EBIOS Risk Manager est la méthode d'appréciation du risque numérique publiée par l'ANSSI en 2018, en remplacement d'EBIOS 2010. Le changement n'est pas cosmétique : la version 2010 partait des biens à protéger et de leurs vulnérabilités, la version 2018 part des attaquants et de ce qu'ils cherchent. C'est ce renversement qui explique la structure en cinq ateliers.
Atelier 1 : cadrage et socle de sécurité
On délimite l'objet de l'étude, on identifie les valeurs métier et les biens supports qui les portent, puis on définit les événements redoutés avec leur gravité.
Le socle de sécurité est le point le plus souvent bâclé. Il s'agit de lister les référentiels applicables, d'en mesurer l'application réelle, et de justifier les écarts. Un socle déclaré sans mesure fausse tous les ateliers suivants, puisque la vraisemblance des scénarios opérationnels dépend directement de ce qui est réellement en place.
Écueil fréquent : confondre valeur métier et bien support. La valeur métier est ce qui a de la valeur pour l'organisation, un processus ou une information. Le bien support est ce qui la porte, un serveur ou une application. Une gravité s'attribue à la valeur métier, jamais au serveur.
Atelier 2 : sources de risque et objectifs visés
On identifie les couples source de risque et objectif visé, puis on les retient ou on les écarte selon leur pertinence.
Une source de risque est caractérisée par sa motivation, ses ressources et son activité. Un concurrent, un État, un groupe cybercriminel et un employé mécontent n'ont ni les mêmes moyens ni les mêmes cibles. L'atelier consiste à écrire cette différence, pas à cocher une liste.
Le résultat attendu est une sélection argumentée, généralement de trois à six couples. Retenir toutes les sources imaginables produit un atelier 3 ingérable.
Atelier 3 : scénarios stratégiques
On cartographie l'écosystème, on évalue le niveau de menace des parties prenantes, puis on construit les chemins d'attaque qui traversent cet écosystème.
C'est l'apport le plus distinctif de la méthode. L'analyse ne s'arrête pas au périmètre de l'organisation : elle regarde les fournisseurs, les prestataires, les filiales et les clients comme autant de points d'entrée. Un prestataire de maintenance avec un accès distant permanent et une maturité faible est un chemin d'attaque, même si son contrat ne mentionne aucune donnée sensible.
Les mesures décidées ici portent sur l'écosystème : clauses contractuelles, audits de tiers, cloisonnement des accès partenaires.
Atelier 4 : scénarios opérationnels
On décrit techniquement comment un chemin d'attaque se réalise, mode opératoire par mode opératoire, puis on évalue sa vraisemblance.
C'est ici que le socle de l'atelier 1 se paie. Un scénario qui suppose un mouvement latéral par comptes à privilèges est vraisemblable si l'annuaire n'a ni tiering ni authentification renforcée ; il l'est beaucoup moins dans le cas inverse. L'atelier n'a de valeur que si l'évaluation s'appuie sur l'état mesuré, pas sur l'état cible.
Écueil fréquent : produire des scénarios trop nombreux et trop détaillés. L'objectif est de rendre une décision possible, pas d'écrire un rapport de test d'intrusion.
Atelier 5 : traitement du risque
On consolide les risques, on décide de la stratégie de traitement, on établit le plan d'amélioration continue et on documente les risques résiduels.
La sortie n'est pas une liste de risques mais un plan avec des porteurs, des échéances et un budget. Les risques résiduels doivent être formellement acceptés par une autorité qui a le pouvoir de les accepter. Un risque résiduel accepté par la direction des systèmes d'information, quand il porte sur une activité métier, n'est pas accepté.
Articulation avec ISO 27005 et NIS2
EBIOS RM est reconnue comme une méthode conforme à ISO 27005, qui décrit le processus sans imposer de méthode. Une organisation certifiée ISO 27001 peut donc l'utiliser pour satisfaire l'exigence d'appréciation des risques de la clause 6.1.2.
Pour NIS2, l'obligation d'analyse de risque de l'article 21 ne prescrit aucune méthode. EBIOS RM y répond, avec un avantage : l'atelier 3 couvre l'exigence de sécurité de la chaîne d'approvisionnement, qui est traitée séparément dans la plupart des autres approches.
Le rythme qui tient
Une étude complète mobilise des ateliers de travail avec des participants métier, pas seulement techniques. Le facteur limitant n'est pas la méthode, c'est la disponibilité des personnes qui connaissent les processus.
Deux erreurs de rythme reviennent. Conduire l'étude en une fois puis ne jamais la reprendre : l'écosystème change, les sources de risque aussi. Et la reconduire intégralement chaque année : les ateliers 1 et 2 bougent peu, les ateliers 3 et 4 méritent une revue annuelle.
Ce que Zaxyr apporte
Zaxyr porte les cinq ateliers dans un référentiel unique, où le socle de sécurité de l'atelier 1 est alimenté par l'état réel des contrôles plutôt que par une déclaration. Les mesures décidées à l'atelier 5 deviennent des actions suivies, rattachées aux exigences ISO 27001 et NIS2 qu'elles couvrent, ce qui évite de refaire l'analyse pour chaque cadre.