Français
Menu

Cyberattaques et défense en pratique

Pour les dommages causés par les rançongiciels, la perte par incident (SLE) est estimée à 40 millions de yens et le nombre annuel d'occurrences (ARO) à 0,5. La mesure A coûte 6 millions de yens par an et réduit les occurrences à 0,2 par an. La mesure B coûte 3 millions de yens par an et ne change pas le nombre d'occurrences, mais accélère le rétablissement, ce qui réduit la perte par incident à 24 millions de yens. Avec la perte attendue par an ALE = SLE × ARO et ROSI = (réduction de l'ALE − coût annuel de la mesure) ÷ coût annuel de la mesure, quelle association entre la mesure au ROSI le plus élevé et sa valeur est correcte ?

  1. AMesure B, environ 167 %
  2. BMesure A, 100 %
  3. CMesure B, environ 267 %
Afficher la réponse et l'explication

Réponse : A. Mesure B, environ 167 %

L'ALE avant les mesures est de 40 millions de yens × 0,5 = 20 millions de yens. Après la mesure A, elle est de 40 millions de yens × 0,2 = 8 millions de yens, soit une réduction de 12 millions de yens, et le ROSI vaut (12 millions − 6 millions) ÷ 6 millions = 1,0, soit 100 %. Après la mesure B, elle est de 24 millions de yens × 0,5 = 12 millions de yens, soit une réduction de 8 millions de yens, et le ROSI vaut (8 millions − 3 millions) ÷ 3 millions ≈ 1,67, soit environ 167 % ; B donne donc plus d'effet par unité de coût. Le bénéfice net (réduction − coût) est toutefois de 6 millions de yens pour A et de 5 millions de yens pour B, plus grand pour A ; selon les contraintes budgétaires, on décide donc en regardant à la fois le ratio et le montant.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?
  2. Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?
  3. La Cyber Kill Chain présentée par Lockheed Martin en 2011 divise le déroulement d'une attaque ciblée en sept étapes. Quel ordre des étapes est correct ?
  4. MITRE ATT&CK est une base de connaissances qui classe les méthodes observées lors d'attaques réelles en « tactiques », qui représentent les objectifs de l'attaquant, et en « techniques », qui représentent les moyens concrets d'atteindre ces objectifs. Quelle association entre une action observée et la tactique dont elle relève est correcte ?
  5. Parmi les propositions suivantes, laquelle est une méthode d'« accès initial », par laquelle un attaquant pénètre pour la première fois dans le réseau d'une organisation ?