Sécurité offensive
Gouvernance & conformité
Protection des données
Audits & diagnosticsAnalyse de risques cybersécurité
Gouvernance & conformité
Analyse de risques cybersécurité
Chez Digitemis, l’analyse de risques s’appuie sur EBIOS Risk Manager (ANSSI, 2018) et ISO 27005 : un cadre qui croise conformité, menaces réelles et enjeux métiers, pour produire une feuille de route argumentée, compréhensible du COMEX comme des équipes opérationnelles.
EBIOS Risk Manager
L’appréciation des risques positionne le bon niveau de sécurité dans chaque composant du système d’information, en fonction des besoins des métiers et des clients. Selon vos enjeux, nous la conduisons avec EBIOS Risk Manager, la méthode de l’ANSSI publiée en 2018 et mise à jour en 2024, ou selon la norme ISO 27005.
EBIOS RM permet d’apprécier les risques numériques et d’identifier les mesures de sécurité qui les maîtrisent. Elle fixe le niveau de risque acceptable et donne à la direction de quoi décider, en interne comme vis-à-vis des partenaires.
Le niveau de sécurité visé
L’analyse de risques sert d’abord à installer ou renforcer le processus de management du risque. Elle définit ensuite le niveau de sécurité à atteindre, selon les usages prévus, les menaces à contrer et les exigences légales, réglementaires et contractuelles. EBIOS RM combine pour cela deux approches.
Par la conformité
Un socle de sécurité de base, issu de l’ISO 27001, des exigences légales, réglementaires et contractuelles applicables et des bonnes pratiques.
Par les scénarios
Des ateliers participatifs qui construisent les scénarios de risque, métier et techniques, propres à votre organisation.
La démarche s’applique aux systèmes industriels, aux données personnelles comme aux objets connectés, et couvre la disponibilité, l’intégrité, la confidentialité et la traçabilité.
Les cinq ateliers d’EBIOS RM
Chaque atelier réunit ses propres participants et produit les éléments dont les suivants ont besoin, jusqu’à la stratégie de traitement du risque.
Direction, métiers, RSSI, DSI
Cadrage et socle de sécurité
Cadre de l’étude, périmètre métier et technique : missions, valeurs métier, biens supports.
En sortie : événements redoutés et leur gravité, socle de sécurité et écarts
Métiers, RSSI, validation par la direction
Sources de risque
Identification des sources de risque et des objectifs qu’elles visent.
En sortie : couples source de risque et objectif visé retenus, cartographie
Métiers, architectes fonctionnels, juristes, RSSI
Scénarios stratégiques
Parties prenantes critiques de l’écosystème et scénarios de haut niveau, évalués en gravité.
En sortie : cartographie de la menace, scénarios stratégiques, mesures pour l’écosystème
RSSI, DSI, architectes SI
Scénarios opérationnels
Modes opératoires techniques des sources de risque et évaluation de leur vraisemblance.
En sortie : scénarios opérationnels et leur vraisemblance
Direction, métiers, RSSI, DSI
Traitement du risque
Stratégie de traitement et identification des risques résiduels.
En sortie : plan d’amélioration continue de la sécurité, synthèse des risques résiduels, cadre de suivi
La méthode s’adapte aux objectifs de l’étude : tous les ateliers ne sont pas toujours nécessaires, et une étude préliminaire peut se contenter d’un premier atelier allégé.
EBIOS RM ou ISO 27005
Les deux démarches sont compatibles, et EBIOS RM est exigeante en temps et en disponibilité des équipes. Pour une PME ou une ETI, une analyse selon l’ISO 27005 donne une vision des risques proportionnée à ses enjeux.
Dans les deux cas, l’analyse alimente directement votre SMSI ISO 27001 et vos obligations NIS 2, DORA ou RGPD.
Ils nous font confiance
informations
Contactez-nous
Vous lancez un projet critique, visez une certification ou souhaitez simplement savoir où concentrer vos ressources ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Combien de temps dure une analyse EBIOS RM ?
Entre deux et six semaines selon la taille du périmètre et le nombre d’ateliers nécessaires.
Doit-on déjà être certifié ISO 27001 ?
Non ; l’analyse peut être un point de départ. Elle sert alors de socle pour construire ou renforcer votre SMSI.
Quels profils doivent participer aux ateliers ?
Un représentant métier, un expert technique, un responsable sécurité et, idéalement, un décideur capable d’arbitrer les risques majeurs.
À quelle fréquence devons-nous réviser notre analyse de risques ?
cas client
Découvrez notre approche
cas client
