Sécurité offensive
Gouvernance & conformité
Protection des données
L'ANSSI a publié EBIOS Risk Manager en 2018, en rupture avec la logique d'inventaire qui dominait jusque-là les analyses de risque. Huit ans plus tard, la méthode est devenue la référence française, citée dans les dossiers NIS 2, réclamée par les auditeurs, inscrite dans les cahiers des charges. Elle est aussi, souvent, mal employée. Beaucoup d'analyses se terminent par un classeur de trois cents lignes que personne ne rouvre, faute d'avoir été construit pour décider quoi que ce soit. Chez Digitemis, nous animons ces ateliers pour des organisations qui doivent à la fois se protéger, se conformer et continuer à produire. Une analyse utile répond à une question courte : sur quels verrous investir pour que l'activité ne s'arrête pas.
La finalité de la méthode
EBIOS RM raisonne par scénarios, pas par catalogue. Elle ne cherche pas à recenser toutes les vulnérabilités de chaque serveur, travail sans fin et périmé au bout d'un mois. Elle part de l'attaquant, de ce qu'il veut, et du chemin qu'il devrait emprunter pour l'obtenir.
Au-delà de l'inventaire des vulnérabilités
La confusion la plus fréquente porte sur la frontière entre audit technique et analyse de risque. Un scan de vulnérabilités vous dit qu'un service est exposé et qu'un correctif manque. L'analyse EBIOS RM dit si un attaquant, avec ses motivations et ses moyens, a intérêt à passer par là pour interrompre votre production ou exfiltrer un fichier client. La différence porte sur la hiérarchisation. Une liste de vulnérabilités traitée sans priorité consomme du budget sur des correctifs sans effet sur les scénarios qui menacent réellement l'activité.
Une méthode faite pour arbitrer
Le livrable attendu est un plan d'amélioration de la sécurité, chiffré et porté par la direction. Chaque atelier alimente cette décision finale. Le résultat n'est pas une note globale de maturité, mais une cartographie des chemins qu'un attaquant emprunterait en priorité, avec ce que coûterait leur fermeture. Si l'analyse ne modifie ni la politique de sécurité des systèmes d'information, ni la feuille de route budgétaire, elle a manqué sa cible.
Atelier 1 : cadrage et socle de sécurité
Le premier atelier définit ce qu'on protège et le niveau de sécurité déjà attendu. Une application de paie et un serveur de fichiers publics n'appellent pas les mêmes exigences, et c'est ici que la distinction se pose.
Le périmètre et les événements redoutés
Le périmètre se choisit. Trop large, l'analyse devient ingérable et s'enlise dès l'atelier 3. Trop étroit, elle rate les dépendances qui font justement le risque. Les événements redoutés s'expriment en termes métiers : arrêt de la chaîne logistique pendant vingt-quatre heures, divulgation de la base client, altération des données de facturation. Aucune technique à ce stade, uniquement des conséquences pour l'organisation. Les responsables métiers doivent être dans la salle, parce qu'eux seuls savent ce que coûte une indisponibilité de quelques heures sur leur activité.
Le socle de sécurité
C'est la vraie nouveauté de la version RM par rapport aux itérations précédentes d'EBIOS. Avant de modéliser une attaque sophistiquée, on vérifie que les fondamentaux tiennent : hygiène informatique, gestion des comptes à privilèges, sauvegardes testées, conformité réglementaire, application des guides de l'ANSSI. L'écart au socle se documente et se justifie. Un socle troué rend l'analyse des scénarios complexes prématurée, puisque l'attaquant opportuniste passera avant l'attaquant déterminé. Un accompagnement à l'analyse de risques commence d'ailleurs souvent par cette mise à plat.
Entrées, sorties et pièges du premier atelier
- Entrées : liste des actifs métiers, cadre réglementaire applicable (RGPD, NIS 2, DORA), référentiels d'hygiène.
- Sorties : événements redoutés et gravité associée, actifs supports, écarts au socle de sécurité.
- Pièges : vouloir couvrir tout le système d'information d'un coup. Procédez par itérations sur des sous-ensembles cohérents.
Atelier 2 : sources de risque et objectifs visés
L'atelier 2 change de point de vue et adopte celui de l'attaquant. Qui en veut à l'organisation, et pour obtenir quoi. C'est un travail de renseignement sur la menace, qui s'appuie sur des sources externes autant que sur la connaissance du secteur.
