HITRUST lance IRIDX, une société d'évaluation du risque informationnel, pour normaliser la mesure, la gouvernance et l'exposition financière du risque informationnel

Des mesures de risque normalisées et une exposition financière modélisée relient l'évaluation par des tiers à la gouvernance d'entreprise et à la souscription d'assurances

FRISCO, Texas, le 27 oct. 2026 /CNW/ -- HITRUST annonce aujourd'hui l'annonce d'IRIDX™, une société d'évaluation des risques informationnels. IRIDX établit et régit des méthodes normalisées de mesure du risque d'information résiduelle et d'estimation de l'exposition financière connexe. IRIDX transforme les données existantes sur l'assurance et les risques en mesures comparables et explicables qui donnent aux entreprises, aux conseils d'administration, aux souscripteurs et aux organismes de réglementation une base commune pour les décisions relatives aux risques liés à l'information.

Les organisations ont accès à des données exhaustives sur l'assurance et les risques, y compris des évaluations, des certifications, des questionnaires, des signaux de télémétrie et des signaux de risque externes, mais elles ne disposent pas d'un moyen cohérent de les évaluer efficacement à grande échelle et de les traduire en mesures comparables du risque résiduel lié à l'information. Cela limite leur capacité d'évaluer l'exposition par rapport à la propension à prendre des risques et d'intégrer les résultats au programme général de gestion des risques. Les dirigeants doivent comprendre l'ampleur du risque lié à l'information, ce que cela pourrait signifier financièrement, si cette exposition est acceptable et comment la gouverner, la comparer et la transférer.

« Vous ne pouvez pas gouverner ce que vous ne pouvez pas mesurer de façon constante », déclare Daniel Nutkis, fondateur et président exécutif du conseil, HITRUST et fondateur d'IRIDX. « Les marchés financiers reposent sur des mesures normalisées du risque de crédit parce que les décisions corrélatives exigent une base commune de comparaison. Le risque lié à l'information n'a pas le même fondement. IRIDX apporte une discipline de mesure au risque lié à l'information afin que les organisations puissent comparer le risque résiduel, comprendre l'exposition financière, gouverner ce qu'elles acceptent et prendre des décisions éclairées sur ce qu'elles réduisent, conservent ou transfèrent. »

IRIDX établit une mesure commune du risque lié à l'information en fournissant aux organisations une base normalisée pour interpréter les preuves d'assurance, comparer le risque résiduel et relier ce risque à l'exposition financière. Ce langage commun permet aux acteurs du risque, de la sécurité, des finances, de la direction et du conseil d'administration de travailler à partir de mesures cohérentes tout en prenant des décisions adaptées à leurs rôles.

À mesure que l'IA influe sur les menaces, les activités opérationnelles et le volume et la production de preuves d'assurance, IRIDX aide les entreprises à déterminer ce que ces preuves démontrent, la confiance qu'elles méritent et ce qu'elles signifient pour le risque résiduel de l'information. Elle améliore l'efficacité de l'examen par des tiers et permet de prendre des décisions qui ne peuvent pas toujours être appuyées aujourd'hui, y compris les endroits où réduire les risques, l'exposition à accepter et à conserver et ce qu'il faut transférer.

IRIDX s'appuie sur près de deux décennies d'expertise de HITRUST en matière d'analyse des cybermenaces, de développement des contrôles et de méthodologies d'assurance. Le rapport annuel de confiance de HITRUST fournit des preuves de son bilan en matière d'assurance grâce aux taux de violation signalés dans les environnements certifiés HITRUST. Cette base faisait partie intégrante de l'élaboration des propres méthodes d'IRIDX pour mesurer le risque d'information résiduelle et estimer l'exposition financière connexe. IRIDX développe et régit ces méthodologies selon son propre cadre de gouvernance, séparément des programmes d'assurance et de certification de HITRUST. Elle applique des critères cohérents quant à la pertinence, à la rigueur et à la fiabilité des éléments de preuve, peu importe leur source ou leur affiliation. 

Mesure du risque résiduel et de l'exposition financière

Le processus de renseignements sur les données probantes d'IRIDX évalue les évaluations, les certifications, les questionnaires, la télémétrie et les signaux externes pour déterminer ce que chaque intrant démontre et dans quelle mesure il appuie une détermination des risques. Ces évaluations déterminent comment les données probantes contribuent à la mesure du risque résiduel. IRIDX fournit des mesures normalisées et de l'aide à la décision au moyen de l'IRIDX Score, de l'exposition financière au risque informationnel (IRFE) et des outils de gouvernance et d'analyse comparative. L'objectif n'est pas une autre évaluation ou certification. Il s'agit d'une base de mesure cohérente pour comprendre le risque résiduel, évaluer l'exposition financière et prendre des décisions en matière de gouvernance, de souscription et de transfert des risques.

