EBIOS Risk Manager : la méthode ANSSI vue depuis la salle d'atelier

Une méthode qui commence par l'attaquant

La plupart des analyses de risques commencent par un inventaire. On liste les actifs, on les croise avec un catalogue de menaces génériques, on obtient un registre de trois cents lignes que plus personne ne rouvre. EBIOS Risk Manager prend le problème dans l'autre sens : qui aurait un intérêt à s'en prendre à vous, pour obtenir quoi, et par quel chemin — sachant que ce chemin passe rarement par votre pare-feu et souvent par un prestataire à qui un accès permanent a été ouvert il y a six ans.

L'ANSSI a publié la méthode en 2018 avec le Club EBIOS, en remplacement d'EBIOS 2010, puis l'a révisée en mars 2024 pour aligner son vocabulaire sur l'ISO 27005:2022 ; le plan d'amélioration continue de la sécurité y est redevenu un plan de traitement du risque. La rupture avec la version précédente n'a rien de cosmétique : on est passé d'une démarche exhaustive et ascendante, qui cherchait à ne rien oublier, à une démarche sélective et descendante, qui assume de ne retenir qu'une poignée de scénarios et de les traiter pour de bon.

Le second déplacement est social, et c'est lui qui décide du résultat. EBIOS RM n'est pas un formulaire que la sécurité remplit dans son coin : c'est une série d'ateliers où le métier, la DSI et les achats sont assis dans la même salle. Quand ces séances deviennent des réunions internes à la sécurité, la méthode produit un livrable, pas une décision.

Les cinq ateliers et ce qu'ils produisent

Un atelier dure d'une demi-journée à une journée, mais l'essentiel du travail se fait entre deux séances : consolider, coter, préparer la matière de la suivante. Deux à trois heures de préparation pour une heure d'atelier est un ordre de grandeur réaliste, et l'ignorer fait dérailler les plannings.

Atelier 1 : sans le métier, tout le reste est décoratif

L'atelier 1 demande de nommer ce qui fait vraiment mal. Pas « indisponibilité du SI de production », mais « les commandes clients ne partent plus pendant cinq jours en pleine campagne de rentrée, et deux distributeurs se tournent vers un concurrent ». La différence n'est pas rhétorique : la première formulation ne permet de coter aucune gravité, la seconde se discute avec un directeur commercial en trente secondes.

La composition de la salle compte donc davantage que la virtuosité de l'animateur. Une valeur métier définie par la DSI est une application ; définie par le métier, c'est un processus avec des échéances, des clients et un chiffre d'affaires. Sans personne capable de dire ce qu'une interruption coûte, les quatre ateliers suivants deviennent un exercice de style, très bien documenté et sans effet.

Le même atelier fixe le socle de sécurité et, surtout, les écarts : ce que l'organisation ne fait pas par rapport au référentiel qu'elle s'est choisi, et pourquoi. L'exercice est inconfortable, et c'est tout son intérêt. Il fournit aussi un critère d'arrêt. Si le socle est très loin de la cible — authentification multifacteur absente, sauvegardes jamais restaurées — il faut le dire et suspendre l'analyse. Modéliser des attaques sophistiquées contre une organisation qui n'a pas ses fondamentaux revient à étudier la trajectoire d'un cambrioleur devant une porte ouverte.

L'atelier 3 est ce qui donne sa valeur à la méthode

C'est l'atelier le plus souvent expédié, et c'est le seul qui justifie à lui seul le coût de la démarche. Il consiste à cartographier l'écosystème — prestataires, sous-traitants, éditeurs, filiales, clients majeurs, mainteneurs — puis à évaluer chaque partie prenante sur quatre critères : la dépendance de l'organisation envers elle, sa pénétration dans le système d'information, sa maturité cyber et la confiance qu'on peut raisonnablement lui accorder. Les deux premiers donnent une exposition, les deux derniers une fiabilité, et le rapport des deux place chaque tiers dans une zone de veille, de contrôle ou de danger.

Le calcul n'a rien de magique. Ce qui compte, c'est le moment où la carte s'affiche au mur et où quelqu'un demande : « attends, l'intégrateur a un accès permanent à l'annuaire de production ? ». Les organisations découvrent rarement leur exposition sur leur propre périmètre ; elles la découvrent chez leurs partenaires, dans une convention de télémaintenance signée par une direction régionale ou chez un cabinet de trois personnes qui détient des identifiants de production.

Un scénario stratégique s'écrit alors comme un enchaînement lisible : source de risque, partie prenante, bien support interne, valeur métier atteinte. Il tient en une phrase et se présente en comité de direction sans traduction. Il autorise aussi des décisions immédiates, avant même l'atelier 4 : réviser une clause contractuelle, filtrer un accès tiers, fermer un VPN dormant que personne n'avait pensé à révoquer.

S'il est si souvent bâclé, c'est qu'il exige des informations que la sécurité ne détient pas — les fournisseurs sont chez les achats, les accès dans l'IAM, les engagements dans les contrats — et qu'il produit des constats gênants sur des relations commerciales établies. Les deux se traitent par la préparation, jamais en séance.

Ne pas écraser l'atelier 3 sur l'atelier 4

L'erreur la plus fréquente consiste à traiter scénarios stratégiques et scénarios opérationnels comme un seul exercice. Le résultat est invariablement le même : la vue métier s'effondre dans la vue technique. On obtient une liste de vulnérabilités, de règles de filtrage et de correctifs manquants — un audit technique habillé d'un vocabulaire de risque, dans lequel la question du « qui, et via qui » a tout simplement disparu.

