Aller au contenu

Méthode EBIOS Risk Manager

Accompagnement dans la réalisation des ateliers, la formalisation des scénarios de risque et la construction d'une démarche de gestion des risques.

EBIOS Risk Manager est la méthode d'appréciation et de traitement des risques numériques publiée par l'ANSSI avec le soutien du Club EBIOS. Elle associe une approche par conformité, pour le socle de sécurité, et une approche par scénarios, pour les menaces ciblées.

La méthode se déroule en cinq ateliers. Leur réussite dépend beaucoup de l'animation : réunir les bonnes personnes, garder un niveau de détail utile, aboutir à des décisions. C'est le rôle que nous tenons, avec l'expérience de son fondateur, ancien chef du bureau « Management des risques cyber » de l'ANSSI.

Les situations auxquelles nous répondons

  • Vous devez produire une analyse EBIOS RM pour une homologation ou à la demande d'un donneur d'ordre.
  • Vous avez engagé la méthode et les ateliers s'enlisent.
  • Vous voulez former vos équipes en réalisant une première étude accompagnée.
  • Vous cherchez à articuler EBIOS RM avec votre SMSI ISO 27001.

Les cinq ateliers

  1. Cadrage et socle de sécurité

    Périmètre de l'étude, valeurs métier, biens supports, événements redoutés et conformité au socle de sécurité.

  2. Sources de risque

    Identification des sources de risque et de leurs objectifs visés, puis sélection des couples les plus pertinents.

  3. Scénarios stratégiques

    Cartographie de l'écosystème, parties prenantes critiques et chemins d'attaque de haut niveau.

  4. Scénarios opérationnels

    Modes opératoires techniques susceptibles d'être utilisés et évaluation de leur vraisemblance.

  5. Traitement du risque

    Synthèse des risques, stratégie de traitement, plan d'amélioration continue de la sécurité et risques résiduels.

Livrables possibles

Les livrables sont arrêtés avec vous avant le démarrage, en fonction de votre besoin et de ce qui existe déjà.

  • Dossier d'étude EBIOS Risk Manager
  • Valeurs métier, biens supports et événements redoutés
  • Cartographie de l'écosystème et des parties prenantes critiques
  • Scénarios stratégiques et opérationnels
  • Plan d'amélioration continue de la sécurité
  • Synthèse des risques résiduels

Questions fréquentes

Faut-il dérouler les cinq ateliers ?

Pas nécessairement. La méthode prévoit d'adapter le nombre d'ateliers et leur profondeur à l'objectif de l'étude : une première étude ou un périmètre simple peuvent se concentrer sur le cadrage, le socle de sécurité et le traitement.

Qui doit participer aux ateliers ?

Des représentants des métiers, de la direction, de l'informatique et de la sécurité, selon les ateliers. La présence des métiers est indispensable aux premiers ateliers, celle des équipes techniques au quatrième.