L'IRIDX Score mesure le risque résiduel lié à l'information et explique les facteurs qui motivent le résultat, aidant les équipes à prioriser les mesures d'atténuation. Un indicateur de confiance des données probantes aide à distinguer les faiblesses du contrôle des lacunes ou de l'incertitude des données probantes. Les Authoritative Alignment Scores montrent l'harmonisation et les lacunes démontrées par rapport aux exigences précises en matière de réglementation, de normes, de surveillance et de gouvernance ou de sécurité de l'IA, à l'appui de la production de rapports et des mesures correctives ciblées.

L'IRFE combine les signaux de risque résiduel et de confiance en données probantes d'IRIDX à des renseignements sur les services, les contrats et les répercussions sur les activités propres à la relation. Elle estime une fourchette faible, de base ou élevée fondée sur des scénarios d'exposition financière brute modélisée pour une relation définie, avant l'application de mécanismes d'assurance, d'indemnisation, de recouvrement contractuel ou d'autres mécanismes de transfert. Les hypothèses visibles et les facteurs de perte rendent chaque estimation traçable au contexte commercial de la relation.

« L'évaluation du cyberrisque est de la plus haute importance dans chaque opération de fusac et pour tout conseil d'administration d'exercer correctement ses obligations fiduciaires. Les clients doivent comprendre non seulement ce qu'un fournisseur a accepté, mais aussi l'exposition que l'entreprise peut encore représenter. Cela signifie tenir compte du risque résiduel d'information et de l'exposition financière et à la réputation, ainsi que des limites de responsabilité, des indemnités et des assurances », déclare Mark Solomon, associé directeur du bureau de Katten Muchin Rosenman à Dallas. « La valeur que nous voyons dans IRIDX et IRFE, c'est une base plus cohérente pour négocier les protections, décider quel risque accepter et documenter pourquoi. Cela compte tant à la table des négociations que dans la salle du conseil. »

« Les décisions relatives aux risques informationnels de tiers ont des conséquences sur l'ensemble de l'entreprise », déclare Gregory Webb, chef de la direction de HITRUST. « IRIDX comble l'écart entre les risques de cybersécurité et la prise de décisions d'affaires, offrant aux dirigeants et aux conseils d'administration une base cohérente et défendable pour comprendre leur exposition financière, prioriser la réduction des risques et prendre des décisions éclairées sur les risques à accepter, à conserver ou à transférer. »

Favoriser la gouvernance d'entreprise et le transfert des risques

La direction et les conseils d'administration peuvent comparer l'exposition à la propension à prendre des risques et aux seuils approuvés, suivre la proportion de fournisseurs dans les limites de tolérance et déterminer les exceptions et les concentrations importantes entre les fournisseurs, les services et les dépendances partagées. Les perspectives du portefeuille regroupent ces mesures pour appuyer l'analyse des tendances et la responsabilisation à l'égard des décisions et du suivi. L'analyse comparative par les pairs ajoute du contexte au moyen de groupes de comparaison pertinents, tandis que la couverture de l'examen et la confiance des données probantes rendent visibles les lacunes et l'incertitude.

« Le défi de la gestion des fournisseurs aujourd'hui est que nous n'obtenons qu'une vue quantitative du nombre de fournisseurs que nous avons examinés. Cela ne suffit plus dans le contexte actuel des menaces », explique Jeff Schilling, directeur de l'information et directeur de la sécurité de l'information chez TaskUs. « Nous devons comprendre le risque que nous acceptons, où il est concentré et si nous sommes à l'intérieur des seuils que nous avons établis. Nous devons également comprendre l'exposition financière d'un portefeuille de fournisseurs et une solution qui nous aide à décider où réduire les risques, combien nous sommes prêts à conserver et combien nous devons transférer. Bien qu'il ne s'agisse pas d'un client actuel, en tant que décideur des TI, la valeur que je vois dans IRIDX est de donner à la direction et au conseil d'administration une base commune pour ces décisions, y compris la façon dont nous comparons nos pairs et la confiance à accorder à l'information. »

IRIDX relie l'évaluation du risque et l'exposition financière pour appuyer la souscription et permettre le transfert du risque pour des relations ou des contrats particuliers avec des tiers. Les entreprises et les courtiers d'assurance peuvent comparer les estimations de l'IRFE à la couverture d'assurance pertinente et aux dispositions contractuelles de recouvrement pour éclairer les décisions relatives à la réduction, à la conservation ou au transfert de l'exposition. Les souscripteurs peuvent utiliser l'IRIDX Score, la confiance en la preuve et l'IRFE pour éclairer les décisions concernant une relation particulière. Les assureurs déterminent indépendamment la couverture, les limites, les rétentions, la tarification et les modalités. L'IRIDX Score pourrait également fournir une référence cohérente aux organismes de réglementation qui tiennent compte des politiques ou de la surveillance, y compris les tendances, les concentrations et les changements dans le risque lié à l'information.

