--- sourceDocument: Gestion de la sécurité Xanadu sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/fr-FR/xanadu/security-management Release : - xanadu ft:locale : - fr-FR ft:publication_title : - Gestion de la sécurité Xanadu ft:clusterId : - security bundleId : - security workflow : - Technology --- # Exemples pour Conformité de la configuration le calcul du score de risque # Exemples pour Conformité de la configuration le calcul du score de risque {#ariaid-title1} * Rversion finale: Xanadu * * Mis à jour 1 août 2024 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 10 minutes de lecture À partir de la version 13.0 de , vous pouvez personnaliser les critères de la règle de Conformité de la configurationrisque par défaut. Utilisez les scores de risque fournis par des fournisseurs tiers tels que Qualys et Tenable pour calculer les scores de risque. Les fournisseurs tiers, tels que Qualys et Tenable, fournissent leurs propres scores. Ces scores sont renseignés dans le champ Criticité de la table sn_vulc_test. Utilisez ce champ pour les calculs de score de risque. Pour utiliser ce score afin de calculer le score de risque, procédez comme suit : ## Ajouter la criticité de la source comme critère pour une règle de risque {#ariaid-title2} Utilisez les scores basés sur la criticité fournis par les fournisseurs tiers pour calculer les scores de risque. ### Avant de commencer Rôle requis : sn_vulc.admin ### Pourquoi et quand exécuter cette tâche Les fournisseurs tiers, tels que Qualys et Tenable, fournissent leurs propres scores de risque. Ces scores sont renseignés dans le champ Criticité de la table sn_vulc_test. Utilisez ce champ pour les calculs de score de risque et le calcul du score de risque. ### Procédure 1. Accédez à la ToutConfiguration ComplianceAdministrationCalculateurs de risque. 2. Accédez au formulaire Règle de risque. 3. Décochez la case Actif pour désactiver la règle. 4. Cliquez sur Ajouter des critères. 5. Dans la liste Choisir une table de référence , sélectionnez Résultat des tests. 6. Dans la liste Champ , sélectionnez Test.Criticality. 7. Dans le champ Poids , spécifiez l'importance relative de ce champ. La valeur doit être un nombre entier compris entre 0 et 100. 8. Dans la section Définir les pondérations des valeurs , ajoutez des valeurs de champ et affectez un pourcentage de pondération aux champs. 9. Cliquez sur Envoyer. ## Ajouter la criticité opérationnelle comme critère pour une règle de risque {#ariaid-title3} Spécifiez une valeur de criticité pour les services aux entreprises et utilisez la criticité opérationnelle pour calculer les scores de risque. ### Avant de commencer Rôle requis : sn_vulc.admin ### Pourquoi et quand exécuter cette tâche En supposant que votre organisation dispose de nombreux services aux entreprises et qu'un élément de configuration (CI) est utilisé par les services suivants : {#add-business-criticality-cc-risk-calc__table_rsq_jy4_5sb__entry__2} | Service d'entreprise | Criticité | |-|-| | Gestion cloud | 1 -- Très critique | | E-commerce | 2 -- Assez critique | | Services à la clientèle | 3 -- Peu critique | | Déplacements et dépenses | 4 -- Non critique | [Tableau 1. Criticité des services d'entreprise] {#add-business-criticality-cc-risk-calc__table_rsq_jy4_5sb}Le mappage entre le CI et les services est stocké dans la table Services \[cmdb_ci_services\]. Lorsqu'un CI ne réussit pas un test de configuration, un résultat de test (TR) est créé. Vous pouvez utiliser la valeur de la criticité opérationnelle des services affectés pour calculer le score de risque de ce TR. Suivez la procédure pour utiliser la valeur de criticité de ces services afin de calculer le score de risque. ### Procédure 1. Accédez à la ToutConfiguration ComplianceAdministrationCalculateurs de risque. 