EBIOS Risk Manager cheat sheet

EBIOS Risk Manager (ERM) est la méthode d'analyse de risque publiée par l'ANSSI ; elle prolonge EBIOS 2010 et s'articule autour de 5 ateliers : Cadrage et socle, Sources de risque, Scénarios stratégiques, Scénarios opérationnels, Traitement du risque.

Le cadrage définit le périmètre (biens supports, missions, processus métier) et produit la cartographie du système étudié ; il alimente tous les ateliers suivants.

Le socle (atelier 1) recense les mesures de sécurité déjà en place ; il conditionne la vraisemblance des scénarios et évite de re-proposer des mesures existantes.

L'atelier 2 identifie les sources de risque (menaces) et les objectifs visés (cibles : données, disponibilité, image, conformité) ; il construit le couple source/objectif.

L'atelier 3 produit des scénarios stratégiques : combinaison d'une source de risque, d'un objectif visé et d'un événement redouté, exprimé au niveau métier.

L'atelier 4 décline chaque scénario stratégique en scénarios opérationnels (chemins d'attaque techniques) sur les biens supports identifiés.

L'atelier 5 définit le traitement : mesures de sécurité, responsables, échéances, et acceptation des risques résiduels par la direction.

ERM s'appuie sur des échelles qualitatives de vraisemblance et de gravité (souvent 1 à 4) ; le risque est positionné dans une matrice vraisemblance × gravité.

La méthode est itérative : chaque atelier peut renvoyer au précédent si le périmètre, le socle ou les scénarios évoluent.

Bien support : composant (technique, organisationnel, humain, locaux) qui supporte une ou plusieurs valeurs métier ; il est la cible des scénarios opérationnels.

Valeur métier : information ou processus ayant de la valeur pour l'organisation (données clients, production, image) ; elle est exposée aux événements redoutés.

Événement redouté : atteinte à la sécurité d'une valeur métier (indisponibilité, fuite, altération, fraude) ; il est décrit au niveau métier, pas technique.

Source de risque : acteur (humain, environnemental, accidentel) susceptible de provoquer un événement redouté ; on la caractérise par sa motivation et ses capacités.

Scénario stratégique : enchaînement source de risque → objectif visé → événement redouté, exprimé sans détail technique.

Scénario opérationnel : chemin d'attaque concret décrivant les étapes sur les biens supports pour réaliser un scénario stratégique.

Gravité : impact d'un événement redouté sur l'organisation (financier, réglementaire, image, opérationnel) ; elle est évaluée indépendamment de la vraisemblance.

Vraisemblance : probabilité qu'un scénario se produise compte tenu du socle de mesures existant ; elle est évaluée par le couple source/objectif.

Risque résiduel : risque subsistant après application des mesures de traitement ; il doit être formellement accepté par la direction.

Le livrable de l'atelier 1 comprend la cartographie du système, la liste des valeurs métier et le socle de sécurité documenté.

L'atelier 2 produit la liste des couples source de risque / objectif visé, hiérarchisés selon la pertinence pour l'organisation.

L'atelier 3 produit des scénarios stratégiques avec leurs évaluations de vraisemblance et de gravité, positionnés dans la matrice de risque.

L'atelier 4 produit des scénarios opérationnels détaillant les chemins d'attaque et les mesures de sécurité manquantes sur chaque bien support.

L'atelier 5 produit le plan de traitement : mesures, responsables, échéances, indicateurs de suivi, et décision d'acceptation des risques résiduels.

La matrice de risque ERM croise vraisemblance et gravité ; les scénarios en zone rouge (vraisemblance et gravité élevées) sont prioritaires au traitement.

Le plan de traitement distingue les mesures de prévention (réduire la vraisemblance) et les mesures de protection/détection (réduire la gravité ou accélérer la détection).

ERM s'articule avec les référentiels ANSSI (guide d'hygiène, ISO 27005) ; il ne remplace pas une certification mais alimente la démarche de management du risque.

La revue périodique du plan de traitement et la mise à jour du socle assurent le caractère vivant de l'analyse de risque.