Articulation · ANSSI, EBIOS Risk Manager version 1.5
ISO 27005 et EBIOS RM : une norme pour le cadre, une méthode pour le faire
ISO/IEC 27005 dit quelles étapes mener et laisse le choix de la méthode. EBIOS Risk Manager, la méthode de l'ANSSI, dit comment les mener, atelier par atelier. Les deux ne sont pas concurrentes : la seconde est une façon d'appliquer la première. Ce chapitre montre où chaque atelier se place dans le processus de la norme, et ce qu'il faut compléter.
- Méthode
- EBIOS Risk Manager, guide de l’ANSSI, version 1.5
- Conformité
- Déclarée conforme à ISO/IEC 27005:2022 par l’ANSSI
- Structure
- Cinq ateliers, deux cycles
Chapitres du guide
En bref
-
ISO/IEC 27005 est une norme de préconisations ; EBIOS Risk Manager est une méthode, publiée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Une méthode sert à appliquer une norme.
-
L'ANSSI indique que la version 1.5 de la méthode est pleinement conforme à ISO/IEC 27005:2022.
-
Les scénarios stratégiques d'EBIOS RM correspondent à l'approche par événements de la norme, les scénarios opérationnels à l'approche par biens supports : c'est le cœur de la compatibilité, selon le Club EBIOS.
-
Le socle de sécurité de l'atelier 1 répond à l'identification des exigences des parties intéressées, dans l'établissement du contexte.
-
Deux points à compléter dans un cadre ISO 27001 : les risques non intentionnels, que la méthode renvoie au socle, et les documents propres à la certification, comme la déclaration d'applicabilité.
Une norme et une méthode ne jouent pas le même rôle
La confusion vient de ce que les deux portent sur la gestion des risques numériques. Mais ISO/IEC 27005 décrit un processus valable quelle que soit la méthode : établir le contexte, apprécier, traiter, surveiller. EBIOS Risk Manager décrit un mode opératoire : cinq ateliers, des participants, des livrables, des échelles proposées, des fiches pratiques. Le Club EBIOS le résume ainsi : la méthode n'est pas une norme, elle fournit les techniques pratiques qui permettent d'appliquer le modèle de la norme.
| ISO/IEC 27005:2022 | EBIOS Risk Manager 1.5 | |
|---|---|---|
| Nature | Norme internationale de préconisations | Méthode d’analyse de risques |
| Publiée par | ISO et IEC | ANSSI, avec le soutien du Club EBIOS |
| Accès | Payant ; aperçu public du sommaire et des termes | Guide et fiches en accès libre |
| Dit | Quelles étapes mener | Comment les mener, avec qui et avec quels supports |
| Échelles | Exemples en annexe, à adapter | Échelles proposées de gravité et de vraisemblance |
| Sources de risque | Intentionnelles et non intentionnelles | Scénarios centrés sur les sources intentionnelles ; le reste passe par le socle |
| Couvre | Tout le processus, jusqu’à la surveillance et aux liens avec le SMSI | L'appréciation et le traitement, avec un suivi des risques |
L'ENISA dresse le même constat dans son analyse des normes de gestion des risques : elle décrit EBIOS Risk Manager comme une méthode alignée sur ISO/IEC 27005, qui aide à répondre aux exigences d'ISO/IEC 27001.
Où chaque atelier se place dans le processus ISO 27005
| Atelier EBIOS RM | Ce qu’il produit | Étape ISO/IEC 27005 | Chapitre du guide |
|---|---|---|---|
| 1. Cadrage et socle de sécurité | Périmètre, valeurs métier, événements redoutés et leur gravité, socle de sécurité | Établissement du contexte, exigences des parties intéressées ; début de l’appréciation des conséquences | Contexte |
| 2. Sources de risque | Sources de risque et objectifs visés retenus | Identification des risques : sources de risque | Identification |
| 3. Scénarios stratégiques | Cartographie de l'écosystème, scénarios stratégiques, gravité | Identification par événements ; appréciation des conséquences | Identification |
| 4. Scénarios opérationnels | Scénarios opérationnels, vraisemblance | Identification par biens supports ; appréciation de la vraisemblance | Analyse |
| 5. Traitement du risque | Synthèse des risques, stratégie de traitement, plan de traitement, risques résiduels | Niveau de risque, évaluation, traitement, acceptation | Évaluation et traitement |
La méthode organise aussi ses ateliers en deux cycles, l'un stratégique, l'autre opérationnel, ce qui rejoint les deux cycles de la norme présentés en introduction.