2. Accédez au formulaire Règle de risque à partir de la section Règles du calculateur . 3. Décochez la case Actif pour désactiver la règle. 4. Cliquez sur Ajouter des critères. 5. Dans la liste Choisir une table de référence , sélectionnez Table de référence de l'élément de configuration. 6. Dans la liste Table, sélectionnez Service \[cmdb_ci_service\]. 7. Dans la liste Champs, sélectionnez Criticité opérationnelle. 8. Dans le champ Agrégation , sélectionnez Minimum pour récupérer le service le plus critique pour ce cas d'utilisation (1 : valeur la plus critique) ou Maximum pour récupérer le service le moins critique pour ce cas d'utilisation (4 -- Valeur non critique). 9. Dans le champ Poids , spécifiez l'importance relative de ce champ. La valeur doit être un nombre entier compris entre 0 et 100. 10. Dans la section Définir les pondérations des valeurs , ajoutez des valeurs de champ et affectez des pondérations. Figure 1. Pondération personnalisée de la règle de risque de criticité opérationnelle 11. Cliquez sur Envoyer. ## Ajouter un critère conditionnel au calculateur de risque {#ariaid-title4} Utilisez des conditions personnalisées pour la règle de risque pour le calcul du score de risque. ### Avant de commencer Rôle requis : sn_vulc.admin ### Pourquoi et quand exécuter cette tâche En supposant que votre organisation dispose de plusieurs éléments de configuration (CI), dont seuls quelques-uns peuvent être consultés par un utilisateur externe. Les utilisateurs peuvent ajouter des pondérations de score de risque pour ces CI orientés vers l'extérieur. Remarque : Vous pouvez identifier ces CI par leur nom. Les noms commencent par \<\< externe \>\>. ### Procédure 1. Accédez à la ToutConfiguration ComplianceAdministrationCalculateurs de risque. 2. Accédez au formulaire Règle de risque. 3. Décochez la case Actif pour désactiver la règle. 4. Cliquez sur Ajouter des critères. 5. Dans la liste Choisir une table de référence , sélectionnez Conditions personnalisées. 6. Dans la liste Table de conditions , sélectionnez Élément de configuration. 7. Dans le champ Nom de champ , entrez l'exposition CI. 8. Dans le champ Poids , spécifiez l'importance relative de ce champ. La valeur doit être un nombre entier compris entre 0 et 100. 9. Dans le champ Condition , sélectionnez Nom \> commence, spécifiez la valeur comme externe. Figure 2. Conditions personnalisées pour la nouvelle règle de risque 10. Cliquez sur Envoyer. **Concepts associés** * [Groupes de calculateurs de Configuration Compliance](https://servicenow-prod.fluidtopics.net/Wag1gS3kfkunwZMuK6ZNPQ "Conformité de la configuration Les calculateurs sont utilisés pour mettre à jour les valeurs d’enregistrement lorsque des conditions prédéfinies sont remplies. Les calculateurs sont regroupés en fonction des critères utilisés pour déterminer comment les enregistrements sont mis à jour.") ## Exemple de calcul du