EBIOS Risk Manager en pratique : cinq ateliers et un exemple d'éditeur SaaS
EBIOS Risk Manager (EBIOS RM) est la méthode d'analyse de risques cyber de l'ANSSI. C'est la référence pour l'homologation de sécurité dans la sphère publique, une réponse naturelle à l'article 21(2)(a) de NIS2, et elle est pleinement alignée sur l'ISO/IEC 27005:2022 depuis la version 1.5 (septembre 2024). Sa force : raisonner en scénarios d'attaque plutôt qu'en listes abstraites de vulnérabilités, et réunir métiers et informatique autour de la même table. Cet article présente les cinq ateliers, leurs livrables, un exemple compact pour un éditeur SaaS, et les erreurs qui rendent une étude inutile.
La méthode en une image
EBIOS RM s'appuie sur une pyramide : l'hygiène (le guide de l'ANSSI, voir notre plan d'hygiène) traite les attaques larges et opportunistes ; le cadre réglementaire ajoute les exigences de conformité ; l'analyse de risques traite, au sommet, les scénarios ciblés et élaborés. Le risque s'évalue sous deux angles : la gravité vient de la vision métier, la vraisemblance de la vision technique.
| Atelier | Question | Livrables principaux | Effort indicatif |
|---|---|---|---|
| 1 Cadrage et socle de sécurité | Que protège-t-on, qu'est-ce qui existe déjà ? | Valeurs métier, biens supports, événements redoutés cotés G1-G4, écarts au socle | 1 à 3 demi-journées |
| 2 Sources de risque | Qui pourrait attaquer, et dans quel but ? | Couples source de risque / objectif visé évalués, 3 à 6 retenus | 2 heures à 1 jour |
| 3 Scénarios stratégiques | Quels chemins d'attaque, y compris par l'écosystème ? | Cartographie de menace de l'écosystème, parties prenantes critiques, scénarios cotés en gravité | 1 à 3 demi-journées |
| 4 Scénarios opérationnels | Comment l'attaque se déroulerait-elle concrètement ? | Séquences d'attaque sur les biens supports, cotées V1-V4 | 1 à 3 demi-journées |
| 5 Traitement du risque | Que fait-on, qu'accepte-t-on ? | Cartographie des risques, plan de traitement, risques résiduels acceptés par le propriétaire | 2 à 4 demi-journées |
Deux cycles font vivre l'étude : le cycle stratégique (ateliers 1, 2, 3 et 5 ; souvent tous les 3 ans pour une homologation) et le cycle opérationnel (atelier 4 puis 5 ; chaque année, au rythme des vulnérabilités et des modes opératoires).
- Risk assessment (EBIOS RM)targeted, elaborate attacks; scenario-based
- Regulatory and normative framecompliance approach: LPM (French law for vital operators), NIS (EU directive), RGS (French government security framework), ISO 27001
- Basic principles and hygienethis guide; blocks the wide, simple attacks
Extrait de la fiche « IT Hygiene Guide - 42 Essential Measures » · Demander la fiche complète
Les échelles de cotation
| Gravité (impact métier) | Signification |
|---|---|
| G4 Critique | Incapacité à assurer tout ou partie de l'activité ; survie menacée |
| G3 Grave | Forte dégradation ; surmontée avec de sérieuses difficultés |
| G2 Significative | Dégradation des performances ; surmontée avec quelques difficultés |
| G1 Mineure | Aucun impact opérationnel |
| Vraisemblance | Signification |
|---|---|
| V4 Quasi certaine | La source de risque atteindra certainement son objectif |
| V3 Très vraisemblable | L'atteindra probablement |
| V2 Vraisemblable | Pourrait l'atteindre |
| V1 Peu vraisemblable | Peu de chances |
Chaque étude adapte les libellés à son contexte (perte de chiffre d'affaires, pénalités contractuelles, sanctions) et fixe sa propre grille d'acceptation.
| Likelihood \ Severity | G1 Minor | G2 Significant | G3 Serious | G4 Critical |
|---|---|---|---|---|
| V4 Almost certain | medium | high | high | high |
| V3 Very likely | medium | medium | high | high |
| V2 Likely | low | low | medium | medium |
| V1 Unlikely | low | low | low | medium |
Extrait de la fiche « EBIOS Risk Manager: Operational Scenarios and Treatment » · Demander la fiche complète
Exemple : un éditeur SaaS de 60 personnes
Contexte (fictif) : une société française de 60 personnes édite un SaaS RH pour 400 entreprises clientes (préparation de paie, dossiers salariés). Il tourne sur un cluster Kubernetes managé chez un fournisseur cloud public ; une agence externe maintient l'application mobile ; le support utilise un outil de ticketing tiers.
Atelier 1. Valeurs métier : le service de données RH clients, le moteur de calcul de paie, le code source. Événements redoutés : fuite massive de données salariés (G4 : notification RGPD, départ de clients, sanctions possibles) ; paie indisponible en fin de mois (G3) ; altération des résultats de paie (G4). Socle : autoévaluation hygiène ANSSI et écarts à l'annexe A de l'ISO 27001, dont l'absence de MFA sur la console cloud pour deux administrateurs et aucune restauration testée.