Traduire le vocabulaire
Les mots diffèrent plus que les idées. Le Club EBIOS a publié une table d'équivalences, que voici résumée. Elle sert quand un auditeur ISO 27001 lit un rapport EBIOS RM, ou quand une filiale étrangère doit comprendre une analyse française.
| EBIOS Risk Manager | ISO/IEC 27005 |
|---|---|
| Valeur métier | Bien primaire |
| Bien support | Bien support |
| Événement redouté | Conséquence |
| Source de risque | Source de risque |
| Scénario stratégique | Scénario de risque, approche par événements |
| Scénario opérationnel | Scénario de risque, approche par biens supports |
| Socle de sécurité | Exigences fondamentales des parties intéressées |
| Plan de traitement du risque | Plan de traitement des risques |
Ce qu’il faut compléter dans un cadre ISO 27001
- Les risques non intentionnels. Les scénarios d'EBIOS RM visent des sources qui agissent délibérément. L'erreur, la panne et l'événement naturel relèvent du socle de sécurité. Le Club EBIOS le relève : la norme, elle, inclut explicitement les sources non intentionnelles. Vérifiez que votre socle les couvre, ou ajoutez les scénarios qui manquent.
- Les critères d'acceptation. La méthode propose des échelles et une stratégie de traitement ; assurez-vous que vos critères d'acceptation sont écrits et validés par la direction avant l'atelier 5, comme le demande la clause 6.1.2 d'ISO/IEC 27001.
- Les propriétaires des risques. Désignez pour chaque scénario retenu la personne qui approuvera le plan et acceptera le risque résiduel.
- La comparaison à l'annexe A et la déclaration d'applicabilité. Elles sont propres à ISO/IEC 27001 : elles s'ajoutent après l'atelier 5, à partir des mesures du plan de traitement.
- La surveillance. La méthode prévoit un suivi des risques ; la certification demande en plus une réévaluation planifiée et des traces, décrites au chapitre Surveillance et revue.
Fil rouge : et si Mécanique Vauclair avait utilisé EBIOS RM ?
Questions fréquentes
Quelle est la différence entre ISO 27005 et EBIOS RM ?
ISO/IEC 27005 est une norme internationale de préconisations : elle décrit le processus de gestion des risques liés à la sécurité de l'information sans imposer de méthode. EBIOS Risk Manager est une méthode publiée par l'ANSSI, organisée en cinq ateliers, qui dit concrètement comment mener l'analyse. L'ANSSI déclare la version 1.5 de la méthode conforme à ISO/IEC 27005:2022.
EBIOS RM est-elle conforme à ISO 27005 ?
Oui, selon l'ANSSI : la version 1.5 de la méthode a été mise à jour pour être pleinement conforme à ISO/IEC 27005:2022, avec des ajouts et un alignement du vocabulaire. Le Club EBIOS a publié une table qui relie les notions de la méthode à celles de la norme.
Peut-on utiliser EBIOS RM pour une certification ISO 27001 ?
Oui. ISO/IEC 27001 n'impose pas de méthode d'appréciation des risques. Une analyse EBIOS RM convient, à condition de compléter ce que la certification demande en plus : critères d'acceptation validés, propriétaires des risques, prise en compte des risques non intentionnels, comparaison à l'annexe A et déclaration d'applicabilité.
L'approche par événements d'ISO 27005 est-elle la même chose que les scénarios stratégiques ?
Elles se correspondent. Le Club EBIOS associe les scénarios stratégiques d'EBIOS RM à l'approche par événements d'ISO/IEC 27005, et les scénarios opérationnels à l'approche par biens supports. Il y voit le point central de la compatibilité entre la méthode et la norme.
Sources
Ce chapitre résume et reformule les publications officielles ci-dessous. En cas de doute, le texte officiel fait foi.
- ISO/IEC 27005:2022, Sécurité de l'information, cybersécurité et protection de la vie privée : préconisations pour la gestion des risques liés à la sécurité de l'information (4e édition), ISO, octobre 2022.
- EBIOS Risk Manager, le guide (version 1.5), ANSSI.
- La méthode EBIOS Risk Manager, ANSSI.
- L'ANSSI met à jour la méthode EBIOS Risk Manager (version 1.5, conforme à ISO 27005:2022), ANSSI, mars 2024.
- Quel est le lien entre EBIOS RM et l'ISO 27005 ?, Club EBIOS, octobre 2022.
- Risk Management Standards : analyse des normes de gestion des risques, ENISA.
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information : exigences, ISO, octobre 2022.
Une plateforme et un service qui s'adaptent à vous
Notre plateforme est conçue pour un paramétrage très fin et une large capacité d'adaptation à vos besoins.