score de risque pour Conformité de la configuration {#ariaid-title5} Déterminez les calculateurs de score de risque pour générer des scores de risque qui utilisent les données de test et d'actif spécifiques à votre organisation. ### Exemple de détermination des scores des calculateurs de règles de risque {#cc-risk-rule-example__section_rmd_yfp_5sb} L'exemple suivant montre comment les scores des calculateurs de règles de risque sont déterminés. Supposons qu'un calculateur de règle de risque soit configuré avec les champs de cette table.{#cc-risk-rule-example__table_hhf_cgp_5sb__entry__3} | Champ | Pondération | Répartition du poids | |-|-|-| | Contrôle.Criticité | 50 | Par défaut : 0 Mineure : 20 Faible : 30 Modéré : 50 Haute : 70 Critique : 100 | | Business_Criticality | 50 | Par défaut : 0 Mineure : 20 Faible : 30 Modéré : 50 Hauteur : 70 Critique : 100 | [Tableau 2. Déterminer les scores du calculateur de règle de risque] {#cc-risk-rule-example__table_hhf_cgp_5sb}Supposons que les résultats des tests affichés dans cette table sont présents dans le système.{#cc-risk-rule-example__table_djd_mgp_5sb__entry__3} | ID | Criticité opérationnelle | Criticité du contrôle | |-|-|-| | CTR0000001 | 1 -- Très critique | Mineur | | CTR0000002 | 1 -- Très critique | Faible | | CTR0000003 | 2 -- Assez critique | Mineur | | CTR0000004 | 2 -- Assez critique | Modéré | | CTR0000005 | 3 -- Peu critique | Faible | [Tableau 3. Mappage des résultats des tests] {#cc-risk-rule-example__table_djd_mgp_5sb}Le calcul du score de risque pour le résultat du test est calculé en fonction de la formule : Score de risque = (W(control.criticality) \* FV (control.criticality). + W(business_criticality) \* FV(business_criticality)) / 100 où W est le poids et FV est le pourcentage de poids de la valeur de champ. Le score de risque obtenu pour ces résultats des tests est décrit dans la table suivante :{#cc-risk-rule-example__table_ekr_xgp_5sb__entry__4} | ID | Criticité opérationnelle (50 %) | Criticité du contrôle (50 %) | Score de risque résultant | |-|-|-|-| | CTR0000001 | 1 -- Très critique (50 % x100) | Mineure (50 % x 20) | 60 | | CTR0000002 | 1 -- Très critique (50 % x100) | Faible (50 % x 30) | 65 | | CTR0000003 | 2 -- Assez critique (50 % x 70) | Mineure (50 % x 30) | 45 | | CTR0000004 | 2 -- Assez critique (50 % x 70) | Modérée (50 % x 50) | 60 | | CTR0000005 | 3 -- Moins critique (50 % x 50) | Faible (50 % x 30) | 40 | [Tableau 4. Score de risque basé sur les résultats des tests] {#cc-risk-rule-example__table_ekr_xgp_5sb}Si le pourcentage de pondération est modifié pour l'une des valeurs de champ, consultez ce tableau pour les résultats :{#cc-risk-rule-example__table_hzt_jhp_5sb__entry__3} | Champ | Pondération | Répartition du poids | |-|-|-| | Contrôle.Criticité | 50 | Par défaut : 0 Mineure : 20 Faible : 30 Modéré : 60 Hauteur : 70 Critique : 100 | | Business_Criticality | 50 | Par défaut : 50 1 -- Très critique : 100 2 -- Assez critique : 70 3 -- Peu critique : 20 4 -- Non critique : 30 | [Tableau 5. Résultats pour le pourcentage de pondération modifié] {#cc-risk-rule-example__table_hzt_jhp_5sb}Le score de risque pour les résultats des tests après réapplication du calculateur est affiché dans la table suivante :{#cc-risk-rule-example__table_h5p_rhp_5sb__entry__4} | ID | Criticité opérationnelle (50 %) | Criticité