La caractérisation des attaquants
On identifie les sources de risque : groupe cybercriminel motivé par le gain, concurrent en quête d'informations techniques, hacktiviste, administrateur en fin de contrat, prestataire négligent. Chacune se caractérise par ses ressources, sa motivation et son activité observée. Les campagnes de rançongiciels opportunistes restent le fond de tableau pour la plupart des organisations. Les actions ciblées sur la propriété intellectuelle concernent surtout l'industrie et la recherche, et elles supposent un attaquant patient, ce qui change complètement les mesures à prévoir.
Les couples source / objectif
Chaque source de risque est associée à des objectifs visés. Un acteur étatique cherche la persistance et l'exfiltration discrète sur plusieurs mois. Un groupe criminel cherche le blocage rapide et la pression sur le paiement. En croisant les deux, on obtient des couples source/objectif que l'on hiérarchise, et ce sont eux qui alimentent l'atelier suivant. Un couple retenu sans motivation crédible produit des scénarios que personne ne prendra au sérieux au moment d'arbitrer.
Entrées, sorties et pièges du deuxième atelier
- Entrées : état de la menace sectorielle, publications de l'ANSSI et du CERT-FR, incidents survenus dans la filière.
- Sorties : couples sources de risque / objectifs visés, retenus et priorisés.
- Pièges : se limiter à l'attaquant externe anonyme. Les accès internes et ceux des partenaires pèsent lourd dans les compromissions réelles.
Atelier 3 : scénarios stratégiques et écosystème
L'atelier 3 est le plus exigeant à animer et le plus rentable. On y décrit comment l'attaquant utilise votre environnement pour atteindre son objectif, en incluant tout ce qui n'est pas sous votre contrôle direct.
L'écosystème comme vecteur d'entrée
L'attaquant passe rarement par la porte principale. Il passe par l'infogéreur, le fournisseur de maintenance industrielle, l'éditeur métier, le partenaire disposant d'un accès VPN permanent. Les panoramas de la cybermenace publiés chaque année par l'ANSSI reviennent avec constance sur ces compromissions par rebond, et la CNIL a documenté des cas où l'incident chez un seul éditeur a contraint des milliers de responsables de traitement à notifier. L'atelier consiste à noter chaque partie prenante selon son exposition, sa maturité et le niveau d'accès dont elle dispose. Les plus mal notées sont les rebonds à traiter en premier.
Des chemins d'attaque réalistes
Le scénario stratégique reste à haute altitude : l'attaquant compromet le prestataire de maintenance de la gestion technique du bâtiment, atteint le réseau industriel par la liaison de télémaintenance et arrête la production. On ne descend pas encore à la commande près, on dessine la route et on nomme les points de passage. L'exercice fait remonter des fragilités contractuelles autant que techniques, et il arrive souvent qu'une clause de notification manquante saute aux yeux à ce moment précis.
Entrées, sorties et pièges du troisième atelier
- Entrées : cartographie des parties prenantes, flux réseau externes, dépendances logicielles, contrats de sous-traitance.
- Sorties : scénarios stratégiques sous forme de chemins d'attaque, mesures de sécurité à porter sur l'écosystème.
- Pièges : écarter les acteurs jugés mineurs qui disposent pourtant d'accès privilégiés, agence de communication ou support applicatif en tête.
Atelier 4 : scénarios opérationnels
Les experts techniques prennent la main. On vérifie que les chemins tracés à l'atelier 3 tiennent debout au regard de l'architecture réelle.
Du chemin stratégique au graphe d'attaque
Chaque étape se décompose en actions élémentaires : connaissance, intrusion, découverte, latéralisation, exploitation. Pour chacune, on regarde ce qui existe déjà comme barrière. Un poste utilisateur compromis permet-il d'atteindre le serveur de base de données. Le cloisonnement réseau tient-il. L'EDR détecte-t-il la technique employée, et surtout, quelqu'un lit-il l'alerte. Le graphe d'attaque rend visibles les endroits où une seule mesure coupe plusieurs scénarios à la fois, et ce sont ceux-là qui remontent en tête du plan de traitement.
La vraisemblance vue par les TTP
La vraisemblance n'a rien d'une probabilité mathématique. C'est une évaluation de la difficulté pour l'attaquant considéré, appuyée sur les tactiques, techniques et procédures (TTP) documentées. Une étape qui suppose une chaîne d'exploitation inédite et des moyens de service de renseignement restera peu vraisemblable face à un groupe criminel ordinaire. Une vulnérabilité publique non corrigée sur un service exposé, avec un code d'exploitation disponible, se cote au maximum sans discussion.
Entrées, sorties et pièges du quatrième atelier
- Entrées : schémas d'architecture, inventaire technique, résultats de scans et de tests d'intrusion, configuration des dispositifs de détection.
