ISO 27005 ou EBIOS : deux façons d’analyser un risque

La question revient à chaque démarrage de projet : faut-il faire une analyse ISO 27005 ou EBIOS ? Elle repose sur une confusion — les deux ne sont pas au même niveau.

Ce que chacun est

ISO/IEC 27005 est un processus. Il décrit les étapes de la gestion du risque lié à la sécurité de l’information — établissement du contexte, identification, analyse, évaluation, traitement, acceptation, communication, surveillance — sans imposer la manière de les conduire.

EBIOS Risk Manager est une méthode. Publiée par l’ANSSI, elle prescrit un déroulé concret en cinq ateliers, avec des livrables et un vocabulaire définis.

On peut donc conduire une démarche conforme à ISO 27005 en utilisant EBIOS. Les deux ne s’opposent pas.

La différence d’approche

L’approche normative part des actifs. On identifie ce qu’on possède, les menaces qui pèsent dessus, les vulnérabilités, puis on croise vraisemblance et impact. Elle est systématique et exhaustive.

L’approche par scénarios part de l’attaquant. Qui voudrait nous nuire, pourquoi, et comment s’y prendrait-il ? Elle est sélective et narrative.

Conséquence pratique : la première produit une matrice, la seconde produit une histoire. Et une histoire obtient des arbitrages qu’une matrice n’obtient pas — point développé dans faire accepter un budget sécurité.

Quand privilégier EBIOS

• Vous devez convaincre une direction générale, pas seulement documenter.
• Votre exposition passe largement par des tiers : l’atelier 3 cartographie explicitement l’écosystème, ce que peu de méthodes font.
• Vous travaillez avec le secteur public ou des opérateurs sensibles, où la méthode est attendue.
• Vous avez besoin d’un résultat en quelques semaines sur un périmètre ciblé.

Quand privilégier l’approche normative

• Vous visez la certification ISO 27001 dans un groupe international où EBIOS est inconnue.
• Vous avez besoin d’une couverture exhaustive d’un périmètre restreint et bien délimité.
• Vous devez articuler l’analyse avec un dispositif de gestion des risques d’entreprise existant, souvent bâti sur une logique de matrice.

Ce qu’exige ISO 27001

La clause 6.1.2 impose un processus d’appréciation des risques défini et reproductible, avec des critères d’acceptation, une identification des risques, une analyse et une évaluation.

Elle n’impose aucune méthode. EBIOS RM satisfait ces exigences, à condition de tracer la correspondance : quels ateliers couvrent quelles étapes, quels critères d’acceptation, comment les scénarios se relient aux mesures retenues dans la déclaration d’applicabilité.

C’est ce point de traçabilité qui fait défaut dans la plupart des audits que nous accompagnons : l’analyse EBIOS existe, la SoA existe, et rien ne relie les deux.

L’erreur des deux camps

Côté normatif : produire une matrice de trois cents lignes que personne ne relit, avec des cotations de vraisemblance inventées faute de données. Une précision affichée qui n’existe pas.

Côté EBIOS : s’arrêter aux ateliers 1 et 2, produire une belle cartographie de l’écosystème, et ne jamais descendre aux scénarios opérationnels ni au plan de traitement. L’analyse devient un exercice de style.

Dans les deux cas, le symptôme est le même : l’analyse ne débouche sur aucune décision.

Ce qui compte plus que le choix

Trois choses, quelle que soit l’approche :

1. Des critères d’acceptation définis à l’avance, sinon tout risque paraît inacceptable et rien n’est arbitré.
2. Une révision périodique. Une analyse de 2022 non actualisée ne décrit plus votre organisation.
3. Un lien explicite avec le plan d’action. Un risque identifié sans mesure associée et sans échéance n’a produit qu’un document.

Sources

• ISO/IEC 27005 — lignes directrices pour la gestion des risques liés à la sécurité de l’information
• ISO/IEC 27001:2022, clauses 6.1.2 et 6.1.3
• ANSSI — EBIOS Risk Manager

Aller plus loin

Nous formons aux deux approches : EBIOS Risk Manager et ISO/IEC 27005 Risk Manager, ainsi que Lead Risk Manager. Nous conduisons ces analyses en mission en gouvernance, risques et conformité.