du contrôle (50 %) | Score de risque résultant | |-|-|-|-| | CTR0000001 | 1 -- Très critique (50 % x 100) | Mineure (50 % x 20) | 60 | | CTR0000002 | 1 -- Très critique (50 % x 100) | Faible (50 % x 30) | 65 | | CTR0000003 | 2 -- Assez critique (50 % x 70) | Mineure (50 % x 30) | 45 | | CTR0000004 | 2 -- Assez critique (50 % x 70) | Modérée (50 % x 60) \*Valeur révisée | 65 \*Valeur révisée | | CTR0000005 | 3 -- Peu critique (50 % x 20) \*Valeur révisée | Faible (50 % x 30) | 25 \*Valeur révisée | [Tableau 6. Score de risque pour TR lors de la réapplication du calculateur] {#cc-risk-rule-example__table_h5p_rhp_5sb} ## Exemple de calcul de déploiement de risque pour Conformité de la configuration (avant la version 15.0) {#ariaid-title6} L'exemple suivant montre comment les scores des calculateurs de déploiement des risques sont déterminés. Pour le calculateur de déploiement de tâche de rattrapage suivant, la formule de calcul du score de risque de la tâche de rattrapage est la suivante : (Score de risque maximal/100) \* 85 + (facteur \* 15). Le facteur de l'équation précédente est déterminé par le nombre de résultats des tests, comme indiqué dans le tableau suivant.{#cc-rollupcalc-example__table_ksw_mc2_vlb__entry__2} | Nombre de résultats des tests | Facteur | |-|-| | \<10 | 0,2 | | 10-99 | 0,4 | | 100-1000 | 0,6 | | 1001-9999 | 0,8 | | \> 1 000 | 1 | [ ] {#cc-rollupcalc-example__table_ksw_mc2_vlb} Pour la tâche de rattrapage suivante, TRG0003066, avec trois résultats de test Scores de risque, le score maximal est 90.{#cc-rollupcalc-example__table_edw_xc2_vlb__entry__5} | Numéro | Score du risque | Tâche de rattrapage | Résultat | Statut | |-|-|-|-|-| | CTR000123 | 90 | TRG0003066 | Échoué | Ouvrir | | CTR000124 | 70 | TRG0003066 | Échoué | Ouvrir | | CTR000125 | 40 | TRG0003066 | Échoué | Ouvrir | [ ] {#cc-rollupcalc-example__table_edw_xc2_vlb} Pour la tâche de rattrapage, TRG0003066 : Le score de risque est de 79, (90/100) \* 85 + 0,2 \* 15 = Math.floor (76,5 +3) =79. Le score de risque historique est nul, car la tâche de rattrapage est toujours \<\< ouverte \>\>. Après l'ingestion des données, les résultats des tests sont \<\< Validés \>\> et la tâche de rattrapage passe à l'état \<\< Fermé \>\>, comme illustré dans la table suivante. {#cc-rollupcalc-example__table_fxd_n22_vlb__entry__5} | Numéro | Score de risque (avant v15.0) | Tâche de rattrapage | Résultat | Statut | |-|-|-|-|-| | CTR000123 | 0 | TRG0003066 | Réussi | Fermé | | CTR000124 | 0 | TRG0003066 | Réussi | Fermé | | CTR000125 | 0 | TRG0003066 | Réussi | Fermé | [ ] {#cc-rollupcalc-example__table_fxd_n22_vlb} L'historique des résultats des tests est affiché dans la table suivante. {#cc-rollupcalc-example__table_xbd_w22_vlb__entry__4} | Numéro | Score du risque | Dernier résultat | Résultat | |-|-|-|-| | CTRH000111 | 90 | CTR000123 | Échoué | | CTRH000112 | 70 | CTR000124 | Échoué | | CTRH000113 | 40 | CTR000125 | Échoué | [ ] {#cc-rollupcalc-example__table_xbd_w22_vlb} Le score de risque est égal à zéro, car il n'existe aucun résultat de test actif dans la tâche de rattrapage. Pour la tâche de rattrapage, TRG0003066 : Le score de risque historique est de 79 : (90/100) \* 85 + 0,2 \* 15 = Math.floor (76,5 +3) =79. ## Exemple de calcul de déploiement de risque pour Conformité de la configuration (v15.0 et versions