EBIOS RM pas à pas : les cinq ateliers

Avant de lancer l'étude

EBIOS Risk Manager est la méthode d'appréciation et de traitement du risque numérique publiée par l'ANSSI avec le Club EBIOS. Sa version 1.5, datée de septembre 2024, a pour vocation de la rendre pleinement conforme à l'ISO/IEC 27005:2022, dont elle reprend une partie du vocabulaire.

Elle marie deux approches. Le socle de sécurité traite les risques courants, accidents compris, par la conformité à des référentiels. Les scénarios visent ce qu'un socle ne voit pas : les attaques ciblées, qui peuvent passer par un partenaire. Une étude qui s'arrête au socle reste un audit de conformité.

Le premier choix est donc l'objectif de l'étude. S'il s'agit de préparer une homologation, la méthode n'est pas libre : lorsque l'ANSSI est autorité d'homologation, EBIOS RM est obligatoire, et dans tous les autres cas elle est fortement recommandée.

Les cinq ateliers

La démarche part des missions de l'objet étudié et descend vers ses fonctions métier et techniques. Les quatre premiers ateliers apprécient les risques, le dernier décide de leur traitement. Les durées sont celles que le guide propose à titre indicatif, sans le travail de préparation.

Atelier 1 : le cadrage décide du reste

Le guide demande de désigner, dès cette première séance, la personne qui acceptera les risques résiduels à la fin de l'étude. Sans ce nom, l'atelier 5 produira un rapport, pas une décision. C'est aussi là que se fixent les durées des deux cycles.

Viennent ensuite les missions, les valeurs métier et leurs biens supports, puis les événements redoutés et la gravité de leurs impacts. Le socle de sécurité se mesure enfin référentiel par référentiel, chaque écart justifié ; les mesures qui comblent ces écarts peuvent entrer sans attendre au plan de traitement de l'atelier 5.

Atelier 2 : choisir ses adversaires

Qui pourrait nuire à nos missions, et dans quel but ? Chaque couple source de risque et objectif visé (SR/OV) se juge sur la motivation de la source, ses ressources et son activité.

Gardez peu de couples prioritaires. Le guide prévoit une seconde liste, celle des couples secondaires, à surveiller sans les étudier tout de suite : c'est elle qui permet de dire non sans rien perdre.

Atelier 3 : regarder l'écosystème

On sort ici de son propre système d'information. La dangerosité d'une partie prenante se lit sur son exposition, faite de dépendance et de pénétration, et sur sa fiabilité cyber, faite de maturité et de confiance. Un infogérant qui administre vos serveurs a une pénétration maximale ; un éditeur dont vous utilisez un logiciel hors ligne, presque nulle.

Les scénarios stratégiques décrivent les chemins qu'une source de risque peut emprunter, partenaires compris, et c'est à eux que s'attache la gravité. Une règle du guide mérite d'être retenue : une mesure sur l'écosystème ne baisse la dangerosité d'une partie prenante que si elle est déjà en place. Compter une mesure seulement prévue fausse le risque actuel.

Atelier 4 : descendre dans la technique

Chaque chemin d'attaque devient un mode opératoire sur les biens supports, souvent dessiné en graphe d'attaque. La vraisemblance s'estime à ce stade, pas avant. Les ateliers 3 et 4 se nourrissent l'un l'autre ; le guide conseille de s'en tenir à deux itérations.

Atelier 5 : décider, risque par risque

Chaque scénario de risque reçoit une décision. Le guide propose trois classes : acceptable en l'état, tolérable sous contrôle, inacceptable. Pour la dernière, il ne laisse pas de marge : des mesures de réduction à court terme, faute de quoi tout ou partie de l'activité est refusée.

Avant de clore, repassez les événements redoutés de l'atelier 1. Un événement grave qu'aucun scénario ne couvre est un angle mort ; une matrice de couverture le montre, et justifie au besoin un nouveau tour des ateliers 2 à 4.

De la source de risque au niveau de risque

Les ateliers 2 à 5 forment une seule chaîne. La gravité se décide au niveau stratégique, la vraisemblance au niveau opérationnel, et le niveau de risque combine les deux.

Cycles et homologation

Une étude EBIOS RM se revisite. Le cycle stratégique reprend toute l'étude, en particulier les scénarios stratégiques ; le cycle opérationnel revient sur les scénarios opérationnels au fil des incidents, des vulnérabilités et des modes opératoires nouveaux. Pour une homologation, le guide indique communément trois ans pour le premier et un an pour le second.

Le guide de l'homologation fixe la limite haute : l'ANSSI ne recommande pas de prononcer une homologation de plus de trois ans, et aucune ne se renouvelle automatiquement. Il rappelle aussi quels systèmes doivent être homologués avant toute mise en exploitation, parmi lesquels ceux soumis à la PSSIE et au RGS, au décret n° 2022-513 du 8 avril 2022, à l'II 901, à l'IGI 1300, ainsi que les systèmes d'information d'importance vitale.

Ce qui a changé depuis 2018

La version 1.5 rapproche le vocabulaire de celui de l'ISO. Les valeurs métier correspondent aux biens essentiels d'EBIOS 2010 et aux biens primaires de l'ISO 27005.