Analyse de risques, zoom sur la méthode EBIOS Risk Manager
La cybersécurité est un enjeu crucial dans le monde numérique, tant pour les entreprises que pour les administrations. La gestion des risques liés aux cyberattaques est une priorité, et pour y parvenir, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a développé une méthode incontournable : EBIOS Risk Manager. Cette méthode, couramment appelée EBIOS RM, est un outil structuré permettant d’identifier, d’analyser, d’évaluer et de traiter les risques cyber d’une organisation, en tenant compte des nouvelles menaces et des évolutions technologiques.
Dans cet article nous présenterons la méthode EBIOS RM, son cadre, ses objectifs, ses différentes étapes, ainsi que son usage pour améliorer la sécurité des systèmes d’information.
Présentation d’EBIOS Risk Manager
EBIOS, acronyme de : « Expression des Besoins et Identification des Objectifs de Sécurité », est une méthode française de gestion des risques de sécurité. Sa première version a été développée en 1995. La version Risk Manager a été publiée par l’ANSSI en 2018 et représente une évolution significative par rapport à ses prédécesseurs. EBIOS RM est une approche holistique qui intègre des concepts tels que la résilience et la gestion proactive des risques cyber.
EBIOS RM repose sur une démarche structurée permettant aux organisations de mieux comprendre et gérer les risques liés à la cybersécurité. Elle facilite l’analyse des risques, non seulement d’un point de vue technique, mais aussi organisationnel, stratégique et juridique, en prenant en compte les différents acteurs (internes ou externes) susceptibles de poser des menaces.
Les objectifs de la méthode EBIOS RM
EBIOS RM se fixe plusieurs objectifs majeurs :
– Identifier et analyser les risques : En modélisant et en analysant les différents risques auxquels une organisation est exposée, EBIOS RM permet de mieux les anticiper.
– Évaluer les risques : Cette méthode aide à prioriser les risques selon leur gravité et leur probabilité d’occurrence.
– Assurer la conformité réglementaire : EBIOS RM permet de répondre aux exigences des régulations, telles que le RGPD, NIS, OIV-LPM … en matière de protection des données.
– Définir une stratégie de sécurité : L’analyse des risques aide à bâtir des stratégies de cybersécurité adaptées, permettant à l’organisation de déployer des mesures proportionnées aux enjeux identifiés.
– Promouvoir une démarche collaborative : EBIOS RM encourage la participation de différents acteurs (métiers, techniques, dirigeants) pour une vision partagée des risques.
La structure d’EBIOS RM : Cinq ateliers pour maîtriser les risques
La méthode EBIOS RM est structurée autour de cinq ateliers permettant d’aborder de manière progressive les aspects fondamentaux de la gestion des risques.
Atelier 1 : Cadrage et contexte de l’étude
Le premier atelier consiste à définir et modéliser le périmètre de l’analyse des risques. L’objectif est de délimiter clairement les frontières du système d’information à protéger, d’identifier les actifs critiques et de bien comprendre l’environnement de l’organisation. Cela comprend l’analyse des objectifs de sécurité, des parties prenantes, des menaces potentielles et des contraintes spécifiques (réglementaires, économiques, techniques).
Les points clés à aborder lors de cet atelier incluent :
– L’identification des actifs critiques (valeurs métiers : données, processus ; biens supports : matériels, logiciels, infrastructures, ressources humaines, locaux…).
– La prise en compte des exigences de sécurité de l’entreprise ou de la législation applicable, via le socle de sécurité.
– Le contexte d’utilisation et les contraintes de fonctionnement des systèmes.
Atelier 2 : Étude des sources de risques
Le second atelier consiste à :
– Identifier des acteurs menaçants internes et externes (sources de risques).
– Définir les capacités et intentions des cybercriminels (objectifs visés).
Atelier 3 : Évaluation des chemins d’attaques stratégiques
Cet atelier se concentre sur l’identification des menaces et leur potentiel d’impact. Il s’agit de déterminer et d’évaluer les impacts sur les systèmes d’information du périmètre. Les scenarios stratégiques représentent les chemins d’attaque qu’une source de risque est susceptible d’emprunter pour atteindre son objectif visé. Ces scénarios se conçoivent à l’échelle de l’écosystème et des valeurs métier. Leur gravité est ensuite estimée.
