettant de mettre en regard plusieurs périmètres, scénarios ou profils de défense, pour arbitrer entre plusieurs options.

Snapshot (Platform Snapshot)

Une photographie figée de l’état de la plateforme à une date donnée, consultable en lecture seule. Utile pour conserver la trace d’une analyse telle qu’elle a été présentée à un comité.

Journal de logs

L'enregistrement horodaté de toutes les actions réalisées sur la plateforme : qui a fait quoi, quand, sur quel objet. Il constitue la piste d’audit de l’analyse.

Rôle de périmètre (Manager / Opérateur / Observateur)

Le niveau de droits d’un utilisateur sur un périmètre donné et ses sous-périmètres, sur lesquels il est hérité automatiquement. Le Manager peut lire, écrire, valider et supprimer les scénarios, profils de défense et solutions de sécurité du périmètre, et dispose des mêmes droits complets sur les polices d’assurance. L’Opérateur peut créer et modifier des profils de défense et des solutions de sécurité, mais seulement des scénarios en brouillon ; ils doivent être validés par un Manager pour entrer dans le calcul du risque ; sur les polices d’assurance, ses droits se limitent à la consultation et à l’export. L’Observateur dispose uniquement d’un accès en lecture. Selon les modules de la plateforme, ces rôles peuvent apparaître sous leur nom anglais : Manager, Operator (Opérateur), Viewer (Observateur).

Rôle d’administration (Admin / Administrateur)

Un rôle distinct des rôles de périmètre ci-dessus : il porte sur la gestion de l'instance Citalid dans son ensemble (utilisateurs, authentification, réglages globaux ; voir Section 0 : Interface d'administration, qui fait foi sur ce rôle), et non sur un périmètre en particulier. C’est ce même rôle que désignent les mentions « Admin » dans les tableaux de droits par module.

Mode opératoire d’attaque (MOA)

La façon de procéder d’un attaquant identifié : ses cibles habituelles, ses outils, ses techniques. Citalid raisonne en modes opératoires plutôt qu’en groupes d’individus, car c’est le comportement observable qui permet d’estimer une menace.

Acteur de la menace (threat actor)

L’entité à l’origine d’une attaque. Les grandes typologies utilisées dans la plateforme sont : le criminel (motivé par le gain), le criminel affilié (organisation structurée et hiérarchisée), l’État-nation (opérant pour le compte d’un État), l’hacktiviste (motivé par une cause) et le loup solitaire (agissant isolément).

APT (Advanced Persistent Threat)

Une attaque menée par un acteur disposant de moyens importants, capable de rester présent longtemps dans un système d’information sans être détecté, avec des techniques adaptées spécifiquement à sa cible. Typiquement associé aux acteurs étatiques.

Rançongiciel (ransomware)

Une attaque qui chiffre les données de la victime et exige une rançon pour les restituer. Les variantes récentes y ajoutent le vol préalable des données et la menace de publication : la sauvegarde ne suffit alors plus à neutraliser la menace.

Déni de service (DDoS)

La saturation volontaire d’un service par un afflux de trafic illégitime, pour le rendre indisponible.

Attaque sur la chaîne d’approvisionnement (supply chain)

Une attaque qui passe par un fournisseur ou un prestataire pour atteindre sa cible réelle. C’est le risque que traite le module Third Party.

Surface d’attaque

L’ensemble des points par lesquels une attaque peut entrer : services exposés sur Internet, comptes utilisateurs, accès de prestataires. Plus elle est étendue, plus les occasions d’intrusion sont nombreuses.

Kill Chain

La séquence des étapes d’une attaque, de la reconnaissance initiale jusqu’à l’action finale sur la cible. Elle sert à identifier à quelles étapes une mesure de sécurité peut interrompre la progression de l’attaquant.

TTP (tactiques, techniques et procédures)

La description normalisée des façons de faire d’un attaquant, généralement selon le référentiel public MITRE ATT&CK. C’est ce qui permet de comparer des attaques entre elles de manière rigoureuse.

Cyber Threat Intelligence (CTI)

Le renseignement sur la menace cyber : la collecte, la vérification et l’analyse d’informations sur les attaquants et leurs campagnes, pour éclairer une décision. Chez Citalid, la CTI n'est pas un contenu d'illustration : c'est la matière première qui alimente les modèles de calcul.