Atelier 2. Les couples sont évalués sur la motivation, les ressources et l'activité :
| Source de risque | Objectif visé | Pertinence |
|---|---|---|
| Groupe rançongiciel | Extorsion par chiffrement et fuite | Élevée |
| Revendeur de données / fraudeur | Voler des données salariés pour revente ou fraude | Élevée |
| Initié malveillant | Sabotage après un litige | Moyenne |
| Concurrent | Voler le code source | Faible (documenté, non retenu) |
Atelier 3. Chaque partie prenante est cotée sur quatre critères de 1 à 4. Son niveau de menace vaut
où Dép (dépendance, échelle 1-4) mesure à quel point vos missions reposent sur elle, Pén (pénétration, 1-4) la profondeur de son accès à votre SI, Mat (maturité cyber, 1-4) sa capacité de sécurité et Conf (confiance, 1-4) votre confiance dans ses intentions. Le danger est un ratio sans unité compris entre 0,0625 et 16 ; au-delà de 2,5, la partie prenante est critique ; entre 0,9 et 2,5, elle doit être maîtrisée (clauses, audits).
| Partie prenante | Dép | Pén | Mat | Conf | Danger | Zone |
|---|---|---|---|---|---|---|
| Agence mobile (accès CI et clés d'API) | 3 | 4 | 2 | 2 | 12 / 4 = 3,0 | Critique |
| Fournisseur cloud | 4 | 3 | 4 | 3 | 12 / 12 = 1,0 | Contrôle |
| SaaS de ticketing (détient des exports clients) | 2 | 2 | 2 | 2 | 4 / 4 = 1,0 | Contrôle |
Scénario stratégique retenu : un groupe rançongiciel compromet l'agence mobile, réutilise ses accès CI pour atteindre la production, exfiltre les données RH puis chiffre les bases (gravité G4).
Atelier 4. Le scénario opérationnel suit la séquence connaître, rentrer, trouver, exploiter : renseignement en sources ouvertes sur les développeurs de l'agence ; hameçonnage d'un développeur et vol de la clé cloud longue durée stockée dans sa CI ; énumération du cluster avec cette clé ; extraction de la base et suppression des instantanés. Sans MFA, avec une clé longue durée et sans surveillance des flux sortants, la vraisemblance est V3.
Atelier 5. Sur la grille, (G4, V3) est un risque élevé : réduction obligatoire à court terme. Le plan de traitement :
| Mesure | Casse | Responsable | Échéance |
|---|---|---|---|
| Remplacer les clés CI par une fédération OIDC, limitée par environnement | Rentrer | CTO | 1 mois |
| MFA sur tous les accès console et cluster | Rentrer, trouver | Resp. exploitation | 2 semaines |
| Sauvegardes immuables dans un compte séparé, test de restauration mensuel | Exploiter | Resp. exploitation | 1 mois |
| Clauses de sécurité et demande annuelle de preuves à l'agence | Écosystème | Dirigeant | 3 mois |
| Alertes sur les exports massifs et les suppressions d'instantanés | Trouver, exploiter | Resp. exploitation | 2 mois |
Après traitement, la vraisemblance tombe à V1 ; la gravité reste G4, car l'événement redouté n'a pas changé. Le risque résiduel (G4, V1) est moyen, accepté par écrit par le dirigeant avec deux indicateurs : couverture MFA et date de la dernière restauration réussie. Plusieurs de ces mesures sont détaillées dans nos articles sur la sécurité de la CI/CD et le durcissement Kubernetes.
Extrait de la fiche « EBIOS Risk Manager: Operational Scenarios and Treatment » · Demander la fiche complète
EBIOS RM, ISO 27005 et NIS2
| EBIOS RM | ISO/IEC 27005:2022 | Usage NIS2 / ISO 27001 |
|---|---|---|
| Valeur métier | Bien primordial | Périmètre du SMSI, services critiques |
| Bien support | Bien support | Inventaire des actifs (art. 21(2)(i), A.5.9) |
| Événement redouté, gravité | Conséquence | Bilan d'impact sur l'activité (art. 21(2)(c)) |
| Source de risque / objectif visé | Source de risque et objectif | Entrées de renseignement sur la menace |
| Cartographie de l'écosystème | Risque fournisseurs | Chaîne d'approvisionnement (art. 21(2)(d)) |
| Plan de traitement du risque | Plan de traitement du risque | Déclaration d'applicabilité, feuille de route |
| Risque résiduel accepté par le propriétaire | Acceptation du risque | Approbation par la direction (NIS2 art. 20) |
Une seule étude EBIOS RM fournit donc des preuves pour la mesure (a) de NIS2, pour le classement des fournisseurs au titre de (d), et pour les clauses 6.1.2 et 6.1.3 de l'ISO 27001.
Erreurs fréquentes
- Commencer par la technique. L'atelier 1 est mené par les métiers ; sans eux, les gravités sont des suppositions.
- Trop de couples et de scénarios. Trois à six couples et quelques scénarios stratégiques suffisent ; quarante scénarios ne sont jamais traités.
- Coter la source plutôt que le couple. Un même groupe obtient des notes différentes selon l'objectif.
- Négliger l'écosystème. La plupart des intrusions réelles en PME passent par un prestataire ; c'est l'atelier 3 qui les révèle.
- Baisser la gravité par des mesures techniques. Les mesures réduisent la vraisemblance ; la gravité ne change que si l'événement redouté change.
- Ni responsable ni échéance. Un plan sans responsables ni dates, ou des risques résiduels jamais acceptés formellement, échouent à tout audit.
- Étude ponctuelle. Sans cycle opérationnel annuel, l'atelier 4 est obsolète en quelques mois.
Notre accompagnement
L'analyse de risques EBIOS RM fait partie de l'offre audit de sécurité et conformité de Tadata, aux côtés de la préparation NIS2 et ISO 27001 : nous animons les ateliers avec vos équipes métier et techniques et livrons un plan de traitement directement exploitable. Voir notre page cybersécurité ; la bibliothèque de fiches contient les échelles EBIOS RM et un exemple complet.