EBIOS Risk Manager
EBIOS RM · EBIOS · méthode d’analyse de risques · méthode ANSSI · ateliers EBIOS · scénarios de risque
Méthode française d’analyse des risques numériques, publiée par l’ANSSI, qui part des missions essentielles de l’organisation et des attaquants plausibles pour construire des scénarios et un plan de traitement.
En pratique
Publiée en 2018 par l’ANSSI avec le Club EBIOS, la méthode a été mise à jour en 2024 (version 1.5) et alignée sur l’ISO/IEC 27005:2022. Elle se déroule en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Sa force est de faire travailler ensemble métiers, direction et techniciens sur des scénarios concrets (« un concurrent fait dérober nos plans via un sous-traitant ») plutôt que sur une liste abstraite de menaces. Elle sert notamment à l’homologation de sécurité des systèmes publics, et l’ANSSI labellise des logiciels qui la mettent en œuvre.
Cas fictif : une collectivité mène les cinq ateliers avant de dématérialiser son état civil. Le scénario jugé le plus grave n’est pas une attaque directe, mais la compromission de l’hébergeur de l’application : le contrat est renégocié, avec des exigences de sécurité et un droit d’audit.
