La référence à utiliser pour une analyse EBIOS Risk Manager est le guide et les fiches méthodes publiés par l’ANSSI. L’expression « v2 2024 », parfois recherchée ou employée dans une offre commerciale, ne suffit pas à identifier une nouvelle édition officielle. Avant de migrer une étude, demandez le document, son éditeur, sa date et les changements précis. Cette page décrit les cinq ateliers de la méthode officielle et les livrables permettant de prendre une décision de sécurité.
La présentation ANSSI d’EBIOS Risk Manager et le guide accompagné de ses fiches et de son tableur constituent les références. Une numérotation utilisée par un formateur ou un logiciel ne crée ni une obligation réglementaire, ni une date d’expiration de vos analyses existantes.
Vérifier la version avant de lancer un chantier
Conservez dans le dossier la version du guide retenu, les fiches effectivement utilisées et les adaptations internes. Si le prestataire annonce un atelier supplémentaire, demandez s’il s’agit d’une réunion préparatoire ou d’un changement de méthode. Le cadrage et le socle de sécurité appartiennent au premier atelier officiel. Un entretien de lancement peut être utile sans devenir un « atelier 0 » imposé par l’ANSSI.
Pour une étude existante, comparez d’abord les hypothèses à la réalité : services couverts, dépendances, accès prestataires, événements redoutés et mesures effectivement déployées. Une architecture modifiée ou une nouvelle menace justifie une révision ciblée. La simple apparition d’un nom de version sur une proposition commerciale ne démontre pas que tout le dossier doit être refait.
Le cadrage technique s’appuie sur une cartographie du système d’information. Faites confirmer ses limites par les responsables métier : une application peut être disponible alors que le service est inutilisable parce que son annuaire, son prestataire ou son alimentation ne fonctionne plus.
Atelier 1 : cadrage et socle de sécurité
Définissez l’objet étudié, ses missions, les valeurs métier à protéger et les biens supports. Décrivez les événements redoutés en termes de conséquences, puis justifiez leur gravité. « Perte de disponibilité » est trop abstrait si personne ne sait quelle activité serait empêchée et pendant combien de temps.
Exemple entièrement hypothétique : une entreprise de maintenance doit pouvoir transmettre les interventions urgentes aux techniciens. L’événement redouté est l’impossibilité de planifier les interventions prioritaires, avec des conséquences contractuelles et de sécurité à expliciter. Le responsable métier fixe les conséquences acceptables ; le RSSI décrit les dépendances techniques ; la direction valide le périmètre.
Examinez ensuite le socle de sécurité applicable et les écarts. Une mesure absente ne doit pas être déclarée acquise parce qu’elle figure dans une PSSI. Distinguez une règle écrite, un paramétrage vérifié et une mesure seulement prévue. Cette distinction évite de construire les ateliers suivants sur une protection fictive.
Atelier 2 : sources de risque et objectifs visés
Identifiez les sources de risque intentionnelles pertinentes et ce qu’elles chercheraient à obtenir. Retenez les couples source de risque et objectif visé qui méritent d’être étudiés, en expliquant votre sélection. Une liste de noms de groupes d’attaquants copiée dans un rapport n’explique pas leur intérêt pour votre organisation.
Dans l’exemple de maintenance, un groupe criminel peut chercher à extorquer l’entreprise en interrompant la planification. Une autre hypothèse serait le vol d’informations commerciales. Les motivations, les capacités et la pertinence des couples retenus doivent être discutées avec les personnes qui connaissent les services et les accès exposés.
Les pannes et erreurs accidentelles restent importantes, mais ne doivent pas être artificiellement décrites comme des attaquants intentionnels. Leur prise en compte dans le socle de sécurité et les démarches complémentaires doit être explicite. Le compte rendu indique les hypothèses écartées, leur justification et les événements qui imposeraient de les réexaminer.
Atelier 3 : scénarios stratégiques et écosystème
Étudiez les parties prenantes pouvant être utilisées pour atteindre les valeurs métier : hébergeur, mainteneur, fournisseur de télémaintenance ou partenaire disposant d’un accès. La présence d’un fournisseur connu dans votre liste ne prouve pas qu’il constitue le chemin le plus dangereux. Examinez sa dépendance, ses accès et les garanties disponibles.
Le scénario stratégique explique le chemin général de l’attaque à travers cet écosystème. Pour notre entreprise fictive, une compromission du compte de télémaintenance peut donner accès au service de planification. Le livrable relie la partie prenante, l’objectif de l’attaquant, la valeur métier et les conséquences retenues au premier atelier.
