[{"data":1,"prerenderedAt":720},["ShallowReactive",2],{"ressources-fr-quantification-des-risques-cyber-quelles-differences-entre-les-methodes-fair-et-cvss":3},{"id":4,"title":5,"author":6,"body":7,"category":708,"challenges":709,"client":709,"counterpart":680,"date":710,"description":711,"draft":712,"extension":713,"gated":712,"gatedAsset":709,"gatedDownloadUrl":709,"image":709,"meta":714,"navigation":715,"path":716,"results":709,"seo":717,"solutions":709,"stem":718,"testimonialAuthor":709,"testimonialPhoto":709,"testimonialQuote":709,"testimonialRole":709,"videoDuration":709,"videoId":709,"videoLang":709,"videoPoster":709,"videoTitle":709,"__hash__":719},"blog\u002Fressources\u002Fquantification-des-risques-cyber-quelles-differences-entre-les-methodes-fair-et-cvss.md","FAIR vs CVSS : quelle méthode pour vos risques cyber ?","Équipe OverView",{"type":8,"value":9,"toc":679},"minimark",[10,23,26,31,36,51,118,122,131,159,162,166,171,182,187,210,222,226,240,244,248,261,264,268,271,285,291,294,298,302,332,336,359,363,471,475,500,504,531,535,546,550,557,574,580,587,591,595,605,609,612,616,625,629,632,636,666],[11,12,13,14,18,19,22],"p",{},"CVSS et FAIR sont deux méthodes complémentaires pour évaluer les risques cyber, mais elles répondent à des questions différentes. ",[15,16,17],"strong",{},"Le CVSS attribue un score de sévérité aux vulnérabilités"," (de 0 à 10). ",[15,20,21],{},"La méthode FAIR quantifie le risque en termes financiers"," (en euros). Le CVSS parle aux équipes techniques, FAIR parle à la direction.",[11,24,25],{},"Comprendre leurs différences permet de choisir la bonne approche — ou de les combiner — pour piloter efficacement sa posture de sécurité.",[27,28,30],"h2",{"id":29},"le-cvss-noter-la-sévérité-des-vulnérabilités","Le CVSS : noter la sévérité des vulnérabilités",[32,33,35],"h3",{"id":34},"quest-ce-que-le-cvss","Qu'est-ce que le CVSS ?",[11,37,38,39,42,43,50],{},"Le CVSS (Common Vulnerability Scoring System) est un ",[15,40,41],{},"standard international de notation des vulnérabilités",", maintenu par le ",[44,45,49],"a",{"href":46,"rel":47},"https:\u002F\u002Fwww.first.org\u002Fcvss\u002F",[48],"nofollow","FIRST"," (Forum of Incident Response and Security Teams). Il attribue à chaque vulnérabilité un score de 0 à 10 basé sur ses caractéristiques techniques.",[52,53,54,70],"table",{},[55,56,57],"thead",{},[58,59,60,64,67],"tr",{},[61,62,63],"th",{},"Score CVSS",[61,65,66],{},"Niveau",[61,68,69],{},"Exemple d'action",[71,72,73,85,96,107],"tbody",{},[58,74,75,79,82],{},[76,77,78],"td",{},"9,0 – 10,0",[76,80,81],{},"Critique",[76,83,84],{},"Correction immédiate",[58,86,87,90,93],{},[76,88,89],{},"7,0 – 8,9",[76,91,92],{},"Élevé",[76,94,95],{},"Correction sous 7 jours",[58,97,98,101,104],{},[76,99,100],{},"4,0 – 6,9",[76,102,103],{},"Moyen",[76,105,106],{},"Correction planifiée",[58,108,109,112,115],{},[76,110,111],{},"0,1 – 3,9",[76,113,114],{},"Faible",[76,116,117],{},"Surveillance",[32,119,121],{"id":120},"cvss-40-les-évolutions-clés","CVSS 4.0 : les évolutions clés",[11,123,124,125,130],{},"La ",[44,126,129],{"href":127,"rel":128},"https:\u002F\u002Fwww.first.org\u002Fcvss\u002Fv4.0\u002Fspecification-document",[48],"version 4.0 du CVSS",", publiée fin 2023, introduit quatre types de scores pour mieux contextualiser la sévérité :",[132,133,134,141,147,153],"ul",{},[135,136,137,140],"li",{},[15,138,139],{},"CVSS-B"," — score de base (caractéristiques intrinsèques de la vulnérabilité)",[135,142,143,146],{},[15,144,145],{},"CVSS-BT"," — base + menace (la vulnérabilité est-elle activement exploitée ?)",[135,148,149,152],{},[15,150,151],{},"CVSS-BE"," — base + environnement (quel impact dans votre contexte spécifique ?)",[135,154,155,158],{},[15,156,157],{},"CVSS-BTE"," — score complet intégrant les trois dimensions",[11,160,161],{},"Cette évolution rapproche le CVSS d'une évaluation contextuelle, mais il reste fondamentalement un score technique.",[32,163,165],{"id":164},"forces-et-limites-du-cvss","Forces et limites du CVSS",[11,167,168],{},[15,169,170],{},"Forces :",[132,172,173,176,179],{},[135,174,175],{},"Standard reconnu mondialement — langage commun entre les équipes de sécurité",[135,177,178],{},"Intégré nativement dans les scanners de vulnérabilités et les bases CVE",[135,180,181],{},"Permet de catégoriser et hiérarchiser rapidement un grand volume de vulnérabilités",[11,183,184],{},[15,185,186],{},"Limites :",[132,188,189,196,203],{},[135,190,191,192,195],{},"Ne mesure pas le ",[15,193,194],{},"risque réel"," pour une organisation donnée — seulement la sévérité intrinsèque",[135,197,198,199,202],{},"Ne prend pas en compte la ",[15,200,201],{},"criticité métier"," de l'actif concerné",[135,204,205,206,209],{},"Ne quantifie pas l'",[15,207,208],{},"impact financier"," d'une exploitation",[11,211,212,213,217,218,221],{},"Selon le ",[44,214,216],{"href":215},"\u002Ffr\u002Fressources\u002Frapport-caasm-2024","Rapport CAASM 2024 du CESIN et OverSOC",", ",[15,219,220],{},"64,3 % des professionnels de la sécurité placent le contexte métier en tête des facteurs de priorisation",", devant le score technique. Le CVSS est une brique nécessaire mais insuffisante.",[32,223,225],{"id":224},"epss-le-complément-essentiel-du-cvss","EPSS : le complément essentiel du CVSS",[11,227,228,229,234,235,239],{},"Le ",[44,230,233],{"href":231,"rel":232},"https:\u002F\u002Fwww.first.org\u002Fepss\u002F",[48],"score EPSS (Exploit Prediction Scoring System)",", également maintenu par le FIRST, estime la probabilité qu'une vulnérabilité soit exploitée dans les 30 prochains jours. Il complète le CVSS en ajoutant la dimension d'exploitabilité. Pour un guide complet sur la combinaison CVSS + EPSS + contexte métier, consultez notre article sur ",[44,236,238],{"href":237},"\u002Ffr\u002Fressources\u002Fcomment-prioriser-les-vulnerabilites-de-son-systeme-dinformation","la priorisation des vulnérabilités",".",[27,241,243],{"id":242},"la-méthode-fair-quantifier-le-risque-en-euros","La méthode FAIR : quantifier le risque en euros",[32,245,247],{"id":246},"quest-ce-que-fair","Qu'est-ce que FAIR ?",[11,249,250,251,254,255,260],{},"FAIR (Factor Analysis of Information Risk) est un ",[15,252,253],{},"modèle d'analyse quantitative des risques cyber"," qui exprime le risque en termes financiers. Développé par Jack Jones et soutenu par le ",[44,256,259],{"href":257,"rel":258},"https:\u002F\u002Fwww.fairinstitute.org\u002F",[48],"FAIR Institute",", il est considéré comme pionnier dans la quantification financière des risques de sécurité.",[11,262,263],{},"Là où le CVSS répond à « quelle est la gravité de cette vulnérabilité ? », FAIR répond à « combien cette menace pourrait-elle coûter à l'organisation ? ».",[32,265,267],{"id":266},"comment-fonctionne-fair","Comment fonctionne FAIR ?",[11,269,270],{},"FAIR est une méthode probabiliste qui décompose le risque en deux facteurs :",[132,272,273,279],{},[135,274,275,278],{},[15,276,277],{},"La fréquence probable des pertes"," — combien de fois un scénario est susceptible de se produire",[135,280,281,284],{},[15,282,283],{},"L'ampleur probable des pertes"," — quel serait l'impact financier",[11,286,287,290],{},[15,288,289],{},"Exemple concret :"," une organisation estime qu'un sinistre X pourrait survenir une fois tous les 10 ans, avec une perte estimée à 2 millions d'euros. La perte annualisée probable est de 200 000 €. Cette quantification permet de comparer le coût du risque au coût de la protection.",[11,292,293],{},"Les pertes sont déclinées en six catégories : pertes de production, coût de la réponse à incident, amendes réglementaires, perte de réputation, coûts juridiques et pertes de compétitivité.",[32,295,297],{"id":296},"forces-et-limites-de-fair","Forces et limites de FAIR",[11,299,300],{},[15,301,170],{},[132,303,304,311,318,325],{},[135,305,306,307,310],{},"Traduit les risques cyber en ",[15,308,309],{},"langage financier"," compréhensible par la direction",[135,312,313,314,317],{},"Permet de ",[15,315,316],{},"comparer"," des risques hétérogènes sur une échelle commune (euros)",[135,319,320,321,324],{},"Aide à ",[15,322,323],{},"justifier les investissements"," en sécurité par le ROI",[135,326,327,328,331],{},"Pousse à se concentrer sur les ",[15,329,330],{},"scénarios les plus probables"," plutôt que sur l'exhaustivité",[11,333,334],{},[15,335,186],{},[132,337,338,345,352],{},[135,339,340,341,344],{},"Nécessite la ",[15,342,343],{},"collecte de nombreuses données"," (techniques et financières) auprès de multiples équipes",[135,346,347,348,351],{},"Peut être ",[15,349,350],{},"longue à mettre en œuvre"," — l'analyse d'un scénario complet demande un effort significatif",[135,353,354,355,358],{},"Produit des ",[15,356,357],{},"estimations probabilistes",", pas des prédictions — la qualité du résultat dépend de la qualité des données d'entrée",[27,360,362],{"id":361},"cvss-vs-fair-comparaison","CVSS vs FAIR : comparaison",[52,364,365,378],{},[55,366,367],{},[58,368,369,372,375],{},[61,370,371],{},"Critère",[61,373,374],{},"CVSS",[61,376,377],{},"FAIR",[71,379,380,393,406,419,432,445,458],{},[58,381,382,387,390],{},[76,383,384],{},[15,385,386],{},"Nature",[76,388,389],{},"Score de sévérité technique",[76,391,392],{},"Quantification financière du risque",[58,394,395,400,403],{},[76,396,397],{},[15,398,399],{},"Échelle",[76,401,402],{},"0 à 10",[76,404,405],{},"Montant en euros (perte annualisée)",[58,407,408,413,416],{},[76,409,410],{},[15,411,412],{},"Public cible",[76,414,415],{},"Équipes SecOps, analystes",[76,417,418],{},"RSSI, direction, comité des risques",[58,420,421,426,429],{},[76,422,423],{},[15,424,425],{},"Granularité",[76,427,428],{},"Par vulnérabilité",[76,430,431],{},"Par scénario de risque",[58,433,434,439,442],{},[76,435,436],{},[15,437,438],{},"Contexte métier",[76,440,441],{},"Limité (CVSS 4.0 l'améliore)",[76,443,444],{},"Central (criticité de l'actif, impact business)",[58,446,447,452,455],{},[76,448,449],{},[15,450,451],{},"Mise en œuvre",[76,453,454],{},"Automatisée (intégrée aux scanners)",[76,456,457],{},"Manuelle (collecte de données, ateliers)",[58,459,460,465,468],{},[76,461,462],{},[15,463,464],{},"Temps de déploiement",[76,466,467],{},"Immédiat",[76,469,470],{},"Plusieurs semaines par scénario",[32,472,474],{"id":473},"quand-utiliser-cvss","Quand utiliser CVSS ?",[132,476,477,484,491,497],{},[135,478,479,480,483],{},"Pour la ",[15,481,482],{},"gestion opérationnelle des vulnérabilités"," au quotidien",[135,485,486,487,490],{},"Pour ",[15,488,489],{},"trier et prioriser"," un grand volume de failles remontées par les scans",[135,492,493,494],{},"Pour alimenter les processus de ",[15,495,496],{},"patch management",[135,498,499],{},"En combinaison avec l'EPSS pour une priorisation basée sur l'exploitabilité",[32,501,503],{"id":502},"quand-utiliser-fair","Quand