Article 4. Gestion des risques

Article 4. Gestion des risques

1. La gestion des risques est le processus intégral qui implique l'identification, l'évaluation et l'atténuation des menaces cybernétiques.

2. Le délégué à la sécurité de l'information est chargé de veiller à ce que l'analyse des risques soit effectuée, ainsi que d'identifier les lacunes et les faiblesses et de les porter à la connaissance du Comité technique de sécurité de l'information.

3. Le processus de gestion des risques doit respecter les exigences établies dans l'ENS-AD et les indications de l'ANC-AD (Agence nationale de cybersécurité d'Andorre).

4. L'analyse des risques doit recourir à une méthodologie standard et reconnue au niveau international, alignée sur les exigences de l'ENS-AD.

5. L'analyse et la gestion des risques constituent une partie essentielle du processus de sécurité, afin d'assurer le maintien d'un environnement contrôlé, en réduisant les risques à des niveaux considérés comme acceptables par l'organisation.

6. La réduction du niveau de risque s'opère par le déploiement de mesures de sécurité et de confidentialité modulées en fonction de la nature des données et des traitements de l'information, ainsi que de l'impact et de la probabilité des risques auxquels ils sont exposés, en recherchant un compromis entre coût et aficacité.