Atelier 5 EBIOS RM : traitement du risque et plan de traitement

L'atelier réunit les mêmes participants que l'atelier 1 : direction, métiers, RSSI et DSI. C'est logique : c'est la direction qui décide des risques qu'elle accepte et des moyens qu'elle engage. L'atelier exploite le socle de sécurité (atelier 1), les scénarios stratégiques et les mesures sur l'écosystème (atelier 3) et les scénarios opérationnels (atelier 4).

On rassemble d'abord les scénarios de risque. Un scénario de risque associe un chemin d'attaque et son scénario opérationnel : sa gravité vient de l'atelier 3, sa vraisemblance de l'atelier 4. On les décrit en général par leurs scénarios stratégiques, puis on les positionne sur une grille gravité × vraisemblance, un radar ou un diagramme de Farmer. C'est la cartographie du risque initial, avant traitement.

Les risques non intentionnels repérés lors de l'étude du socle peuvent être ajoutés à cette matrice, pour s'assurer que leurs mesures figurent dans le plan.

Pour chaque scénario, l'équipe s'accorde sur un seuil d'acceptation et sur le niveau de sécurité à atteindre en cas de refus. L'ANSSI recommande trois classes couramment utilisées :

Pour traiter un risque, quatre options existent, rappelées par le guide de l'homologation de l'ANSSI : l'accepter, le réduire, le transférer (par exemple à un assureur ou par contrat) ou le refuser, en renonçant à l'activité qui le génère.

Les mesures peuvent renforcer le socle de sécurité, répondre spécifiquement à la menace identifiée, ou compléter les mesures sur l'écosystème de l'atelier 3. Pour les trouver, on parcourt chaque scénario en se demandant à quelle étape il serait le plus utile de compliquer la tâche de l'attaquant. On sécurise en priorité les actions élémentaires les plus vraisemblables, les nœuds par lesquels passent plusieurs scénarios et les biens supports critiques.

Toutes les mesures issues des différents ateliers sont rassemblées dans le plan de traitement du risque, échelonné dans le temps. Pour chaque mesure, on indique :

• le responsable de sa mise en œuvre ;
• les freins et difficultés prévisibles ;
• une estimation du coût ou de la complexité ;
• une échéance, et en pratique un statut et une priorité.

L'exemple du guide classe les mesures en quatre familles : gouvernance, protection, défense et résilience. Si l'organisation a déjà un outil de suivi d'actions ou de projets, l'ANSSI conseille de le réutiliser.

Le risque résiduel est le risque qui subsiste une fois les mesures appliquées. Le guide propose de documenter chacun dans une fiche qui reprend : sa description et les vulnérabilités qui demeurent, les événements redoutés concernés, les mesures existantes et complémentaires, la gravité et la vraisemblance initiales et résiduelles, et les modalités de suivi.

Les risques résiduels se représentent sur la même grille que le risque initial. Cette cartographie du risque résiduel sert de référence lors de la revue formelle des risques, par exemple en commission d'homologation. Associer une cartographie à chaque jalon du plan (dans 3 mois, dans 6 mois) montre à la direction l'effet attendu des actions.

Une analyse EBIOS RM vit avec l'organisation. Le cadre de suivi repose sur des indicateurs de pilotage : tenue des comités, avancement des mesures, budget et charge consommés, part des écarts du socle résorbés. Il précise la gouvernance (rôles, comités) et le rythme. L'ANSSI recommande un comité de pilotage tous les six mois pendant la montée en puissance, puis tous les douze mois en rythme de croisière.

La version 1.5 ajoute une étape de mécanismes de surveillance. L'étude est mise à jour selon les cycles stratégique et opérationnel fixés en atelier 1, mais aussi dès qu'un événement remet en cause les scénarios : nouvelle menace, évolution de l'écosystème ou de l'objet étudié. Des déclencheurs peuvent être répartis dans l'organisation : le juridique surveille la réglementation, l'informatique les nouvelles vulnérabilités.