Risque cyber oublié dans la cartographie : jusqu'où va votre responsabilité ?

Il fut un temps où ignorer le numérique dans une cartographie des risques pouvait passer pour une lacune mineure. Ce temps est révolu. Pour toute organisation connectée — c'est-à-dire la quasi-totalité — le risque cyber figure désormais parmi les premières menaces, tant par sa fréquence que par sa gravité : rançongiciel paralysant la production, exfiltration de données clients, fraude au virement, indisponibilité de systèmes critiques.

Pour un consultant en gestion de risque, cela change tout sur le terrain de la responsabilité. Le cyber est devenu le risque que les règles de l'art imposent d'examiner. Le sous-pondérer dans une cartographie globale, ou pire l'omettre, n'est plus une simple imperfection méthodologique : c'est un écart difficilement défendable face à un client qui subit ensuite une attaque.

La chaîne qui mène à la mise en cause est implacable :

1. Vous livrez une cartographie des risques qui traite abondamment le financier, l'opérationnel et le juridique, mais survole le cyber — quelques lignes génériques, pas de scénario, pas de quantification.
2. Faute d'avoir identifié l'exposition, le client ne déclenche aucune mesure : ni renforcement technique, ni plan de réponse, ni surtout transfert vers une assurance cyber.
3. Une attaque survient. Le client supporte seul l'intégralité du coût — interruption, restauration, notification, rançon éventuelle — parce que la couverture qu'une bonne cartographie aurait recommandée n'a jamais été souscrite.
4. Le client recherche votre responsabilité : le préjudice n'est pas l'attaque elle-même, mais la part qu'une analyse correcte aurait permis d'éviter ou de transférer.

C'est ce dernier point qui rend l'affaire redoutable : votre faute n'est pas d'avoir laissé l'attaque arriver, mais d'avoir privé le client de la possibilité de s'y préparer.

Deux principes gouvernent l'analyse. D'abord, la responsabilité s'apprécie à la date de la mission : on ne vous reprochera pas d'avoir ignoré une technique d'attaque inconnue à l'époque. Ensuite, le périmètre contractuel fait loi : si la lettre de mission a expressément exclu le volet cyber — par exemple parce que le client le confiait à un cabinet spécialisé —, vous êtes hors de cause, à condition de l'avoir écrit.

Pour se mettre à l'abri du reproche d'omission, encore faut-il savoir ce qu'une cartographie cyber sérieuse doit contenir. Le standard attendu d'un professionnel comporte au minimum :

1. Un recensement des actifs numériques critiques : applications métier, données sensibles, infrastructures, dépendances cloud. On ne protège pas ce qu'on n'a pas inventorié.
2. Des scénarios de menace concrets plutôt qu'une mention générique du « risque informatique » : rançongiciel, compromission de messagerie, fraude au président, indisponibilité d'un prestataire SaaS.
3. Une quantification de l'impact, en croisant probabilité et gravité, pour hiérarchiser le cyber face aux autres risques de la cartographie globale.
4. Des pistes de traitement articulant réduction (mesures techniques et organisationnelles) et transfert (assurance cyber).

La différence entre une ligne « risque informatique : moyen » et un scénario de rançongiciel chiffré, c'est la différence entre une faute défendable et une faute manifeste.

Documenter cette démarche n'est pas qu'une protection juridique : c'est ce qui transforme une cartographie en véritable outil de pilotage pour le COMEX, et qui justifie votre valeur ajoutée.

Un angle mort souvent négligé : pendant la mission, vous manipulez les données du client. Une cartographie des risques, c'est une radiographie de ses vulnérabilités, parfois ses identifiants d'actifs critiques, ses contrats sensibles, ses données financières. Tout cela transite par vos outils, vos sauvegardes, votre messagerie.

Le consultant en gestion de risque détient sur ses propres serveurs la liste exacte des faiblesses de ses clients. C'est une cible particulièrement attractive.

Si votre système est compromis et que ces données fuitent, vous êtes exposé sur deux fronts : la responsabilité vis-à-vis du client dont les données ont été exposées, et vos propres coûts de remédiation. C'est précisément ce que couvre une assurance cyber : frais de notification, expertise forensique, gestion de crise, et responsabilité liée à la violation de données.

Sur le risque cyber, le consultant cumule deux expositions distinctes qui appellent deux couvertures complémentaires :

• La RC Pro répond de la faute de conseil : la cartographie qui a omis le cyber, le préjudice immatériel subi par le client privé d'une protection adéquate.
• L'assurance cyber répond de votre propre compromission : la fuite des données clients que vous hébergez, vos frais de réponse à incident, votre responsabilité en cas de violation.

Pour un risk manager moderne, l'une sans l'autre laisse un trou de couverture béant — l'ironie étant que ce trou est exactement le type d'angle mort qu'il a vocation à débusquer chez ses clients. Évaluez les protections calibrées pour le conseil en gestion de risque et fermez la brèche avant qu'un sinistre ne la révèle.