Analyse de risques : la méthode EBIOS Risk Manager

EBIOS Risk Manager est la méthode d’analyse des risques numériques publiée par l’ANSSI. Elle part des missions de l’entreprise plutôt que de ses machines, identifie qui aurait intérêt à l’attaquer et par quels chemins, puis débouche sur des décisions de traitement hiérarchisées et un plan d’amélioration continue.

C’est l’étape que l’on saute le plus souvent, et celle qui donne leur contenu à tous les autres documents. Sans elle, une politique de sécurité énumère des bonnes pratiques ; avec elle, elle arbitre.

Pourquoi commencer par là

Une entreprise ne peut pas tout protéger au même niveau. Le budget, le temps et l’attention des équipes sont finis, et prétendre le contraire produit une sécurité uniformément médiocre. L’analyse de risques est l’exercice qui rend ces arbitrages explicites, donc défendables devant un dirigeant, un assureur ou un régulateur.

Elle répond à trois questions dans cet ordre : qu’est-ce qui compte vraiment dans votre activité, qui aurait un intérêt à s’y attaquer, et jusqu’où êtes-vous prêt à investir pour l’empêcher. Les mesures techniques ne viennent qu’après, et elles découlent des réponses.

Les cinq ateliers d’EBIOS Risk Manager

La méthode s’organise en cinq ateliers, à mener dans l’ordre. Chacun produit une matière que le suivant consomme.

1. Cadrage et socle de sécurité. On délimite le périmètre, on identifie les missions et les valeurs métier de l’entreprise, les biens supports qui les portent, et les événements que l’on redoute. On mesure aussi l’écart entre les règles d’hygiène attendues et ce qui est réellement en place.
2. Sources de risque. Qui pourrait vous viser, et pour obtenir quoi. Un concurrent, un groupe criminel motivé par l’argent, un ancien salarié, un attaquant opportuniste. On retient les couples source et objectif les plus pertinents plutôt que d’essayer d’être exhaustif.
3. Scénarios stratégiques. On cartographie l’écosystème, c’est-à-dire vos partenaires, prestataires et fournisseurs, et l’on trace les chemins d’attaque possibles. C’est l’atelier qui révèle qu’on est souvent atteint par un tiers plutôt que frontalement.
4. Scénarios opérationnels. On descend au niveau technique : par quels modes opératoires concrets le chemin serait emprunté, et avec quelle vraisemblance compte tenu de ce qui est déjà en place.
5. Traitement du risque. On décide. Réduire, transférer, éviter ou accepter, risque par risque, avec un responsable et une échéance. L’atelier produit un plan d’amélioration continue de la sécurité et la liste assumée des risques résiduels.

Les trois premiers ateliers réunissent la direction et les métiers ; les deux derniers mobilisent la technique. C’est un point de méthode important : une analyse conduite par la seule équipe informatique produit une liste de vulnérabilités, pas une analyse de risques.

Ce que la méthode produit

• Une cartographie des valeurs métier et des biens supports qui les portent.
• Une cartographie de la menace de l’écosystème, qui alimente directement le registre des prestataires attendu par DORA.
• Des scénarios de risque hiérarchisés, avec gravité et vraisemblance.
• Une stratégie de traitement : ce qu’on réduit, ce qu’on transfère, ce qu’on évite, ce qu’on accepte.
• Un plan d’amélioration continue avec des mesures datées et des responsables nommés.
• La liste des risques résiduels, acceptée formellement par la direction. C’est souvent le livrable le plus utile, parce qu’il oblige à signer ce qu’on choisit de ne pas traiter.

EBIOS Risk Manager ou ISO 27005 ?

Les deux répondent au même besoin et ne s’excluent pas. ISO 27005 est une norme internationale qui décrit un processus de gestion du risque, sans imposer de méthode d’appréciation : c’est un cadre. EBIOS Risk Manager est une méthode opérationnelle, gratuite, publiée par l’ANSSI, qui s’inscrit dans ce cadre et fournit les ateliers, les ateliers manquant précisément à la norme.

En pratique, une entreprise française qui vise ISO 27001 ou qui doit démontrer sa gestion du risque à un régulateur national a tout intérêt à conduire un EBIOS RM : le vocabulaire est celui de l’ANSSI, les livrables sont reconnus, et la compatibilité avec la norme est assurée. C’est la raison pour laquelle nous la recommandons plutôt qu’une méthode propriétaire.

La boucle : du risque à la politique, et retour

C’est le point que la plupart des entreprises manquent. Une politique de sécurité n’est pas un document que l’on rédige une fois : c’est l’état, à un instant donné, des décisions prises face aux risques connus. Quand les risques changent, elle change.

