Ebios RM

Selon EBIOS Risk Manager, un risque cyber se définit comme :

• La possibilité qu'un événement redouté perturbe les missions
• L'exploitation certaine d'une vulnérabilité par une menace identifiée
• La probabilité statistique de subir une cyberattaque dans l'année
• L'impact financier maximal d'un incident de sécurité majeur

La méthode EBIOS Risk Manager structure l'analyse de risque en :

• Trois phases d'analyse et deux phases de validation
• Quatre étapes alignées sur le cycle PDCA standard
• Six domaines de contrôle obligatoires et séquentiels
• Cinq ateliers complémentaires et modulables

L'atelier dédié à l'évaluation des parties prenantes de l'écosystème est :

• L'atelier 1 - Cadrage et socle de sécurité initial
• L'atelier 3 - Scénarios stratégiques
• L'atelier 2 - Sources de risque et objectifs visés
• L'atelier 4 - Scénarios opérationnels techniques

Une valeur métier représente dans EBIOS RM :

• Un actif informatique ayant une valeur financière stratégique
• Un indicateur clé de performance de la sécurité
• Un processus ou information essentielle à la mission
• Un bien nécessitant une protection maximale renforcée

Pour calculer le niveau de menace d'une partie prenante, EBIOS RM utilise :

• Menace = Exposition cumulée + Fiabilité cyber
• Menace = Vraisemblance × Impact × Vulnérabilité résiduelle
• Menace = Criticité / Mesures de protection appliquées
• Menace = (Pénétration × Dépendance) / (Maturité × Confiance)

Combien d'ateliers composent la méthode EBIOS Risk Manager ?

• Cinq ateliers modulables
• Trois ateliers principaux obligatoires
• Quatre ateliers séquentiels imposés
• Six ateliers complémentaires optionnels

Le socle de sécurité défini dans l'atelier 1 permet principalement de :

• Calculer le budget nécessaire à la sécurisation complète
• Couvrir les risques non intentionnels et établir l'hygiène
• Définir les mesures techniques obligatoires pour certification
• Identifier toutes les vulnérabilités critiques à corriger

Un événement redouté dans EBIOS RM correspond à :

• Une menace identifiée dans les bulletins CERT-FR récents
• Un incident ayant déjà impacté l'organisation précédemment
• Une vulnérabilité découverte lors d'un audit de sécurité
• Une atteinte potentielle à une valeur métier avec impacts graves

La distinction scénario stratégique/opérationnel réside principalement dans :

• Le niveau de détail : vue macro versus description technique
• L'horizon temporel : long terme versus court terme immédiat
• Les acteurs impliqués : direction versus équipes techniques
• L'obligation réglementaire : requis versus optionnel

Une partie prenante en "zone de danger" présente typiquement :

• Une absence totale de mesures de sécurité appliquées
• Un niveau de risque résiduel jugé inacceptable
• Une exposition élevée combinée à une faible fiabilité cyber
• Une conformité réglementaire insuffisante documentée