Ces deux ateliers n'ont ni le même public ni la même finalité. Un scénario stratégique s'adresse à quelqu'un qui arbitre un budget, un contrat ou une gouvernance. Un scénario opérationnel s'adresse à quelqu'un qui décide d'une architecture, d'une segmentation ou d'une capacité de détection ; il descend au niveau des modes opératoires et sert à établir une vraisemblance défendable. Les tenir séparés coûte une séance de plus et préserve la seule chose que la méthode apporte de neuf.

Il en découle un principe de sélectivité : tous les scénarios stratégiques n'appellent pas un atelier 4. Détailler techniquement les trois ou quatre chemins les plus graves suffit largement ; en détailler quinze garantit qu'aucun ne sera traité.

Ce que ça coûte, et quand une approche plus légère suffit

Autant être direct sur la facture. Sur un périmètre significatif, une analyse mobilise cinq séances, une dizaine de personnes dont plusieurs dirigeants, et six à dix semaines de calendrier, préparation et consolidation comprises. Ce n'est pas le temps d'atelier qui coûte, c'est le temps métier, et on ne l'obtient pas deux fois dans l'année.

La dépense se justifie quand une décision devra être argumentée devant quelqu'un : un secteur régulé, un écosystème étendu, une externalisation ou une acquisition, un projet dont l'architecture est encore ouverte. Elle se justifie aussi quand personne, dans l'organisation, n'a jamais formulé à voix haute ce qu'une attaque ciblée détruirait.

Elle ne se justifie pas partout. Sur un périmètre restreint dont l'équipe connaît déjà les faiblesses, sur la revue annuelle d'une analyse existante — qu'il faut mettre à jour, pas refaire — ou sur un produit dont le modèle de menace tient en une page, une démarche plus courte offre un meilleur rapport entre effort et décision. Une organisation qui démarre gagnera davantage à dérouler les CIS Controls et à combler son écart qu'à modéliser des attaques contre un système non durci.

Avec l'ISO 27005 et l'annexe A, pas contre

EBIOS RM est une méthode d'appréciation du risque, l'ISO 27001 un système de management : les deux n'occupent pas la même place. L'ISO 27005 décrit la démarche attendue dans un SMSI sans imposer de méthode, et depuis sa version 2022 le vocabulaire des deux textes se recouvre largement — ce que la révision de 2024 est venue entériner.

En pratique, la sortie des ateliers alimente les exigences d'appréciation et de traitement du risque de l'ISO 27001, et donne à la déclaration d'applicabilité ce qui lui manque presque toujours : un motif. Une mesure de l'annexe A retenue parce qu'elle coupe un chemin d'attaque identifié se défend devant un auditeur. Retenue parce qu'elle figurait dans la liste, beaucoup moins.

FAIR se situe encore ailleurs : il quantifie une perte en distributions de fréquence et de montant, là où EBIOS RM structure des scénarios et les cote sur des échelles ordinales. Rien n'interdit de quantifier ensuite les deux ou trois scénarios les plus graves de l'atelier 4, si l'on dispose des données.

Ce qu'un régulateur lit dans un livrable EBIOS RM

NIS2 exige à son article 21 des mesures de gestion du risque appropriées et proportionnées. Le mot proportionné appelle une démonstration : proportionnées à quoi, évaluées comment, arbitrées par qui. La chaîne produite par la méthode — événements redoutés, gravité, scénarios, mesures, risque résiduel accepté par une personne identifiée — constitue exactement la piste de justification attendue, et la sortie de l'atelier 3 répond aux exigences sur la sécurité de la chaîne d'approvisionnement, rarement documentées ailleurs de façon convaincante.

DORA se lit tout aussi bien. Les valeurs métier de l'atelier 1 recouvrent la notion de fonctions critiques ou importantes, la cartographie de l'atelier 3 alimente la gestion du risque lié aux prestataires TIC et le registre d'information, l'atelier 5 fournit l'acceptation formelle du risque résiduel par l'organe de direction. Les scénarios opérationnels fournissent en outre la matière pour cadrer des tests de pénétration fondés sur la menace : c'est exactement le format d'entrée que ces exercices réclament.

Ce que nous avons appris en animant ces ateliers

Quelques règles simples valent mieux qu'une méthodologie interne de quarante pages.

• Faire formuler l'événement redouté par le métier, avec ses mots, et le noter tel quel. La traduction en langage sécurité peut attendre le compte rendu.
• Coter la gravité avant d'évoquer la moindre mesure. Dès qu'une solution entre dans la discussion, la réflexion sur ce qu'on protège s'arrête.
• Limiter le nombre de couples source de risque / objectif visé retenus. Au-delà de cinq ou six, la suite devient ingérable et rien n'est traité.
• Bloquer dès le lancement l'agenda de la personne qui pourra accepter les risques résiduels. Un atelier 5 sans décideur produit une liste de vœux.

Reste la durée de vie. Une analyse se périme au rythme de l'écosystème : un nouveau prestataire, une acquisition, un service externalisé, et la carte de l'atelier 3 ne dit plus la vérité. C'est pour cette raison que la cartographie des risques, les scénarios et la matrice gravité/vraisemblance figurent dans Elyys360, notre plateforme GRC : entre deux ateliers, une analyse doit rester consultable, révisable et opposable, ce qu'un jeu de tableurs cesse d'être en quelques mois.

L'objectif n'a jamais été le livrable. C'est qu'un directeur métier puisse dire, en réunion et sans notes, quel scénario le préoccupe et ce qui a été décidé à son sujet. Le guide publié par l'ANSSI reste librement téléchargeable, et il se lit très bien avant un premier atelier.