- Sorties : graphes d'attaque, vraisemblance par scénario, niveau de risque avant traitement.
- Pièges : se perdre dans le détail. L'objectif reste de couvrir les scénarios majeurs, pas de modéliser chaque paquet réseau.
Atelier 5 : traitement du risque et pilotage
Le dernier atelier appartient à la direction. Investir, transférer, accepter, modifier un processus : l'arbitrage se fait ici, dossier par dossier.
L'arbitrage des mesures
Pour chaque scénario dont le risque dépasse le seuil d'acceptation, on définit des mesures techniques (segmentation, authentification multifacteur, durcissement), organisationnelles (revue des droits, procédure de notification) ou juridiques (clauses de sécurité et d'audit chez les prestataires). Chaque mesure se mesure à son effet : de combien fait-elle baisser la vraisemblance ou la gravité, pour quel coût et quel délai. Ce chiffrage donne un plan d'amélioration de la sécurité (PAS) discutable en comité de direction, avec des risques résiduels formellement acceptés et signés. Un risque accepté sans signature retombe sur le RSSI le jour de l'incident.
La durée de vie de l'analyse
Une analyse EBIOS RM se périme. Migration vers le cloud, rachat d'une filiale, nouveau progiciel de gestion, changement d'infogéreur : chacun de ces événements rouvre l'atelier 3. Prévoyez une revue annuelle courte, centrée sur l'évolution de la menace et l'avancement du plan, et une reprise complète à chaque changement d'architecture. Sans ce rythme, le document devient une photo d'un système d'information qui n'existe plus.
Entrées, sorties et pièges du cinquième atelier
- Entrées : synthèse des risques évalués, catalogue de mesures, contraintes budgétaires et calendaires.
- Sorties : plan de traitement chiffré, tableau de bord de suivi, registre des risques résiduels acceptés.
- Pièges : accepter par défaut, faute de budget, sans écrire ce que coûterait le sinistre correspondant.
L'organisation des ateliers
La qualité du résultat dépend d'abord des personnes réunies autour de la table. Une analyse animée par le seul service informatique produit un document technique que la direction ne lira pas.
La composition de la table ronde
Trois rôles doivent être tenus.
- L'animateur. Consultant externe ou RSSI aguerri, il tient la méthode, le rythme et l'arbitrage du niveau de détail. Sa neutralité compte autant que sa maîtrise du référentiel.
- Les métiers. Directeur de production, DAF, DRH, responsable de la relation client. Ils sont les seuls à pouvoir coter la gravité d'un événement redouté.
- Les experts techniques. Architectes, responsables d'infrastructure, équipe de détection. Ils tranchent la faisabilité des scénarios et l'état réel des barrières.
Calendrier et disponibilité des participants
Les ateliers s'étalent sur plusieurs semaines, et cet étalement fait partie de la méthode : les participants reviennent en séance avec des éléments qu'ils n'avaient pas en tête la première fois. Comptez plusieurs journées d'ateliers collectifs sur un périmètre représentatif d'ETI, plus le temps de préparation, d'entretiens individuels et de rédaction des livrables. Un exercice comprimé sur deux jours produit un document lisse, sans contradiction et sans valeur d'arbitrage.
EBIOS Risk Manager face à ISO 27005
La question revient à chaque cadrage : faut-il choisir. Les deux référentiels ne traitent pas du même objet.
Deux objets différents
L'ISO 27005 décrit le processus de gestion des risques de sécurité de l'information : identification, analyse, évaluation, traitement, communication, surveillance. Elle s'articule avec l'ISO 27001 et sert la gouvernance et la certification. EBIOS RM décrit une mécanique d'analyse par scénarios d'attaque, avec ses ateliers, ses matrices et ses livrables. Beaucoup d'organisations pilotent leur système de management selon l'ISO 27005 et conduisent leurs analyses avec EBIOS RM. Les deux cohabitent sans difficulté à condition de mapper les vocabulaires en amont.
Le choix selon votre contrainte
Une certification ISO 27001 vous ramènera vers l'ISO 27005 pour la description du processus. Une exigence d'anticipation face à des attaquants identifiés vous ramènera vers EBIOS RM pour la construction des scénarios. NIS 2 et DORA acceptent l'un comme l'autre, dès lors que la démarche est documentée, révisée et reliée aux mesures effectivement mises en place. Sur le marché français, la granularité technique d'EBIOS RM facilite l'échange avec les auditeurs et avec l'ANSSI.
