Atelier 2 EBIOS RM : sources de risque et objectifs visés

L'atelier 2 change de point de vue : après avoir décrit ce que l'organisation redoute, on se place du côté de l'attaquant. Le but est d'identifier les sources de risque (SR) et leurs objectifs visés (OV) dans le contexte précis de l'étude, de les caractériser, puis de retenir les plus pertinents. Ils serviront de point de départ aux scénarios des ateliers 3 et 4.

• la direction, au minimum pour la dernière étape, celle du choix des couples ;
• les métiers ;
• le RSSI ;
• si besoin, un spécialiste de l'analyse de la menace (cyber threat intelligence), selon la connaissance de l'équipe et la précision voulue.

Il faut connaître les missions et valeurs métier issues de l'atelier 1. Pour caractériser finement les attaquants, l'ANSSI recommande de s'appuyer sur l'état de la menace, idéalement dans le secteur concerné : groupes d'attaquants actifs, ressources et motivations supposées, modes opératoires, activités les plus visées. Les bulletins de veille et l'actualité cyber complètent utilement ce travail.

Deux questions structurent l'étape : quelles sources de risque pourraient porter atteinte aux missions de l'organisation, voire à des intérêts qui la dépassent (son secteur, l'État) ? Et quels objectifs chacune pourrait-elle poursuivre ? Une même source peut donner plusieurs couples, avec des objectifs de nature différente.

La fiche méthode de l'ANSSI regroupe les profils d'attaquants en trois grands types de menace : la menace activiste ou isolée (peu de moyens, outils peu sophistiqués, mais parfois des accès privilégiés), la menace systémique (attaques lucratives qui touchent un grand nombre d'organisations, souvent par rançongiciel) et la menace stratégique (attaques ciblées et persistantes menées par des États ou de grandes organisations). Elle propose ensuite une grille de catégories, résumée ici :

Côté objectifs visés, la même fiche distingue six grandes finalités : espionnage, prépositionnement stratégique, influence, entrave au fonctionnement (sabotage, déni de service), gain lucratif et défi ou amusement.

Quand l'équipe ne produit plus de nouveaux couples, on évalue la pertinence de chacun. Le retour d'expérience des participants est un point de départ, mais l'ANSSI recommande d'objectiver la cotation avec trois critères :

• la motivation de la source de risque à atteindre son objectif ;
• ses ressources : moyens financiers, compétences, outillage, infrastructures d'attaque ;
• son activité : est-elle active sur le périmètre étudié, dans l'écosystème, dans le secteur ou dans un secteur proche ?

Quand on manque d'informations sur l'activité d'une source dans son secteur, la fiche méthode propose de croiser seulement motivation et ressources dans une matrice :

On termine en choisissant les couples à étudier. La pertinence est le premier critère, mais il faut aussi privilégier des couples suffisamment différents les uns des autres, qui toucheront vraisemblablement des valeurs métier et des biens supports distincts. Selon l'ANSSI, 3 à 6 couples SR/OV suffisent généralement pour bâtir les scénarios stratégiques ; un système complexe peut en justifier davantage.

Les couples non retenus deviennent des couples secondaires : ils pourront être étudiés plus tard et doivent faire l'objet d'une surveillance. Une représentation en radar, par source de risque et par objectif visé, aide à choisir : plus un couple est proche du centre, plus il est jugé pertinent.

Dernière vérification indispensable : confronter le point de vue de l'attaquant et celui du défenseur. Chaque couple SR/OV doit correspondre à au moins un événement redouté de l'atelier 1, et inversement. Les objectifs visés héritent de la gravité des événements redoutés auxquels ils sont associés.