EBIOS Risk Manager flashcards

32 cards. Read the term and the definition here. The deck at the top of this page is optional.

EBIOS Risk Manager

Méthode d'analyse de risque publiée par l'ANSSI, structurée en cinq ateliers allant du cadrage au traitement du risque.

Atelier 1 Cadrage

Première étape d'ERM qui définit périmètre, valeurs métier, biens supports et socle de sécurité existant.

Socle de sécurité

Ensemble des mesures de sécurité déjà déployées, recensées à l'atelier 1 et servant de référence pour évaluer la vraisemblance.

Valeur métier

Information ou processus ayant de la valeur pour l'organisation, exposé à des événements redoutés et protégé par des biens supports.

Bien support

Composant technique, organisationnel, humain ou immobilier qui supporte une ou plusieurs valeurs métier et constitue la cible des scénarios opérationnels.

Événement redouté

Atteinte à la sécurité d'une valeur métier, comme une fuite, une altération ou une indisponibilité, décrite au niveau métier.

Source de risque

Acteur humain, accidentel ou environnemental susceptible de provoquer un événement redouté, caractérisé par sa motivation et ses capacités.

Objectif visé

But poursuivi par une source de risque à l'encontre d'une valeur métier, par exemple dérober des données ou perturber un service.

Atelier 2 sources de risque

Étape d'ERM qui identifie les sources de risque et les objectifs visés, puis construit les couples source/objectif pertinents.

Scénario stratégique

Enchaînement source de risque, objectif visé et événement redouté, exprimé au niveau métier sans détail technique.

Atelier 3 scénarios stratégiques

Étape d'ERM qui produit et évalue les scénarios stratégiques en vraisemblance et gravité, positionnés dans la matrice de risque.

Scénario opérationnel

Chemin d'attaque concret décrivant les étapes techniques sur les biens supports pour réaliser un scénario stratégique.

Atelier 4 scénarios opérationnels

Étape d'ERM qui décline chaque scénario stratégique en chemins d'attaque sur les biens supports et identifie les mesures manquantes.

Atelier 5 traitement du risque

Étape d'ERM qui définit les mesures de sécurité, responsables et échéances, et formalise l'acceptation des risques résiduels.

Gravité

Ampleur de l'impact d'un événement redouté sur l'organisation, évaluée indépendamment de la vraisemblance du scénario.

Vraisemblance

Probabilité qu'un scénario se produise compte tenu du socle de mesures existant et des capacités de la source de risque.

Matrice de risque

Représentation croisant vraisemblance et gravité pour positionner les scénarios et hiérarchiser les priorités de traitement.

Risque résiduel

Risque subsistant après application des mesures de traitement, qui doit être formellement accepté par la direction.

Cartographie du système

Représentation des valeurs métier et des biens supports qui les portent, produite au cadrage et réutilisée dans les ateliers suivants.

Plan de traitement

Livrable de l'atelier 5 listant mesures, responsables, échéances et indicateurs de suivi des risques traités.

Mesure de prévention

Mesure de sécurité qui réduit la vraisemblance d'un scénario en rendant le chemin d'attaque plus difficile ou moins probable.

Mesure de protection

Mesure de sécurité qui réduit la gravité d'un événement redouté en limitant ses impacts sur l'organisation.

Détection

Capacité à identifier un événement de sécurité en cours afin de réduire son impact et d'accélérer la réponse.

ANSSI

Agence nationale de la sécurité des systèmes d'information, qui publie la méthode EBIOS Risk Manager et les guides associés.

Échelles qualitatives ERM

Niveaux gradués, souvent de 1 à 4, utilisés pour évaluer vraisemblance et gravité et positionner les scénarios dans la matrice.

Couple source objectif

Association d'une source de risque et d'un objectif visé, base de construction des scénarios stratégiques à l'atelier 2.

Analyse itérative

Principe d'ERM selon lequel chaque atelier peut renvoyer au précédent lorsque le périmètre, le socle ou les scénarios évoluent.

Hiérarchisation des risques

Classement des scénarios selon leur position dans la matrice vraisemblance × gravité pour prioriser les mesures de traitement.

Revue périodique

Mise à jour régulière du socle, des scénarios et du plan de traitement pour maintenir l'analyse de risque à jour.

Parties prenantes

Acteurs internes ou externes consultés lors du cadrage et des ateliers pour valider périmètre, scénarios et acceptation des risques.

Chemin d'attaque

Suite d'étapes techniques qu'un attaquant emprunte sur les biens supports pour atteindre l'objectif d'un scénario stratégique.

Référentiel ISO 27005

Norme internationale de management du risque de sécurité de l'information, complémentaire à la démarche EBIOS Risk Manager.