ultérieures) {#ariaid-title7} L'exemple suivant montre comment les scores des calculateurs de déploiement des risques sont déterminés. Pour le calculateur de déploiement de tâche de rattrapage suivant, la formule de calcul du score de risque de la tâche de rattrapage est la suivante : (Score de risque maximal\* 80/100) + (Score de risque moyen\* 5/100) + (Facteur \* 15) Où, les poids sont les suivants : * Score de risque maximal : 80 * Score de risque moyen : 5 * Facteur : 15 {#cc-rollupcalc-example-v15__ul_lgv_mdh_2cc} La pondération par défaut du score de risque moyen est de 0. Pour plus d'informations sur le réglage des pondérations, reportez-vous à la section [Modifier les calculateurs de déploiement de risque pour Conformité de la configuration](https://servicenow-prod.fluidtopics.net/pYax4RkIYPthEUdS9rKpLg "Modifiez un calculateur de déploiement de risque existant."). Le facteur de l'équation précédente est déterminé par le nombre de résultats des tests, comme indiqué dans le tableau suivant.{#cc-rollupcalc-example-v15__table_ksw_mc2_vlb__entry__2} | Nombre de résultats des tests | Facteur | |-|-| | \<10 | 0,2 | | 10-99 | 0,4 | | 100-1000 | 0,6 | | 1001-9999 | 0,8 | | \>10000 | 1 | [ ] {#cc-rollupcalc-example-v15__table_ksw_mc2_vlb} Pour la tâche de rattrapage suivante, TRG0003066, avec trois résultats de test Scores de risque, le score de risque maximal est 90 et le score de risque moyen est de 66,67.{#cc-rollupcalc-example-v15__table_edw_xc2_vlb__entry__5} | Numéro | Score du risque | Tâche de rattrapage | Résultat | Statut | |-|-|-|-|-| | CTR000123 | 90 | TRG0003066 | Échoué | Ouvrir | | CTR000124 | 70 | TRG0003066 | Échoué | Ouvrir | | CTR000125 | 40 | TRG0003066 | Échoué | Ouvrir | [ ] {#cc-rollupcalc-example-v15__table_edw_xc2_vlb} Pour la tâche de rattrapage, TRG0003066 : Le score de risque est de 81, (90 \* 80/100) + (66,67 \* 5/100) + (0,2 \* 15) = Math.floor (78,3 +3) = 81. Le score de risque historique est nul, car la tâche de rattrapage est toujours \<\< ouverte \>\>. Après l'ingestion des données, les résultats des tests sont \<\< Validés \>\> et la tâche de rattrapage passe à l'état \<\< Fermé \>\>, comme illustré dans la table suivante. À partir de la version 15.0 de , le score de risque d'un résultat de Conformité de la configurationtest réussi est renseigné pour déterminer le risque atténué. {#cc-rollupcalc-example-v15__table_fxd_n22_vlb__entry__5} | Numéro | Score du risque | Tâche de rattrapage | Résultat | Statut | |-|-|-|-|-| | CTR000123 | 90 | TRG0003066 | Réussi | Fermé | | CTR000124 | 70 | TRG0003066 | Réussi | Fermé | | CTR000125 | 40 | TRG0003066 | Réussi | Fermé | [ ] {#cc-rollupcalc-example-v15__table_fxd_n22_vlb} L'historique des résultats des tests est affiché dans la table suivante. {#cc-rollupcalc-example-v15__table_xbd_w22_vlb__entry__4} | Numéro | Score du risque | Dernier résultat | Résultat | |-|-|-|-| | CTRH000111 | 90 | CTR000123 | Échoué | | CTRH000112 | 70 | CTR000124 | Échoué | | CTRH000113 | 40 | CTR000125 | Échoué | [ ] {#cc-rollupcalc-example-v15__table_xbd_w22_vlb} Le score de risque de la tâche de rattrapage est zéro, car il n'existe aucun résultat de test actif dans la tâche de rattrapage. Pour la tâche de rattrapage, TRG0003066 : Le score de risque historique est de 81 : (90 \* 80/100) + (66,67 \* 5/100) + (0,2 \* 15) = Math.floor (78,3 +3) = 81.