EBIOS RM : le guide complet de la méthode EBIOS Risk Manager

EBIOS Risk Manager, abrégé EBIOS RM, est la méthode d'appréciation et de traitement du risque numérique de l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Elle est construite et maintenue avec le Club EBIOS, une association qui réunit depuis 2003 des experts du secteur public et du secteur privé autour de la gestion des risques.

Le sigle EBIOS signifie « Expression des Besoins et Identification des Objectifs de Sécurité ». La méthode sert à trois choses : apprécier les risques numériques d'un périmètre, décider des mesures de sécurité pour les maîtriser, et faire valider par la direction le niveau de risque qu'elle accepte de garder. Elle produit aussi des arguments concrets pour dialoguer avec les décideurs et les partenaires.

Elle s'applique à tout type d'organisation, publique ou privée, quelle que soit sa taille ou son secteur, et aussi bien à un système d'information existant qu'à un projet en cours de conception.

À quoi sert une analyse EBIOS RM ?

Le guide de l'ANSSI distingue trois usages principaux :

• mettre en place ou renforcer un processus de management du risque numérique dans une organisation ;
• apprécier et traiter les risques d'un projet numérique, notamment en vue de son homologation de sécurité ;
• définir le niveau de sécurité à atteindre pour un produit ou un service, par exemple avant une certification ou un agrément.

EBIOS RM part du plus haut niveau, les missions de l'objet étudié, puis descend progressivement vers ses fonctions métier et ses composants techniques. Elle cherche la juste synthèse entre deux approches complémentaires, que l'ANSSI représente sous la forme d'une pyramide du management du risque numérique :

Concrètement, l'approche par conformité fixe un socle de sécurité contre les risques les plus courants, y compris accidentels et environnementaux. L'approche par scénarios se concentre ensuite sur les menaces intentionnelles qui pourraient contourner ce socle. Plutôt que de lister toutes les menaces possibles, on ne garde qu'un petit nombre de scénarios réalistes, ce qui rend l'analyse lisible pour la direction.

La démarche s'organise en cinq ateliers, chacun avec ses participants, ses données d'entrée et ses livrables. Les ateliers 2, 3 et 4 forment l'appréciation des risques proprement dite ; les ateliers 3 et 4 s'enrichissent mutuellement au fil des itérations.

1. Atelier 1 Cadrage et socle de sécurité Définir le périmètre, les valeurs métier, les événements redoutés et leur gravité, puis évaluer le socle de sécurité.
2. Atelier 2 Sources de risque Identifier qui pourrait attaquer et dans quel but, puis retenir les couples SR/OV les plus pertinents.
3. Atelier 3 Scénarios stratégiques Cartographier la dangerosité de l'écosystème et décrire les chemins d'attaque de haut niveau.
4. Atelier 4 Scénarios opérationnels Détailler les modes opératoires sur les biens supports et estimer leur vraisemblance.
5. Atelier 5 Traitement du risque Décider de la stratégie, bâtir le plan de traitement, documenter les risques résiduels et leur suivi.

Le fil qui relie les ateliers est simple : un couple source de risque / objectif visé (atelier 2) donne lieu à un scénario stratégique composé d'un ou plusieurs chemins d'attaque (atelier 3). Chaque chemin d'attaque est en général détaillé en un scénario opérationnel (atelier 4). Un scénario de risque associe un chemin d'attaque et son scénario opérationnel : sa gravité vient du scénario stratégique, sa vraisemblance du scénario opérationnel, et les deux donnent son niveau de risque (atelier 5).

Une analyse EBIOS RM n'est pas un document figé. La méthode prévoit deux cycles de mise à jour, dont la durée est fixée dès l'atelier 1 :

• le cycle stratégique revisite toute l'étude, en particulier les scénarios stratégiques ;
• le cycle opérationnel revient sur les scénarios opérationnels à la lumière des incidents survenus, des nouvelles vulnérabilités et de l'évolution des modes opératoires.

Pour une homologation de système d'information, l'ANSSI indique que l'usage courant est de trois ans pour le cycle stratégique et d'un an pour le cycle opérationnel. Entre deux cycles, un événement important (nouvelle menace, changement profond de l'écosystème ou du système) justifie une mise à jour ciblée.

