Une méthode, pas un formulaire
EBIOS Risk Manager est la méthode d’analyse de risques publiée par l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. Elle part de ce qui compte pour l’organisation et de menaces réalistes, pour aboutir à des scénarios concrets et à un plan de traitement. Elle s’inscrit dans la logique d’ISO 27001 et d’ISO 27005.
Mal utilisée, elle produit un rapport épais que personne ne lit. Bien conduite, elle devient un outil de décision partagé entre les métiers, la direction et l’informatique.
Les cinq ateliers
- Cadrage et socle de sécurité : périmètre, valeurs métier, événements redoutés, référentiels applicables.
- Sources de risque : qui pourrait vous attaquer, et dans quel but.
- Scénarios stratégiques : les chemins d’attaque, y compris par votre écosystème de fournisseurs, partenaires et clients.
- Scénarios opérationnels : comment l’attaque se déroulerait concrètement sur vos systèmes.
- Traitement du risque : les mesures à mettre en place, leur priorité et le risque résiduel accepté.
Avec vos métiers
Une analyse de risques ne se fait pas seul derrière un écran. J’anime les ateliers avec les personnes qui connaissent le métier, les processus et les systèmes. Elles apportent la réalité du terrain, j’apporte la méthode et le regard extérieur. C’est ce qui rend les scénarios crédibles et les mesures acceptées.
Utile pour décider
Le résultat est un document que la direction peut lire : quelques scénarios qui parlent, une évaluation claire, des mesures priorisées. Il alimente votre déclaration d’applicabilité ISO 27001, votre feuille de route sécurité ou vos arbitrages budgétaires.
Je suis certifié EBIOS Risk Manager et ISO 27005 Risk Manager.
Questions fréquentes
EBIOS RM ou ISO 27005 ?
Ce n’est pas l’un ou l’autre. ISO 27005 donne le cadre de la gestion des risques, EBIOS RM est une méthode pour le mettre en œuvre. Son usage dans une démarche ISO 27001 fait parfois débat entre auditeurs, sur la question de l’exhaustivité. Bien conduite, avec un socle de sécurité construit sur l’annexe A, elle permet d’aboutir à une déclaration d’applicabilité conforme.
Faut-il un logiciel ?
Pas forcément. Des outils labellisés par l’ANSSI existent et peuvent aider sur de grands périmètres, mais des ateliers bien animés et des supports simples suffisent dans bien des cas.
À quelle fréquence la mettre à jour ?
La méthode prévoit de revoir les scénarios opérationnels plus souvent que les scénarios stratégiques, et de reprendre l’analyse à chaque changement important : nouveau système, nouvelle activité, incident.