EBIOS RM : Expression des besoins et identification des objectifs de sécurité, Risk Manager
Sécurité
EBIOS RM : Expression des besoins et identification des objectifs de sécurité, Risk Manager. « La méthode française d'analyse de risque qui part des attaquants plausibles plutôt que d'une liste exhaustive de menaces », par analogie avec l'enquêteur qui se demande d'abord qui aurait intérêt au crime avant d'aller inspecter, une par une, toutes les serrures de la ville.
Origine : Méthode publiée par l'ANSSI en 2018 avec le Club EBIOS, successeur de l'ancienne EBIOS. Elle est compatible avec les normes de gestion du risque (famille ISO 27005) et sert notamment aux homologations de sécurité et aux analyses de risque demandées par NIS2.
Cinq ateliers : 1. Cadrage et socle de sécurité : périmètre, valeurs métier, événements redoutés, conformité aux référentiels. 2. Sources de risque : qui pourrait attaquer et pour atteindre quel objectif (couples source de risque, objectif visé). 3. Scénarios stratégiques : par quelles parties prenantes de l'écosystème (fournisseurs, partenaires, clients) l'attaquant passerait. 4. Scénarios opérationnels : les modes opératoires techniques. 5. Traitement du risque : mesures, risques résiduels, décision.
Deux rythmes : Un cycle stratégique, revu tous les quelques années, porte sur l'écosystème et les sources de risque ; un cycle opérationnel, plus court, suit l'évolution des modes d'attaque et des vulnérabilités.
Ce qui la distingue : L'écosystème est au centre : la plupart des chemins d'attaque sérieux passent par un tiers moins protégé que la cible. La méthode vise une décision argumentée devant la direction, pas une note de risque calculée au dixième, dont la précision n'a jamais rassuré que ceux qui l'avaient calculée.
Ce qui arrive si on s'en passe
Sans analyse de risque structurée, les mesures de sécurité se choisissent par habitude ou au fil des incidents : on renforce ce qui vient d'être attaqué, avec la ferveur de qui ferme l'écurie après le départ du cheval, et l'on ignore le prestataire par lequel passerait l'attaque suivante. Les budgets suivent les demandes les plus pressantes plutôt que les scénarios les plus graves, et la direction arbitre sans voir les risques résiduels qu'elle accepte. Lors d'un contrôle ou d'une homologation, l'absence d'analyse documentée laisse les choix de sécurité sans justification opposable.
Explication de la marmotte
Pour décider comment protéger une entreprise, on commence par lister ce qui compte vraiment pour elle et ce qui serait grave de perdre. Ensuite, on se demande qui pourrait vouloir l'attaquer et dans quel but : des escrocs, un concurrent, des militants. Puis on regarde par où ils passeraient, souvent par un fournisseur ou un partenaire moins bien protégé, et comment ils s'y prendraient concrètement. Enfin, on choisit les protections et on dit clairement quels risques restent. Cette méthode a été écrite par l'agence française de cybersécurité.
Où ce terme est utilisé
- EBIOS RM : analyse de risque et limites pratiques (10 occurrences)
- AIPD RGPD article 35 : méthode, critères et impact sur l'architecture (5 occurrences)
- Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi (3 occurrences)
- AI Act : système de gestion des risques d'une IA à haut risque (article 9) (2 occurrences)
- Justifier un budget sécurité à la direction financière (1 occurrence)
- Laisser une équipe se tromper sans casser la production (1 occurrence)
- Le registre des traitements comme outil de sécurité (1 occurrence)
- NIS2 pour les petites structures (1 occurrence)
- Normes (1 occurrence)
- Qualification SecNumCloud 3.2 de l'ANSSI, exigences et limites (1 occurrence)