Atelier 4 : Évaluation des chemins d’attaques opérationnels
À cette étape, on identifie les vulnérabilités techniques et organisationnelles exploitables sur les biens supports pour chaque chemin d’attaque stratégique ; ensuite on évalue la vraisemblance de chaque scénario. La vraisemblance est évaluée en fonction de la faisabilité et de la probabilité des scénarios d’attaques identifiés précédemment.
L’évaluation des scénarios de risques inclut :
– La vraisemblance que les menaces soient menées à bien, en fonction des vulnérabilités identifiées.
– L’impact potentiel sur les activités, notamment en termes de coût, de perte de données ou d’interruption de service.
– La comparaison des scénarios pour hiérarchiser les risques à traiter en priorité.
Atelier 5 : Stratégie de traitement des risques et gouvernance des risques
Une fois les risques priorisés, l’étape suivante consiste à définir une stratégie pour traiter ces risques. Il est possible d’opter pour plusieurs approches :
– Réduire les risques : en mettant en place des mesures de protection (politiques de sécurité, outils techniques, formation).
– Transférer les risques : en souscrivant des assurances ou en externalisant certaines activités à des prestataires.
– Accepter les risques résiduels : lorsqu’ils sont jugés tolérables en regard des bénéfices et des coûts de protection.
– Refuser le risque : ce qui oblige à supprimer l’activité métier porteuse du risque.
Ce cinquième atelier aide à concevoir des solutions de sécurité proportionnées aux enjeux identifiés, en fonction des capacités de l’organisation. Il porte également sur la mise en place de mesures de surveillance et de gouvernance. Il ne s’agit pas seulement de déployer des solutions techniques, mais aussi de créer un cadre de suivi pour évaluer l’efficacité des mesures mises en place. Cela inclut la mise à jour des scénarios de risques au fil du temps et la réévaluation périodique des menaces.
Les principales activités à mettre en œuvre dans cet atelier sont :
– La mise en place d’indicateurs de suivi des risques.
– Le contrôle et l’audit régulier des dispositifs de sécurité.
– La sensibilisation et la formation continue des utilisateurs aux bonnes pratiques de sécurité.
Les avantages d’EBIOS RM
La méthode EBIOS RM présente de nombreux avantages pour les organisations :
– Approche collaborative : EBIOS RM encourage l’implication des équipes techniques, des métiers et de la direction, ce qui permet une vision globale des risques et un alignement des stratégies.
– Personnalisation : Elle est adaptable à toutes les organisations, quelles que soient leur taille et leur secteur d’activité, et peut s’intégrer aux processus métiers existants.
– Déclinaison des normes de gestion de risques : EBIOS RM est une méthodologie compatible avec les exigences d’appréciation des risques de l’ISO 27001 et avec les exigences de gestion des risques de sécurité de l’information de l’ISO 27005.
– Conformité réglementaire : En appliquant EBIOS RM, les organisations peuvent mieux répondre aux exigences légales, notamment en matière de protection des données personnelles (RGPD), ou d’autres référentiels de sécurité de l’information.
Défis et limites d’EBIOS RM
Bien qu’efficace, la méthode EBIOS RM présente certains défis :
– Complexité initiale : Sa mise en œuvre peut sembler complexe pour des petites structures, nécessitant parfois un accompagnement externe pour bien en comprendre les principes.
– L’approche par scénarios d’EBIOS RM n’est ciblée que sur les menaces intentionnelles. Toutefois, les risques accidentels et environnementaux sont traités a priori via une approche par conformité au sein du socle de sécurité.
– Ressources nécessaires : La méthode demande du temps, de l’implication de plusieurs acteurs et des ressources pour être pleinement efficace.
– Adaptation permanente : Les cybermenaces évoluent rapidement, il est donc nécessaire de régulièrement réévaluer les risques et ajuster les mesures de sécurité.
Conclusion
La méthode EBIOS Risk Manager constitue un outil robuste et efficace pour identifier, analyser, évaluer, et traiter les risques cyber dans une organisation. Son approche modulaire, collaborative et orientée vers la résilience permet aux entreprises et aux institutions de répondre aux défis posés par l’évolution rapide des menaces numériques. En combinant analyse rigoureuse et adaptation constante, EBIOS RM s’inscrit comme un pilier central dans toute démarche de gestion proactive des risques liés à la cybersécurité.
