EBIOS Risk Manager
Méthode d'analyse des risques cyber publiée par l'ANSSI, fondée sur des scénarios d'attaque réalistes en cinq ateliers.
Définition complète
EBIOS Risk Manager (EBIOS RM) est la méthode d'analyse des risques numériques publiée par l'ANSSI en 2018, avec le soutien du Club EBIOS. Elle est gratuite et aide une organisation à identifier les risques qui pèsent sur ses activités essentielles, puis à décider des mesures de sécurité adaptées.
La méthode se déroule en cinq ateliers : (1) cadrage et socle de sécurité, (2) sources de risque, (3) scénarios stratégiques, (4) scénarios opérationnels, (5) traitement du risque. Sa particularité est de combiner une approche par la conformité (le socle de bonnes pratiques et de réglementations applicables) et une approche par la menace : qui pourrait vouloir attaquer, dans quel but, et par quel chemin, y compris en passant par un fournisseur ou un partenaire.
EBIOS RM est modulable : l'ANSSI la présente comme une boîte à outils dont le niveau de détail s'adapte aux objectifs. Elle est compatible avec les normes ISO 27001 et ISO 27005, et l'ANSSI délivre un label aux outils et aux prestations d'accompagnement conformes à la méthode.
Source : ANSSI, la méthode EBIOS Risk Manager
Exemple concret
Un sous-traitant aéronautique de 150 salariés conduit une analyse EBIOS RM. L'atelier 2 identifie comme source de risque un concurrent étranger intéressé par les plans de pièces. L'atelier 3 montre que le chemin le plus probable passe par le prestataire de maintenance des machines-outils, connecté à distance au réseau de production. Le plan de traitement priorise la sécurisation de cet accès plutôt qu'un nouveau pare-feu, prévu initialement.
Comment se protéger
- Réunir la direction, les métiers et l'informatique : l'analyse porte sur les activités, pas seulement sur la technique
- Délimiter un périmètre réaliste, par exemple une activité ou un site critique
- Recenser les fournisseurs et partenaires qui ont accès à vos systèmes ou données
- Traduire les scénarios en plan d'action priorisé, avec responsables et échéances
- Faire valider les risques résiduels par la direction
- Mettre à jour l'analyse lors d'un changement majeur (nouveau site, migration cloud, acquisition)
Questions fréquentes
Oui, à condition d'en limiter le périmètre et le niveau de détail. L'ANSSI conçoit la méthode comme modulable ; un accompagnement par un prestataire labellisé permet de la mener en quelques ateliers.
ISO 27005 donne des lignes directrices générales de gestion des risques ; EBIOS RM est une méthode concrète, compatible avec ces lignes directrices. Beaucoup d'organisations utilisent EBIOS RM pour réaliser l'appréciation des risques demandée par ISO 27001.
Termes liés
ISO 27005
Norme internationale de lignes directrices pour gérer les risques liés à la sécurité de l'information, en appui d'ISO 27001.
ISO 27001
Norme internationale de gestion de la sécurité de l'information.
NIS2
Directive européenne renforçant la cybersécurité des organisations.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
Vous avez besoin d'un expert en EBIOS Risk Manager ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.