Demandez les éléments nécessaires au fournisseur et tracez les absences de réponse. Un engagement contractuel sans preuve technique peut devenir une action à vérifier ; il ne doit pas automatiquement réduire la gravité ou la vraisemblance. Reliez cette analyse aux clauses, aux habilitations et aux décisions concernant les prestataires.
Atelier 4 : scénarios opérationnels
Décrivez comment les scénarios stratégiques pourraient se concrétiser sur les biens supports. Les équipes techniques précisent les étapes, les accès nécessaires et les protections rencontrées. Elles distinguent les possibilités plausibles des hypothèses encore non vérifiées. Une technique d’attaque connue n’est pertinente que si les conditions nécessaires existent dans le périmètre étudié.
Dans notre exemple, l’équipe examine l’authentification du prestataire, les droits accordés, les possibilités de déplacement entre systèmes et la capacité à détecter un usage inhabituel. Une matrice peut relier chaque étape à une preuve : configuration d’accès, résultat d’exercice, journal ou procédure d’intervention. Il est préférable de qualifier une information manquante que de lui attribuer arbitrairement un score rassurant.
Faites expliquer la vraisemblance retenue avec les critères de l’étude. Conservez le raisonnement et les désaccords utiles. Un graphique très détaillé, sans justification ni propriétaire des actions, n’aide pas la direction à arbitrer.
Atelier 5 : traitement du risque et décision
Le passage documenté entre risque inhérent et risque résiduel donne un exemple chiffré et conditionnel de l’effet des contrôles, sans se substituer aux ateliers EBIOS.
Une fois les scénarios décrits, la fiche d’appétence au risque cyber aide à expliciter seuils de décision, dépassement et personne habilitée à arbitrer.
Définissez les mesures, leur priorité, leur responsable et les moyens nécessaires. Réévaluez le risque résiduel attendu, puis distinguez cet objectif de l’état réellement atteint. Une action budgétée mais non déployée reste ouverte. La direction doit savoir quels risques elle accepte, avec quelles réserves et pour quelle période de suivi.
| Champ de suivi | Question à résoudre |
|---|---|
| Scénario concerné | Quel chemin ou quelle conséquence la mesure traite-t-elle ? |
| Action | Quel changement concret sera réalisé ? |
| Responsable | Qui peut obtenir les moyens et faire exécuter le travail ? |
| Vérification | Quel résultat permettra de constater l’efficacité ? |
| Dépendance | Quelle autre équipe ou quel prestataire doit intervenir ? |
| Décision | Qui accepte le risque restant et selon quelles conditions ? |
Pour le service fictif, séparer les accès de télémaintenance et vérifier une restauration indépendante peuvent constituer deux actions distinctes. Chacune demande un responsable et une preuve. Le plan de continuité d’activité reprend les besoins de reprise sans transformer automatiquement tout scénario EBIOS en incident avéré.
Si les scénarios EBIOS doivent être suivis dans un logiciel, le script de démonstration d’un outil de risques cyber teste le passage de l’hypothèse à l’arbitrage, à l’action et à sa preuve, sans imposer une note automatique.
Articuler EBIOS avec une AIPD
Une analyse de risque cyber peut fournir des informations utiles à une AIPD RGPD, notamment sur la sécurité et les scénarios de violation. Elle ne remplace pas l’examen des finalités, de la nécessité, de la proportionnalité et des conséquences pour les personnes prévu par l’article 35 du RGPD.
Le même incident peut avoir une gravité différente pour l’entreprise et pour les personnes : une fuite de données peut laisser le service disponible tout en exposant des individus. Gardez les deux raisonnements visibles et faites intervenir le DPO lorsque cela correspond à ses missions. La correspondance entre dossiers doit porter sur les faits partagés, sans fusionner leurs critères de décision.
Acheter une prestation et accepter ses livrables
Demandez une proposition fondée sur le périmètre et la disponibilité des participants, plutôt qu’un nombre universel de semaines ou de pages. Précisez les entretiens, ateliers, documents attendus, reprises après commentaires et conditions de transfert du dossier. Vérifiez les références du prestataire et les compétences des intervenants effectivement affectés.
À la réception, ouvrez un scénario au hasard et suivez-le jusqu’au plan d’action. Chaque étape doit rester compréhensible hors de la présentation orale du consultant. Contrôlez les pièces justificatives, les hypothèses non résolues et les décisions signées. Conservez une version exploitable des tableaux pour la mise à jour suivante. Notre guide de formation EBIOS Risk Manager aide à distinguer apprentissage de la méthode et achat d’une prestation complète.