Méthode
EBIOS Risk Manager
Aussi appeléEBIOS RMEBIOS 2018Méthode EBIOS
En résumé
La méthode d’analyse de risques numériques publiée par l’ANSSI. Elle part des valeurs métier à protéger et des sources de risque plausibles, construit des scénarios stratégiques puis opérationnels au fil de cinq ateliers, et débouche sur un plan de traitement des risques. Elle s’articule avec la norme ISO/IEC 27005.
EBIOS Risk Manager, en détail
Les cinq ateliers se suivent : cadrage et socle de sécurité (valeurs métier, biens supports, événements redoutés), sources de risque (qui pourrait nuire, pour quelle raison), scénarios stratégiques (par quelles parties prenantes l’attaque passe), scénarios opérationnels (les modes opératoires techniques) et traitement du risque (mesures, risques résiduels). Le raisonnement part du métier et descend vers la technique, ce qui évite les listes de menaces sans lien avec l’activité.
La méthode s’applique à l’échelle d’un produit, d’un système ou d’une organisation, avec un effort adapté. Un périmètre ciblé donne de meilleurs résultats qu’une analyse trop large et inachevée. Elle est couramment employée dans le secteur public pour l’homologation, et elle alimente aussi les analyses d’impact RGPD et la justification des mesures d’un SMSI : définition. La qualité du résultat tient à la participation des métiers aux ateliers, plus qu’au formalisme.
Qu’est-ce que cela change pour vous ?
Une analyse EBIOS RM donne un fil conducteur entre un risque métier, un scénario d’attaque et une mesure à financer. Elle permet d’expliquer à une direction pourquoi une dépense est prioritaire.
Exemple illustratif (fictif)
Imaginons une plateforme de paiement dont le groupe de travail retient comme valeur métier la justesse des virements affichés aux commerçants. L’atelier sur les sources de risque ferait émerger un scénario qu’aucune liste de menaces génériques ne proposait : la modification d’un fichier de rapprochement par un prestataire.
La confusion fréquente
Dérouler les ateliers sans les métiers. L’analyse sort propre, complète en apparence, et décrit des risques que personne dans l’organisation ne reconnaît comme siens.
Quelles prestations s’appuient sur ce terme ?
- Analyse de risques EBIOS : la prestationDes risques décrits avec vos métiers, pas piochés dans un catalogue.
- Homologation de sécurité : la prestationFaire accepter formellement les risques résiduels par l’autorité qui en répond.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- ConformitéHomologation de sécurité : définitionLa décision formelle par laquelle l’autorité responsable d’un système d’information atteste qu’elle connaît ses risques de sécurité et accepte les risques résiduels.
- ConformitéAIPD : définitionL’analyse d’impact relative à la protection des données : une étude à mener avant tout traitement de données personnelles susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
- ConformitéSMSI : définitionLe système de management de la sécurité de l’information : l’ensemble des règles, rôles, processus et contrôles par lesquels une organisation gère ses risques de sécurité de façon continue, avec revue de direction et amélioration.
- MéthodeAudit de sécurité informatique : définitionUne évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début