1. L’analyse de risques produit des décisions de traitement.
2. La PSSI acte ces décisions et désigne les responsables.
3. La charte et les mesures techniques les rendent applicables au quotidien.
4. L’exploitation les met à l’épreuve : incidents réels, tentatives détectées, écarts constatés en supervision.
5. Ce retour d’expérience alimente l’itération suivante de l’analyse, et la boucle recommence.

La méthode prévoit d’ailleurs deux rythmes distincts. Un cycle stratégique, long, rejoue le cadrage et les scénarios lorsque l’activité, l’écosystème ou la menace évoluent. Un cycle opérationnel, plus court, réévalue les modes opératoires et l’avancement du plan de traitement. Le premier se mène en général une fois par an, le second en continu.

Ce qui déclenche une nouvelle itération

Le calendrier n’est pas le seul déclencheur, et s’y fier seul est la meilleure façon d’avoir une analyse périmée qui semble à jour.

• Un incident significatif, chez vous ou chez un prestataire dont vous dépendez.
• Un changement d’activité : nouveau métier, nouveau marché, croissance rapide, opération de rapprochement.
• Un changement d’architecture : migration vers le cloud, nouvelle application métier, ouverture d’un accès distant.
• Un changement d’écosystème : nouveau prestataire critique, ou incident majeur chez un fournisseur existant.
• Une évolution de la menace documentée, comme l’industrialisation d’un mode opératoire jusque-là réservé à des attaquants avancés.
• Une évolution de vos moyens. Le point est souvent oublié : une mesure devenue accessible, ou un budget nouveau, change ce qu’il est raisonnable d’accepter comme risque résiduel.

Qui conduit l’analyse

Un cabinet spécialisé, et pas votre infogéreur. La raison est la même que pour l’audit et le test d’intrusion : celui qui exploite votre système ne peut pas être celui qui évalue les risques qu’il vous fait courir. Ce serait corriger sa propre copie, et un régulateur le relèvera. ITAIA ne réalise donc pas votre analyse de risques et travaille avec des cabinets partenaires que nous pouvons vous recommander.

Ce que nous apportons se situe de part et d’autre. En amont, la matière factuelle sans laquelle les ateliers tournent à vide : inventaire complet du parc, cartographie des flux et des accès, liste des prestataires disposant d’un accès, journaux et historique des incidents réels. En aval, la mise en œuvre du plan de traitement, puis la preuve que les mesures décidées sont en place et le restent. C’est ce va-et-vient qui distingue une analyse vivante d’un rapport rangé dans un tiroir.

Le détail du partage des rôles entre technique, conseil et juridique figure sur notre page qui rédige quoi.

Questions fréquentes

Qu’est-ce qu’EBIOS Risk Manager ?

C’est la méthode d’analyse des risques numériques publiée par l’ANSSI. Elle se déroule en cinq ateliers, du cadrage des missions de l’entreprise jusqu’au plan de traitement, en passant par l’identification des sources de risque et des chemins d’attaque. Elle est gratuite, compatible avec ISO 27001 et 27005, et reconnue par les régulateurs français.

Quelle différence entre un audit et une analyse de risques ?

Un audit constate un état : ce qui est en place, ce qui manque, ce qui est mal configuré. Une analyse de risques décide : compte tenu de ce que vous faites et de qui pourrait vous viser, que traite-t-on en priorité et qu’accepte-t-on. L’audit alimente l’analyse, il ne la remplace pas.

À quelle fréquence refaire une analyse de risques ?

Un cycle stratégique complet une fois par an est un rythme sain, avec un suivi continu du plan de traitement entre deux. Mais la périodicité n’est pas le seul déclencheur : un incident significatif, un changement d’architecture, l’arrivée d’un prestataire critique ou une évolution documentée de la menace justifient de rejouer les ateliers concernés sans attendre l’échéance.

Une analyse de risques est-elle obligatoire ?

Pour une entreprise ordinaire, non. Pour une entité financière soumise à DORA, la gestion du risque lié aux technologies fait partie du cadre exigé, et l’analyse en est le socle. Elle devient également nécessaire en pratique pour une certification ISO 27001, pour de nombreux appels d’offres grands comptes, et de plus en plus souvent pour souscrire une assurance cyber.

Un infogéreur peut-il réaliser mon analyse de risques ?

Il ne devrait pas, pour la même raison qu’il ne devrait pas auditer ce qu’il exploite : il serait juge et partie sur les risques qu’il vous fait courir. En revanche il est indispensable au bon déroulement des ateliers, parce qu’il détient l’inventaire, la cartographie des accès et l’historique réel des incidents. Le bon montage associe un cabinet indépendant, votre direction, et votre prestataire technique comme contributeur.

Faire le point

Vous n’avez jamais mené d’analyse de risques, ou la vôtre date ? En trente minutes nous regardons ce dont vous disposez déjà comme matière, ce qui manque pour que les ateliers soient utiles, et nous vous orientons vers le bon cabinet. Sans engagement. Prendre rendez-vous.