EBIOS Risk Manager : les cinq ateliers, sans le jargon

EBIOS Risk Manager souffre d’un problème de réputation : la méthode passe pour lourde et jargonneuse. Elle est effectivement structurée, mais le déroulé tient en cinq étapes qu’on peut expliquer sans vocabulaire ésotérique.

Publiée par l’ANSSI en 2018, elle a remplacé EBIOS 2010 avec un changement d’approche : partir des scénarios d’attaque plausibles plutôt que d’une revue exhaustive de vulnérabilités.

Atelier 1 — Cadrage et socle de sécurité

On définit le périmètre, on identifie ce qu’il faut protéger, et on établit ce qui est déjà en place.

Deux notions structurantes. Les valeurs métier : ce qui a de la valeur pour l’organisation — un processus de facturation, un fichier client, une capacité de production. Les biens supports : ce sur quoi ces valeurs reposent — serveurs, applications, prestataires, personnes.

Le socle de sécurité recense les mesures déjà appliquées et, surtout, les écarts assumés par rapport aux référentiels de référence.

L’erreur classique : partir des actifs techniques. On liste deux cents serveurs et on se perd. On part du métier : de quoi l’entreprise mourrait-elle si ça s’arrêtait ?

Atelier 2 — Sources de risque

Qui pourrait vouloir vous nuire, et pourquoi. On croise une source de risque — cybercriminel, concurrent, hacktiviste, employé mécontent, État — avec un objectif visé : gain financier, espionnage, déstabilisation, sabotage.

On ne retient que les couples pertinents. Un cabinet de conseil régional n’a pas le même profil de menace qu’un opérateur d’importance vitale, et prétendre le contraire fait perdre trois réunions.

L’erreur classique : vouloir être exhaustif. Cinq à huit couples bien choisis valent mieux que trente listés par principe.

Atelier 3 — Scénarios stratégiques

C’est l’apport le plus original de la méthode. On cartographie l’écosystème — clients, fournisseurs, prestataires, partenaires — et on identifie les chemins d’attaque qui passent par des tiers.

Chaque partie prenante est évaluée selon sa dépendance, sa pénétration dans votre système, sa maturité cyber et la confiance qu’on peut lui accorder. Il en ressort une carte des maillons faibles.

C’est l’atelier qui parle le mieux aux directions générales, parce qu’il montre que le risque n’est pas contenu dans le périmètre technique. Il rejoint directement l’exigence de sécurité de la chaîne d’approvisionnement de NIS 2.

Atelier 4 — Scénarios opérationnels

On descend au niveau technique. Comment l’attaque se déroulerait concrètement : accès initial, progression, élévation de privilèges, atteinte à la cible.

C’est ici qu’un référentiel comme MITRE ATT&CK s’articule naturellement avec la méthode, en fournissant le vocabulaire des techniques employées.

L’erreur classique : écrire les scénarios sans les équipes techniques. Un scénario rédigé par le seul risk manager reste théorique et ne convainc personne.

Atelier 5 — Traitement du risque

On décide. Pour chaque scénario retenu : réduire, transférer, éviter ou accepter. On produit un plan d’action avec responsables, échéances et budget, puis on définit les indicateurs de suivi.

L’erreur classique : traiter tout. Un plan qui compte quarante mesures prioritaires n’a aucune priorité. Dix mesures tenues valent mieux que quarante affichées.

Ce que la méthode apporte vraiment

Elle produit un discours audible en comité de direction. Un scénario raconté — « un prestataire de maintenance compromis sert de point d’entrée, l’attaquant atteint l’ERP en quatre jours, la production s’arrête une semaine » — obtient des arbitrages qu’aucun tableau de vulnérabilités n’obtiendra.

Elle force aussi à regarder l’écosystème, ce que la plupart des analyses de risques classiques ne font pas.

Ses limites

Elle demande du temps : compter plusieurs semaines pour un périmètre significatif, avec la disponibilité des métiers.

Elle est peu adaptée aux très petites structures, pour lesquelles une approche par référentiel simple est plus efficace.

Et elle ne remplace pas la mesure : une analyse EBIOS ne dit pas si votre annuaire est correctement configuré. Elle dit où regarder.

EBIOS ou ISO 27005 ?

Les deux sont compatibles. ISO/IEC 27005 décrit un processus de gestion du risque conforme à ISO 27001, sans imposer de méthode. EBIOS RM est une méthode qui s’inscrit dans ce processus.

En pratique : si vous visez la certification ISO 27001, EBIOS RM est une façon acceptable de conduire l’appréciation des risques exigée par la clause 6.1.2 — à condition de tracer la correspondance dans votre déclaration d’applicabilité.

Sources

• ANSSI — La méthode EBIOS Risk Manager
• Club EBIOS — retours d’expérience et cas d’usage
• ISO/IEC 27005 — lignes directrices pour la gestion des risques liés à la sécurité de l’information

Aller plus loin

Notre formation EBIOS Risk Manager couvre les cinq ateliers en conditions réelles. Pour l’approche normative, voir ISO/IEC 27005 Risk Manager. Nous conduisons également ces analyses en mission, en gouvernance, risques et conformité.