Rappelons dans un premier temps que le risque cyber n’est pas qu’une histoire de technicité informatique. La vigilance d’un utilisateur devant un mail d’hameçonnage dépend de comportements humains. Oublier de désactiver le compte d’un utilisateur ayant quitté les effectifs est une problématique organisationnelle. Le risque cyber se traite souvent par des combinaisons de mesures techniques, humaines, organisationnelles. Aussi, exprimer un risque cyber uniquement à travers de la technique informatique, c’est regarder le problème par le petit (et mauvais) bout de la lorgnette. Lorsque l’on exprime un risque, chaque personne utilise, consciemment ou non, sa propre expérience pour considérer la vraisemblance (ou probabilité) d’un risque, ses conséquences et impacts. Une personne vigilante et sensibilisée aux arnaques par courriel surestimera souvent la capacité des autres utilisateurs à détecter un courriel piégé. L’expression d’un risque contient toujours cette part de subjectivité, à l’origine de nombreux débats dont la conclusion sera la plupart du temps : « nous avons une vision différente de la situation ». Citons enfin l’appétence aux risques, cet autre facteur aux qualités bien humaines qui apporte un peu plus de subjectivité à l’exercice d’appréciation du risque. Pour vulgariser, l’appétence au risque explique que certains traversent au passage clouté malgré un feu piéton rouge quand d’autres n’envisagent jamais de le faire sans feu vert. Nous avons chacun notre propre propension à prendre des risques. Avec ces 3 premiers éléments, la partie s’annonce déjà complexe pour que plusieurs personnes s’accordent sur le traitement d’un risque cyber.