Analyse de risques EBIOS Risk Manager
Des risques décrits avec vos métiers, pas piochés dans un catalogue.
Réponse courte
Analyse de risques EBIOS : de quoi s’agit-il, pour qui, à quel prix ?
Analyse de risques menée selon la méthode EBIOS Risk Manager de l’ANSSI : cinq ateliers avec les métiers et la DSI, scénarios stratégiques et opérationnels, plan de traitement priorisé. Durée indicative : 2 à 6 semaines selon l’objet analysé. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
EBIOS Risk Manager : définition est la méthode d’analyse de risques publiée par l’ANSSI. Elle part de ce que vous avez à protéger et des sources de risque plausibles, puis construit des scénarios en descendant jusqu’au niveau technique. L’avantage sur une grille de cotation générique tient à ce que les risques qui en sortent concernent votre activité, pas un catalogue.
Elle se déroule en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Nous les animons avec les métiers et la DSI, car une analyse écrite par un consultant seul décrit rarement les vrais enjeux. L’effort est dimensionné à l’objet analysé : un produit SaaS ne demande pas le même travail qu’un système d’information d’établissement.
L’analyse sert ensuite à plusieurs usages : décider du plan de traitement, alimenter une homologation, nourrir le volet sécurité d’une analyse d’impact RGPD ou justifier les mesures retenues dans un SMSI : définition. La méthode est publique et librement applicable ; ce que nous apportons est l’animation, la rigueur des scénarios et le lien avec les mesures à mettre en œuvre.
En résumé
- Durée indicative
- 2 à 6 semaines selon l’objet analysé
- Prix
- sur devissur devis après cadrage
- Référentiels appliqués
- EBIOS Risk Manager (ANSSI)ISO/IEC 27005ISO/IEC 27001:2022ISO 31000Guide d’homologation de sécurité de l’ANSSI
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Analyse de risques EBIOS : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Atelier 1 : cadrage et socle de sécurité
Missions, valeurs métier, biens supports, événements redoutés et gravité ; état du socle de sécurité existant.
Atelier 2 : sources de risque
Qui pourrait vouloir nuire à vos valeurs métier, avec quelle motivation et quelles ressources ; sélection des couples retenus.
Atelier 3 : scénarios stratégiques
Cartographie des parties prenantes, chemins d’attaque stratégiques, mesures de sécurité à exiger de l’environnement du système.
Atelier 4 : scénarios opérationnels
Modes opératoires techniques détaillés, vraisemblance, lien avec les constats d’audits et de tests existants.
Atelier 5 : traitement du risque
Stratégie de traitement, plan de mesures avec propriétaires et échéances, risques résiduels à faire accepter.
Suivi et mise à jour
Cadre de revue de l’analyse quand le système, la menace ou le périmètre changent, pour qu’elle reste vivante.
Analyse de risques EBIOS : que livre la mission ?
- Dossier d’analyse par atelier, avec les décisions du groupe de travail
- Cartographie des valeurs métier, biens supports et événements redoutés
- Scénarios stratégiques et opérationnels cotés
- Plan de traitement des risques priorisé, avec propriétaires et échéances
- Synthèse pour la direction et registre des risques résiduels
Qu’est-ce que cela change pour vous ?
- Des risques que les métiers reconnaissent comme les leurs
- Un plan de mesures justifié par des scénarios, donc défendable devant un auditeur
- Une analyse réutilisable pour l’homologation, l’AIPD ou la certification
Analyse de risques EBIOS : pour qui est-ce utile ?
- Administrations et organismes qui préparent une homologation de sécurité
- Organisations qui bâtissent un SMSI et doivent justifier leurs mesures
- Éditeurs lançant un produit qui manipule des données sensibles
- Directions qui veulent arbitrer un budget sécurité sur des scénarios réalistes
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Analyse de risques EBIOS : combien de temps dure la mission ?
Durée indicative : 2 à 6 semaines selon l’objet analysé. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Analyse de risques EBIOS : ce qu’on nous demande
EBIOS Risk Manager ou ISO 27005 : quelle méthode choisir ?
Les deux ne s’opposent pas. ISO/IEC 27005 décrit un processus de gestion des risques adapté à un SMSI, sans imposer de déroulé ; EBIOS Risk Manager est une méthode complète, organisée en ateliers et centrée sur les scénarios. Dans le secteur public, EBIOS Risk Manager est l’usage courant, notamment pour l’homologation. Pour une certification ISO 27001, l’une ou l’autre convient, pourvu que la méthode soit définie et appliquée de façon cohérente.
Combien de personnes et de temps faut-il mobiliser pour les ateliers ?
Un groupe de quatre à huit personnes suffit en général : un sponsor métier, des responsables de l’activité, la DSI, la sécurité et, selon le sujet, le juridique ou le délégué à la protection des données. Chaque atelier prend une demi-journée à une journée, avec du travail de préparation et de consolidation entre les séances. Nous préparons les supports pour que le temps des participants serve à décider.
Une analyse de risques EBIOS RM est-elle obligatoire ?
Aucun texte ne l’impose à toutes les organisations. Pour l’homologation d’un système d’information du secteur public, elle est la méthode habituellement retenue. La directive NIS 2 exige des politiques d’analyse des risques sans prescrire une méthode, et ISO 27001 demande une méthode définie sans choisir laquelle. EBIOS Risk Manager est donc un choix, souvent pertinent, pas une obligation.
Pour comprendre avant de décider
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
Quelles prestations s’y associent ?
Homologation de sécurité
Faire accepter formellement les risques résiduels par l’autorité qui en répond.
2 à 6 mois selon la taille du système et le niveau d’exigencesur devis
Sécurité RGPD
Démontrer que la sécurité de vos traitements est adaptée au risque.
3 à 8 semaines selon le nombre de traitements concernéssur devis
Accompagnement ISO 27001
Construire un système de management de la sécurité que l’audit trouvera réel.
6 à 12 mois du cadrage à l’audit de certification, selon le point de départdès 1 900 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Analyse de risques EBIOS » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début