La méthode
FAIR (Factor Analysis of Information Risk) décompose le risque en deux facteurs : la fréquence des événements de perte et l’ampleur des pertes. La fréquence dépend elle-même de la fréquence des tentatives de la menace et de la vulnérabilité, c’est-à-dire la probabilité qu’une tentative réussisse.
Les pertes sont réparties entre pertes primaires (réponse, remplacement, productivité) et secondaires (amendes, réputation, avantage concurrentiel). Chaque facteur est estimé par une plage (minimum, valeur la plus probable, maximum), puis combiné par simulation de Monte Carlo.
Le résultat est une distribution des pertes annuelles, exprimée en monnaie. La taxonomie et la méthode sont publiées par The Open Group sous le nom Open FAIR.
Quand l’utiliser
- Pour comparer des risques cyber sur une échelle commune et compréhensible par la direction.
- Pour évaluer le gain d’une mesure de sécurité par rapport à son coût.
- En complément d’une analyse qualitative (EBIOS RM, ISO 27005) sur les scénarios prioritaires.
Points d’attention
- Les plages doivent s’appuyer sur des données ou des experts calibrés, pas sur des chiffres ronds.
- Un scénario mal cadré (actif ou menace trop large) rend les estimations inutilisables.
- Présenter les résultats comme des ordres de grandeur, avec leurs hypothèses.
Étapes
- Définir le scénario : actif, menace, effet redouté.
- Estimer la fréquence des événements de perte, directement ou via fréquence de la menace et vulnérabilité.
- Estimer l’ampleur des pertes primaires et secondaires par des plages.
- Combiner par simulation et lire la distribution des pertes annuelles.
- Comparer les scénarios et l’effet des mesures envisagées.
Outils FAIR
Liste issue du catalogue Aurorisk, liens contrôlés le 2026-09-26. Les accès gratuits établis sont listés en premier ; les informations inconnues sont indiquées.
| Outil | Source · licence · accès | Portée | Description |
|---|---|---|---|
| FAIR Institute — FAIR-U ↗ | Association ou fondationGratuit | États-Unis | Application gratuite d’apprentissage de FAIR. |
| Open FAIR (The Open Group) ↗ | Association ou fondation | International | Standard et référentiel Open FAIR. |
| Safe Security ↗ | Éditeur commercial | International | Plateforme de quantification du risque cyber. |
Normes et références
- The Open Group — Open FAIR (O-RT, O-RA)