Le périmètre d’un incident
Le périmètre du risque permet de définir la localisation d’un risque au sein de l’organisation.
Le périmètre est précisé sur plusieurs types de composants :
• les entités concernées par l’incident.
Une entité peut être interne ou externe à l'entreprise : une entité interne représente un élément de l'organisation d'une entreprise tel qu'une direction, un service ou un poste de travail. Il est défini à un niveau plus ou moins fin en fonction de la précision à fournir sur l'organisation (cf type d'acteur). Ex : la direction financière, la direction commerciale, le service marketing, l'agent commercial. Une entité externe représente un organisme qui échange des flux avec l'entreprise. Ex : Client, Fournisseur, Administration.
• les lignes métier concernées par l’incident
Une ligne métier est un haut niveau de classification des principales activités de l'entreprise. Elle correspond, par exemple, à des grands segments produits ou à des canaux de distribution. Elle permet de classifier les processus de l'entreprise, des unités organisationnelles ou des applications qui servent un produit spécifique et/ou un marché spécifique. Les cadres réglementaires de certaines industries imposent leurs propres liste de lignes de métier.
• les types de risque à associer à l’incident
Un type de risque définit une typologie de risque normalisée dans le cadre d’une organisation.
• les processus métier et des processus organisationnels concernées par l’incident.
Un processus métier représente un système qui fournit des produits ou des services à un client interne ou externe à l'entreprise ou à l'organisation. Aux niveaux supérieurs, un processus métier définit une structuration et une catégorisation du métier de l'entreprise. Il peut être décomposé en d'autres processus. Le lien vers les processus organisationnels permet de décrire l'implémentation réelle du processus métier dans l'organisation. Un processus métier peut également être détaillé à l'aide d'une vue fonctionnelle.
Un processus organisationnel décrit la marche à suivre pour mettre en oeuvre tout ou partie du processus d'élaboration d'un produit ou un flux.
• les produits impactés par l’incident.
Un produit représente un ou plusieurs articles, objets, biens ou services, résultat d’une activité agricole, industrielle ou de service, qui sont proposés par une entreprise.
• les applications impactées par l’incident.
Une application est un ensemble de composants logiciels qui constituent un tout cohérent au regard des développements informatiques.
• les exigences attendues vis à vis de la gestion de l’incident.
Une exigence est un besoin ou une attente formulés explicitement, imposés comme une contrainte à respecter dans le cadre d'un projet de certification, d'organisation ou de modification du système d'information d'une entreprise.
La description de l’organisation est détaillée dans le paragraphe "L’organisation", page 21.