CTI stratégique, tactique, opérationnelle

Trois horizons : la CTI stratégique éclaire des décisions de long terme (qui nous vise, quelles tendances) ; la tactique décrit les modes opératoires ; l’opérationnelle fournit des éléments immédiatement exploitables par les équipes de défense. Le Threat Intelligence Center de Citalid relève principalement du niveau stratégique.

OSINT (Open Source Intelligence)

Le renseignement issu de sources ouvertes et accessibles publiquement : publications d’agences nationales de cybersécurité, rapports d’éditeurs, presse spécialisée. C’est la base du travail des analystes CTI de Citalid.

Panorama de la menace

La vue agrégée, dans la plateforme, des secteurs, géographies et acteurs les plus actifs sur une période donnée.

Police d’assurance cyber

Un contrat transférant à un assureur une partie des conséquences financières d’un incident cyber. Elle couvre généralement les frais de réponse à incident, les pertes d'exploitation, les frais de notification et certaines responsabilités envers des tiers ; et exclut généralement les actes de guerre, certaines défaillances non corrigées et les sanctions non assurables.

Tour d’assurance (insurance tower)

Un programme d’assurance composé de plusieurs polices superposées en étages. Le premier étage indemnise en premier ; le suivant prend le relais lorsque le précédent est épuisé. C’est la structure habituelle des programmes d’entreprise.

Étage (layer)

Une police au sein d’une tour. La police de première ligne définit le cadre général de la couverture ; les étages supérieurs interviennent au-delà.

Plafond de garantie (limit)

Le montant maximal que l'assureur versera : par sinistre, par an, ou les deux. Au-delà, la perte reste à la charge de l’assuré.

Sous-limite

Un plafond réduit qui s’applique à une garantie particulière, indépendamment du plafond général. Une police à 50 M€ peut ainsi ne couvrir la fraude qu’à hauteur de 5 M€.

Franchise (deductible ou retention)

La part de la perte qui reste systématiquement à la charge de l’assuré avant que l’assureur n’intervienne.

Sous-franchise

Une franchise spécifique applicable à une garantie donnée, à la place de la franchise générale.

Prime

Le montant payé chaque année pour bénéficier de la couverture. La prime est un coût, pas une déduction de la perte : elle n’entre pas dans le calcul de l’indemnisation.

Exclusion

Un risque explicitement non couvert par le contrat. Une exclusion ne fait pas disparaître la perte : elle supprime son indemnisation, et la perte reste donc intégralement à la charge de l’organisation.

Transfert du risque

Le fait de faire porter une partie du risque par un tiers, typiquement un assureur. À distinguer de la réduction du risque, qui consiste à diminuer la probabilité ou l’impact de l’événement lui-même. Les deux leviers sont complémentaires : l’assurance ne réduit pas la probabilité d’être attaqué.

Courtier

L’intermédiaire qui conçoit le programme d’assurance et négocie avec les assureurs pour le compte de l’entreprise.

Sinistre (claim)

La survenance d’un événement couvert et la demande d’indemnisation qui en découle.

EBIOS Risk Manager

La méthode française d’analyse du risque numérique, publiée par l’ANSSI, organisée en cinq ateliers allant du cadrage à la définition du plan de traitement. Elle structure la réflexion sur les scénarios redoutés ; Citalid s’y adosse tout en apportant la valorisation financière qu’une méthode qualitative ne produit pas.

FAIR (Factor Analysis of Information Risk)

Le cadre de référence international de la quantification du risque en information, qui décompose le risque en fréquence et en ampleur de perte. C’est de lui que proviennent les notions de LEF, TEF et LEM utilisées dans la plateforme.

ISO 27001 / NIST CSF / CIS Controls

Les principaux référentiels de mesures de sécurité, utilisés pour structurer un profil de défense et évaluer une maturité. Ils décrivent ce qu’il convient de mettre en place ; ils ne chiffrent pas le risque.

DORA (Digital Operational Resilience Act)

Le règlement européen sur la résilience opérationnelle numérique du secteur financier, applicable depuis janvier 2025. Il impose notamment une gestion formalisée du risque lié aux prestataires informatiques et des tests de résilience.

NIS2

La directive européenne sur la cybersécurité, qui élargit considérablement le nombre de secteurs et d’entités soumis à des obligations de sécurité et de notification d’incident, avec une responsabilité explicite des organes de direction.

RGPD

Le règlement européen sur la protection des données personnelles. Son volet cyber le plus structurant est l’obligation de notifier une violation de données à l’autorité de contrôle sous 72 heures, et le régime de sanctions associé.