utiliser FAIR ?",[132,505,506,512,518,524],{},[135,507,486,508,511],{},[15,509,510],{},"présenter les risques cyber à la direction"," dans un langage business",[135,513,486,514,517],{},[15,515,516],{},"justifier un investissement"," en sécurité par le retour sur investissement",[135,519,486,520,523],{},[15,521,522],{},"comparer des scénarios de risques"," différents sur une échelle commune",[135,525,526,527,530],{},"Pour alimenter la ",[15,528,529],{},"gouvernance des risques"," et les comités d'audit",[32,532,534],{"id":533},"peut-on-les-combiner","Peut-on les combiner ?",[11,536,537,538,541,542,545],{},"Oui, et c'est l'approche la plus mature. Le CVSS sert de ",[15,539,540],{},"filtre initial"," pour identifier les vulnérabilités les plus sévères. FAIR intervient ensuite pour ",[15,543,544],{},"quantifier l'impact financier"," des scénarios de risque les plus critiques. Cette combinaison permet de parler le même langage que les équipes techniques (CVSS) et la direction (FAIR).",[27,547,549],{"id":548},"le-rôle-de-la-cartographie-dans-la-quantification-des-risques","Le rôle de la cartographie dans la quantification des risques",[11,551,552,553,556],{},"Les deux méthodes gagnent en précision quand elles sont alimentées par une ",[15,554,555],{},"connaissance exhaustive du SI",". Le Rapport CAASM 2024 du CESIN montre que :",[132,558,559,565,571],{},[135,560,561,564],{},[15,562,563],{},"57 % seulement"," des organisations connaissent le niveau de criticité de leurs actifs",[135,566,567,570],{},[15,568,569],{},"73,9 %"," ne disposent pas d'un outil de réconciliation de leurs sources IT et cyber",[135,572,573],{},"Les informations de criticité sont souvent stockées dans des tableurs Excel (45 %), difficilement exploitables",[575,576,577],"blockquote",{},[11,578,579],{},"« Le sujet CAASM dépasse le scope de ce que fait un RSSI, c'est un sujet qui touche la sécurité, mais aussi l'infra. Pour réussir à cartographier son SI, il faut nécessairement aller à la rencontre des métiers. » — Ghislain Banville, RSSI Opérationnel, Naval Group (Rapport CAASM 2024, CESIN\u002FOverSOC)",[11,581,582,586],{},[44,583,585],{"href":584},"\u002Ffr\u002Fproduit","OverView"," fournit la donnée de base nécessaire aux deux approches : inventaire des actifs, criticité métier, vulnérabilités associées, exposition. En centralisant ces informations, la plateforme permet à la fois une priorisation CVSS\u002FEPSS opérationnelle et une alimentation fiable des analyses FAIR.",[27,588,590],{"id":589},"faq","FAQ",[32,592,594],{"id":593},"fair-remplace-t-il-le-cvss","FAIR remplace-t-il le CVSS ?",[11,596,597,598,601,602,604],{},"Non. FAIR et CVSS opèrent à des niveaux différents. Le CVSS est un outil de ",[15,599,600],{},"triage technique"," des vulnérabilités. FAIR est un outil de ",[15,603,529],{},". Une organisation mature utilise les deux : CVSS pour le patch management quotidien, FAIR pour les décisions stratégiques d'investissement.",[32,606,608],{"id":607},"fair-est-il-adapté-aux-pme","FAIR est-il adapté aux PME ?",[11,610,611],{},"FAIR peut être simplifié pour les PME en se concentrant sur 3 à 5 scénarios de risque probables, sans chercher l'exhaustivité. Sa mise en œuvre reste toutefois plus exigeante que le CVSS en termes de données et de compétences. Pour les PME, une priorisation combinant CVSS + EPSS + contexte métier (sans analyse financière formelle) est souvent suffisante et déjà un progrès significatif.",[32,613,615],{"id":614},"existe-t-il-dautres-méthodes-que-fair-et-cvss","Existe-t-il d'autres méthodes que FAIR et CVSS ?",[11,617,618,619,624],{},"Oui. FAIR et CVSS sont les plus répandues, mais d'autres approches existent. L'EBIOS Risk Manager, promue par l'",[44,620,623],{"href":621,"rel":622},"https:\u002F\u002Fcyber.gouv.fr\u002Fpublications",[48],"ANSSI",", est la méthode de référence en France pour l'analyse de risques. La méthode OCTAVE, développée par le CERT\u002FCC de Carnegie Mellon, se concentre sur les risques organisationnels. Chaque méthode a ses forces : EBIOS pour la conformité réglementaire française, FAIR pour le dialogue financier avec la direction, CVSS pour le triage opérationnel quotidien.",[32,626,628],{"id":627},"comment-débuter-avec-la-quantification-des-risques","Comment débuter avec la quantification des risques ?",[11,630,631],{},"Commencez par maîtriser votre base : un inventaire des actifs à jour, une connaissance de leur criticité métier, et un processus de gestion des vulnérabilités avec priorisation CVSS\u002FEPSS. Une fois cette base en place, vous pouvez progressivement introduire FAIR sur les scénarios de risque les plus critiques pour enrichir le dialogue avec la direction.",[27,633,635],{"id":634},"ce-quil-faut-retenir","Ce qu'il faut retenir",[132,637,638,646,649,656],{},[135,639,640,642,643,645],{},[15,641,374],{}," note la sévérité technique des vulnérabilités (0-10). ",[15,644,377],{}," quantifie le risque en euros. Les deux sont complémentaires.",[135,647,648],{},"Le CVSS est l'outil du quotidien pour les équipes SecOps. FAIR est l'outil de gouvernance pour la direction.",[135,650,651,652,655],{},"Les deux méthodes gagnent en précision avec une ",[15,653,654],{},"cartographie exhaustive du SI"," — inventaire des actifs, criticité métier, exposition.",[135,657,658,659,662,663,665],{},"L'approche la plus mature combine ",[15,660,661],{},"CVSS + EPSS"," pour le triage opérationnel et ",[15,664,377],{}," pour la justification des investissements.",[11,667,668,669,673,674,678],{},"Vous voulez voir comment OverView peut alimenter votre démarche de quantification des risques ? ",[44,670,672],{"href":671},"\u002Ffr\u002Fdemander-une-demo","Demandez une démo"," ou ",[44,675,677],{"href":676},"\u002Ffr\u002Fsimulateur","testez le simulateur"," pour évaluer votre couverture actuelle.",{"title":680,"searchDepth":681,"depth":681,"links":682},"",2,[683,690,695,700,701,707],{"id":29,"depth":681,"text":30,"children":684},[685,687,688,689],{"id":34,"depth":686,"text":35},3,{"id":120,"depth":686,"text":121},{"id":164,"depth":686,"text":165},{"id":224,"depth":686,"text":225},{"id":242,"depth":681,"text":243,"children":691},[692,693,694],{"id":246,"depth":686,"text":247},{"id":266,"depth":686,"text":267},{"id":296,"depth":686,"text":297},{"id":361,"depth":681,"text":362,"children":696},[697,698,699],{"id":473,"depth":686,"text":474},{"id":502,"depth":686,"text":503},{"id":533,"depth":686,"text":534},{"id":548,"depth":681,"text":549},{"id":589,"depth":681,"text":590,"children":702},[703,704,705,706],{"id":593,"depth":686,"text":594},{"id":607,"depth":686,"text":608},{"id":614,"depth":686,"text":615},{"id":627,"depth":686,"text":628},{"id":634,"depth":681,"text":635},"Guide",null,"2025-06-15","CVSS note la sévérité des vulnérabilités, FAIR quantifie le risque en euros. Deux approches complémentaires pour piloter sa cybersécurité.",false,"md",{},true,"\u002Fressources\u002Fquantification-des-risques-cyber-quelles-differences-entre-les-methodes-fair-et-cvss",{"title":5,"description":711},"ressources\u002Fquantification-des-risques-cyber-quelles-differences-entre-les-methodes-fair-et-cvss","4an6GVfSa3Hv5UrVK0FiM5qfKxmb6qcNAGVW8WW6_4s",1792507065599]