Les erreurs qui font échouer l'analyse
Deux dérives reviennent régulièrement, et elles condamnent l'exercice avant même le plan de traitement.
L'analyse tunnel, sans les métiers
Le RSSI conduit l'analyse seul, dans son bureau, avec les documents dont il dispose. Le résultat est cohérent techniquement et illisible pour un comité de direction. Comme aucun métier n'a coté la gravité des événements redoutés, personne au comité ne se reconnaît dans le document, et le budget ne suit pas. Les ateliers 1 et 5 imposent une présence métier, ce n'est pas une recommandation de confort.
L'excès de détail technique
L'autre dérive vient des équipes très outillées, qui modélisent chaque étape avec une précision de laboratoire. On obtient des graphes d'attaque que seuls leurs auteurs déchiffrent et une masse de risques mineurs qui noient les trois scénarios réellement structurants. Le niveau de détail utile est celui qui permet de décider d'un investissement. Au-delà, vous produisez de la documentation, pas de la sécurité.
Ce qu'il faut retenir
- Les métiers cotent la gravité, personne d'autre ne peut le faire à leur place.
- Le socle de sécurité se traite avant les scénarios sophistiqués, parce que l'attaquant opportuniste arrive en premier.
- L'écosystème reste l'angle mort le plus fréquent : prestataires, éditeurs, accès de télémaintenance.
- EBIOS RM raisonne par scénarios d'attaque, là où un scan produit une liste de vulnérabilités sans hiérarchie.
- Le livrable qui compte est un plan d'amélioration chiffré et validé en comité de direction.
- Une analyse se revoit à chaque changement d'architecture, sinon elle décrit un système qui n'existe plus.
Questions fréquentes
Combien de temps dure une analyse EBIOS RM ?
Sur un périmètre métier standard, l'animation représente de l'ordre d'une semaine de travail effectif, à laquelle s'ajoute la préparation et la rédaction. Côté participants, prévoyez plusieurs demi-journées d'ateliers réparties sur deux à trois mois. Cet étalement laisse le temps de collecter les informations manquantes entre deux séances.
La méthode EBIOS RM est-elle obligatoire ?
Elle est recommandée par l'ANSSI et attendue pour les opérateurs d'importance vitale et les administrations. Pour une entreprise privée, aucune loi ne l'impose nommément. Elle constitue en revanche une preuve solide de diligence face à un régulateur ou devant un juge après un incident, parce qu'elle documente les arbitrages et leur date.
Quelle est la différence entre un actif métier et un actif support ?
L'actif métier est l'information ou la fonction qui a de la valeur pour l'organisation : la base clients, le processus de facturation, la formule d'un produit. L'actif support est ce qui le porte : le serveur de base de données, le lien réseau, le prestataire d'infogérance, l'administrateur qui détient les droits.
Peut-on faire une analyse EBIOS RM sans expert ?
Les guides de l'ANSSI sont publics et suffisent pour une première itération sur un périmètre restreint. La difficulté n'est pas la lecture du référentiel, elle est dans l'animation : arbitrer le niveau de détail, contredire un participant sur une cotation trop confortable, refuser un scénario que personne ne croit. Un animateur extérieur apporte cette neutralité.
EBIOS RM est-elle adaptée aux PME ?
Oui, en réduisant l'ambition. Un périmètre unique, trois ou quatre événements redoutés, deux couples source/objectif, un socle de sécurité vérifié sérieusement : cette version allégée fait déjà remonter les priorités d'investissement d'une PME sans mobiliser des ressources hors de portée.
Pour aller plus loin
Commencez par une cartographie simplifiée de vos actifs les plus exposés, puis nommez les trois événements qui mettraient l'activité à l'arrêt. Vérifiez ensuite l'état du socle : vos sauvegardes ont-elles été restaurées lors d'un test récent, l'authentification multifacteur couvre-t-elle les accès distants et les comptes à privilèges, savez-vous quels prestataires disposent d'un accès permanent à votre système d'information. Ces trois questions occupent déjà un comité de sécurité, et leurs réponses conditionnent la suite. Les guides et fiches méthode de l'ANSSI complètent utilement ce travail préparatoire.
Digitemis anime des analyses de risque avec un binôme organisationnel et technique. Qualifiés PASSI LPM par l'ANSSI, nous n'éditons ni ne revendons de solutions logicielles, ce qui rend notre évaluation indépendante des mesures que nous recommandons. Nos livrables sont conçus pour être repris par vos équipes : plan de traitement chiffré, registre des risques résiduels, tableau de bord de suivi. Si vous voulez cadrer votre prochaine analyse de risque, contactez-nous.