« L'IRIDX Score offre une vision unique et convaincante du risque lié aux relations avec les tiers », déclare Josh Ladeau, directeur général des initiatives stratégiques chez Trium Cyber. « C'est peut-être notre première occasion, en tant que secteur, d'obtenir de véritables données sur la 'criticité de la relation avec le fournisseur', et ce n'est qu'un élément. Des processus plus approfondis de collecte et d'analyse de preuves, ainsi qu'une notation normalisée, offrent une confiance beaucoup plus grande dans la structuration d'une couverture appropriée et jettent les bases d'un produit spécifique au contrat comme True Transfer. »

« Le True Transfer de Trium, qui tire parti de l'IRIDX Score, permet au titulaire de police d'assurer chirurgicalement l'exposition du fournisseur au point de contrat, avec des limites clôturées. Il n'existe aucun autre produit équivalent sur le marché aujourd'hui, et cela donne l'assurance qu'il y aura un chèque à encaisser le jour où les choses tournent mal. Même dans le cas d'ententes contractuelles favorables, les conséquences typiques d'une atteinte à la sécurité d'un fournisseur nécessitent une poursuite pour accéder aux limites de la politique des fournisseurs, qui ont également probablement déjà été engagées à de nombreuses reprises auprès de chacun des autres clients du fournisseur », déclare Matt Donovan, vice-président exécutif chez Amwins Group.

Résultats opérationnels et crédibilité des mesures

IRIDX collabore avec les organismes de données probantes qui recueillent déjà et réduit l'interprétation manuelle et l'examen répété en normalisant les diverses données probantes et en cernant les intrants et les lacunes les plus pertinents pour la décision.

Un examen comparatif a révélé ce qui suit :

• Le temps médian d'examen par les analystes a diminué de 89 %, passant de 5,3 heures dans le cadre du processus existant à 35 minutes avec IRIDX.
• Le temps médian écoulé entre la présentation des preuves et la détermination des risques a diminué de 99,8 %, passant de 14 jours dans le cadre du processus existant à 35 minutes avec IRIDX.
• Le coût médian de la main-d'œuvre des analystes pour l'examen dans le cadre du processus existant était d'environ 850 dollars par examen, selon les coûts entièrement chargés des analystes. IRIDX permet aux entreprises d'économiser jusqu'à 80 % par examen. 

Ces résultats sont fondés sur un examen comparatif utilisant des coûts entièrement chargés par les analystes et une portée d'examen comparable ; les résultats individuels varient.

Les méthodologies IRIDX Score et IRFE ont fait l'objet d'un examen méthodologique indépendant par Hubbard Decision Research. Trium Cyber a évalué IRIDX pour son utilisation dans True Transfer, y compris l'IRIDX Score comme principal intrant des décisions de souscription.

Les méthodes brevetées à l'appui d'IRIDX traitent de la modélisation des risques résiduels et de l'adaptation des spécifications de contrôle axée sur la menace; d'autres méthodes sont en instance de brevet.

IRIDX est maintenant disponible en général.

Visitez IRIDX.com pour en savoir plus et demander une démonstration.

À propos d'IRIDX

IRIDX, une société HITRUST, est une entreprise d'évaluation du risque lié à l'information qui élabore et régit des méthodes et des mesures normalisées pour le risque résiduel lié à l'information et l'exposition financière connexe. Ses mesures appuient la gestion du risque informationnel de tiers, la gouvernance d'entreprise, l'analyse comparative, la souscription d'assurance et le transfert des risques. IRIDX et HITRUST sont des sociétés distinctes qui partagent un fondateur commun, Daniel Nutkis ; IRIDX régit ses méthodologies et sa notation indépendamment de HITRUST. Pour en savoir plus, visitez IRIDX.com.

À propos de HITRUST

HITRUST est le chef de file de l'assurance de la cybersécurité, de la gestion du cyberrisque et de la confiance des écosystèmes. HITRUST CSF harmonise plus de 70 normes et cadres de contrôle de la sécurité de l'information, de la confidentialité et de l'IA faisant autorité, continuellement adaptés pour suivre le rythme des dernières menaces, dans le cadre de cybersécurité de référence. L'assurance défendable est assurée par une validation indépendante par plus de 100 évaluateurs partenaires, un contrôle de la qualité centralisé, une certification et des rapports normalisés et une plateforme puissante. Les organisations de tous les secteurs d'activité utilisent HITRUST pour la gestion du risque lié aux tiers, la gestion du cyberrisque, la protection de l'information, la confiance numérique et la conformité. Selon le Trust Report 2026 de HITRUST, 99,62 % des environnements certifiés HITRUST n'ont pas signalé de brèche en 2025. Depuis près de 20 ans, HITRUST établit la norme en matière de cybersécurité, permettant aux équipes de gérer et de réduire les risques avec cohérence et efficacité à grande échelle afin que les organisations puissent exercer leurs activités en toute confiance et en toute sécurité. Pour en savoir plus, visitez HITRUSTalliance.net.

Contact avec les médias

Tony Welz
W2 Communications
[email protected]

SOURCE HITRUST Services LLC