La gestion des actifs concerne la protection des actifs de valeur pour l'organisation tout au long de leur cycle de vie. Par conséquent, nous devons assurer la sécurité des actifs tout au long des étapes de leur cycle de vie, y compris la création/collecte, l'identification et la classification, la protection, le stockage, l'utilisation, la maintenance, l'élimination, la conservation/l'archivage et la destruction défendable des actifs.pour protéger correctement les biens de valeur, tels que les informations, une organisation doit mettre en œuvre avec soin et de manière appropriée les processus de propriété et de classification, qui peuvent garantir que les biens reçoivent le niveau de protection correspondant à leur valeur pour l'organisation.l'augmentation considérable de la collecte d'informations personnelles par les organisations a entraîné une augmentation correspondante de l'importance des considérations relatives à la protection de la vie privée.par conséquent, la protection de la vie privée constitue une partie importante de la sécurité des actifs.des contrôles de sécurité appropriés doivent être choisis pour protéger le bien tout au long de son cycle de vie, en gardant à l'esprit les exigences de chaque phase et les exigences de traitement tout au long du cycle

Dans ce module, nous commençons à examiner le processus de gestion des risques. La gestion des risques est un élément essentiel d'un programme de sécurité de l'information, car elle détermine la sélection des contrôles utilisés pour atténuer les risques commerciaux et informatiques. Le programme de gestion des risques gère les risques, mais ne les élimine pas.toutes les activités comportent un élément de risque (même ne rien faire est risqué), c'est pourquoi la gestion des risques doit être un élément essentiel des plans de gestion et d'exploitation de chaque organisation.dans le département informatique, nous avons tendance à voir le risque d'un point de vue négatif ; il représente les problèmes et les inconvénients liés à la défaillance des systèmes informatiques. Nous voyons le risque comme ce qui se passe lorsque quelque chose ne va pas et nous sommes sous pression pour résoudre le problème le plus rapidement possible. Cependant, dans le reste de l'entreprise, le risque est considéré comme une opportunité - la possibilité de prendre un risque et d'obtenir un retour sur investissement - et plus le risque est important, plus la récompense (ou la perte) possible est grande.tout d'abord, une définition du risque est une mesure de la mesure dans laquelle une entité est menacée par une circonstance ou un événement potentiel. Il est souvent exprimé comme une combinaison de (1) l'impact négatif qui surviendrait si la circonstance ou l'événement se produisait, et (2) la probabilité de survenance.notez que les risques de sécurité liés aux systèmes d'information sont les risques qui découlent de la perte ou de la compromission de l'un des attributs de sécurité de l'information (CIANA+PS) requis pour les informations ou les systèmes d'information. Ils reflètent les impacts négatifs potentiels sur les opérations de l'organisation (y compris la mission, les fonctions, l'image ou la réputation), les biens de l'organisation, les individus, les autres organisations et la nation.cette définition (qui est avant tout basée sur les technologies de l'information) montre que le risque est associé aux menaces, à l'impact et à la probabilité. Mais cette définition précise également que le risque informatique est un sous-ensemble du risque commercial et qu'il doit être mesuré en fonction de l'impact de l'événement à risque sur les opérations de l'organisation, ses actifs et d'autres tiers

L'étape suivante, après avoir compris le contexte dans lequel s'inscrit l'effort de gestion des risques (par le biais du processus de définition du cadre des risques), consiste à procéder à l'évaluation des risques.l'évaluation des risques consiste à identifier les risques, puis à les évaluer et à les classer par ordre de priorité en fonction de leur degré d'importance (gravité). Le résultat final du processus d'évaluation des risques consiste à communiquer les risques à la direction, souvent par le biais d'un rapport d'évaluation des risques (RAR) et de la mise à jour du registre des risques.

Le chapitre 1 nous a montré comment la sécurité de l'information existe pour aider l'organisation à atteindre ses objectifs et ses priorités en protégeant ses actifs informationnels vitaux. Pour ce faire, l'équipe chargée de la sécurité de l'information part de quelques idées fondamentales sur la sécurité de l'information et les applique pour comprendre les risques potentiels qui pèsent sur ces actifs.nous avons examiné les attributs ou caractéristiques les plus importants de la sécurité de l'information, que le mnémonique CIANA+PS représente : confidentialité, intégrité, disponibilité, non-répudiation, authenticité, respect de la vie privée et sécurité.ce sont les pierres de touche, les critères à l'aune desquels nous, spécialistes de la sécurité de l'information, devons mesurer nos succès et nos échecs.la gestion des risques liés à l'information est un élément essentiel du travail de sécurité de l'information. Le chapitre 1 a commencé à nous montrer comment gérer ces risques, dans le cadre et le contexte de la gestion du patrimoine informationnel de l'organisation. Les chapitres suivants et leurs activités continueront à examiner ces idées et concepts.enfin, et surtout, le chapitre 1 nous rappelle que nous sommes membres du cadre professionnel des spécialistes de la sécurité de l'information. Les entreprises et les gouvernements, ainsi que les individus et les organisations, doivent pouvoir être sûrs que leurs activités quotidiennes s'appuient sur des informations fiables et dignes de confiance.les devoirs éthiques de prudence et de diligence, que nous avons examinés dans ce chapitre, fournissent à chacun d'entre nous les balises nécessaires à la mise en œuvre de nos compétences et de nos connaissances.dans le chapitre 2, nous examinerons les actions nécessaires pour développer une culture de la sécurité au sein de l'organisation.nous nous pencherons sur l'utilisation de politiques pour faire respecter les exigences de sécurité et sur la manière dont nous pouvons protéger nos systèmes d'information et veiller à ce qu'ils ne soient utilisés que par des utilisateurs autorisés