EBIOS RM est présentée par l'ANSSI comme une boîte à outils : on ne déroule pas toujours les cinq ateliers avec le même niveau de détail. Le guide propose une grille de correspondance entre l'objectif de l'étude et les ateliers à conduire, que l'on peut résumer ainsi :

EBIOS RM est un travail collectif. Chaque atelier mobilise des profils différents, et le guide insiste sur un point dès le cadrage : identifier la personne qui acceptera les risques résiduels à la fin de l'étude.

L'animation est souvent confiée au RSSI, à un risk manager ou à un consultant formé à la méthode. L'ANSSI propose de formaliser les rôles de chacun (animateur, contributeur, décideur) dans une matrice de type RACI.

La méthode a été publiée pour la première fois sous le nom EBIOS Risk Manager en 2018. L'ANSSI en a publié une version 1.5 en septembre 2024, qui intègre les retours d'expérience des praticiens. Elle vise à rendre la méthode pleinement conforme à ISO/IEC 27005:2022 et apporte de nombreuses précisions dans chaque atelier.

Trois changements de vocabulaire rapprochent la méthode de la terminologie ISO :

Le guide parle aussi désormais de dangerosité des parties prenantes de l'écosystème, évaluée à partir de critères d'exposition et de fiabilité cyber, et il ajoute en atelier 5 une étape dédiée aux mécanismes de surveillance. Nos chapitres suivent cette version 1.5.

EBIOS RM n'est pas en concurrence avec les normes internationales : elle s'inscrit dans leur cadre. Le guide de l'ANSSI la déclare compatible avec la série ISO 31000:2018 sur le management du risque et conforme à ISO/IEC 27005:2022, la norme de gestion des risques liés à la sécurité de l'information.

La différence tient au niveau de détail. ISO 27005 décrit un processus et des exigences, sans imposer de méthode pas à pas. EBIOS RM est une méthode opérationnelle : elle dit quels ateliers mener, avec qui et avec quels outils (cartographie de l'écosystème, graphes d'attaque, échelles). Une analyse EBIOS RM peut donc servir d'appréciation des risques dans un SMSI ISO 27001. Le Club EBIOS note une différence de périmètre : les scénarios d'EBIOS RM ne couvrent que les menaces intentionnelles, les autres étant traitées par le socle de sécurité, alors qu'ISO 27005 les intègre explicitement.

Aucun texte n'impose EBIOS RM à toutes les organisations. En revanche, le guide de l'homologation de sécurité de l'ANSSI précise que l'utilisation d'EBIOS RM est obligatoire lorsque l'ANSSI est l'autorité d'homologation, et fortement recommandée dans tous les autres cas.

Dans les faits, la méthode est très utilisée pour répondre aux réglementations qui exigent une analyse de risques sans imposer de méthode : directive NIS 2, règlement DORA, homologation des systèmes d'information publics, ou exigences d'un SMSI ISO 27001. Il faut alors vérifier, texte par texte, les attentes de l'autorité concernée.

La méthode est gratuite et ses guides sont publiés sous Licence Ouverte : rien n'empêche de la mener avec un tableur et un outil de dessin. La difficulté arrive avec le volume. Une étude relie des dizaines d'objets (valeurs métier, biens supports, événements redoutés, sources de risque, parties prenantes, scénarios, mesures) et chaque changement doit se propager. Au cycle suivant, il faut repartir de l'existant sans tout ressaisir.

C'est pour cela que l'ANSSI délivre un label aux logiciels qui implémentent fidèlement la méthode. Un outil labellisé garantit que les concepts, les liens entre ateliers et les livrables sont conformes au guide.

Chaque chapitre reprend les objectifs, les participants, les étapes et les livrables d'un atelier, avec un exemple suivi de bout en bout : une PME fictive qui édite une plateforme de prise de rendez-vous médicaux en ligne. Commencez par l'atelier 1 : cadrage et socle de sécurité, ou consultez le glossaire EBIOS RM pour retrouver une définition.