Avant de commencer
Partir de votre activité,
arriver à une décision.
EBIOS Risk Manager est une méthode de gestion des risques cyber publiée par l’ANSSI. Elle part des missions et des informations importantes pour votre organisation, examine les menaces qui peuvent les atteindre et aide à choisir les réponses adaptées.
L’analyse se construit avec les métiers, les responsables des systèmes d’information et les décideurs. Les ateliers se complètent : le périmètre et les événements redoutés donnent un cadre aux scénarios, puis aux mesures de sécurité.
Le fil de l’analyse
- 01Définir ce que l’on protège et les impacts redoutés.
- 02Identifier les sources de risque et leurs objectifs.
- 03Construire les scénarios stratégiques dans l’écosystème.
- 04Décrire les modes opératoires et leur vraisemblance.
- 05Décider du traitement et suivre le risque résiduel.
Les durées ci-dessous sont indicatives et dépendent du périmètre. Les repères de volume servent à garder l’analyse lisible ; ils doivent être adaptés au contexte de l’étude.
Les étapes et livrables restent visibles. Ouvrez les compléments pour préparer la relecture.
Atelier 01
Cadrage & socle
Délimiter le périmètre de l'étude, identifier les valeurs métier et les biens supports, formuler les événements redoutés et évaluer leur gravité, puis dresser l'état du socle de sécurité.
Au lancement de l'étude, dès qu'un processus ou un service critique est identifié.
Comment mener l’atelier
- 1.
Cadrer l'étude
Écrire la finalité de sécurité (ce que l'on veut protéger), le périmètre métier (processus, informations), le périmètre technique (systèmes concernés), l'horizon de prise en compte et les contraintes (budget, calendrier, réglementation applicable).
- 2.
Lister les valeurs métier
Missions, processus et informations sans lesquels l'organisation ne peut pas fonctionner. Cinq à quinze suffisent : une valeur doit être vérifiable, pas un slogan.
- 3.
Rattacher les biens supports
Pour chaque valeur métier, indiquer les systèmes, applications, locaux ou prestataires sur lesquels elle repose réellement aujourd'hui.
- 4.
Formuler les événements redoutés
Une atteinte exprimée en impact métier : « divulgation des données clients », « indisponibilité de la production au-delà de 48 h ». Dix maximum, et jamais un composant technique.
- 5.
Coter la gravité
G1 à G4 en croisant les impacts financier, opérationnel, juridique, image, humain et environnemental. La cotation se justifie en une phrase.
- 6.
Décrire le socle de sécurité
Les mesures de protection, de défense et de résilience déjà en place et réellement effectiveS. Pour celles qui manquent, noter un écart et sa justification.
Ce que vous devez avoir à la fin
- Périmètre métier et technique de l'étude
- Liste des valeurs métier et des biens supports associés
- Événements redoutés avec niveau de gravité
- Socle de sécurité et écarts justifiés
Dans l’application : Périmètre et finalité ; Valeurs métier ; Biens supports ; Événements redoutés + gravité ; Socle de sécurité et écarts.
Atelier 02
Sources de risque
Identifier les couples source de risque / objectif visé (SR/OV), les évaluer selon motivation, ressources et activité, puis retenir les couples les plus pertinents pour la suite.
Après l'atelier 1, lorsque les événements redoutés sont validés par la direction.
Comment mener l’atelier
- 1.
Rassembler les sources de risque
Cybercriminels, groupes étatiques, hacktivistes, concurrents, internes malveillants, amateurs, officines spécialisées. Enrichissez avec votre veille, vos incidents passés et les retours de vos secteurs d'activité.
- 2.
Formuler les objectifs visés
Ce que cherche la source : extorsion financière, vol de savoir-faire, perturbation de service, atteinte à l'image, idéologie.
- 3.
Constituer les couples SR/OV
Chaque source significative croisée avec chaque objectif plausible. On obtient la liste des risques envisagés, avant tout tri.
- 4.
Évaluer la pertinence
Trois grilles : motivation de la source, ressources (financières, techniques, humaines), activité observée. Une note de 1 à 4, une justification par critère.
- 5.
Sélectionner les couples retenus
Les couples les plus pertinents alimentent les ateliers 3 et 4. Les autres restent visibles avec leur motif d'écart : c'est la preuve que le risque a bien été envisagé.
Ce que vous devez avoir à la fin
- Liste des couples SR/OV envisagés
- Évaluation de la pertinence de chaque couple
- Couples SR/OV retenus pour les ateliers 3 et 4
Dans l’application : Sources de risque ; Objectifs visés ; Couples SR/OV ; Motivation / ressources / activité ; Couples retenus.
Atelier 03
Scénarios stratégiques
Cartographier l'écosystème (parties prenantes) et construire les chemins d'attaque de haut niveau reliant une source de risque à un événement redouté, en passant éventuellement par une partie prenante.
Après l'atelier 2, avec la liste des couples SR/OV retenue.
Comment mener l’atelier
- 1.
Cartographier l'écosystème
Toutes les parties prenantes en interaction avec le périmètre : prestataires, éditeurs, clients, filiales, maintenants, even les services internes.
- 2.
Évaluer chaque partie prenante
Dépendance (de combien j'ai besoin), pénétration (quel accès elle a), maturité (sa capacité à se protéger), confiance (sa fiabilité et sa loyauté). Quatre notes de 1 à 4.
- 3.
Hiérarchiser la menace
L'exposition (dépendance × pénétration) rapportée à la fiabilité (maturité × confiance) donne la menace de chaque partie prenante. Elle s'affiche en radar dans l'application.
- 4.
Construire les chemins d'attaque
Pour chaque couple SR/OV retenu : source → éventuellement une partie prenante → événement redouté. Restez à haut niveau, la technique vient après.
- 5.
Coter et sécuriser l'écosystème
Chaque scénario reprend la gravité de l'événement redouté atteint. Listez ensuite les mesures applicables à l'écosystème : clauses contractuelles, supervision, cloisonnement, plan de substitution.
Ce que vous devez avoir à la fin
- Cartographie de menace numérique de l'écosystème
- Scénarios stratégiques avec gravité
- Mesures de sécurité applicables à l'écosystème
Dans l’application : Parties prenantes ; Dépendance / pénétration / maturité / confiance ; Radar de menace ; Scénarios stratégiques ; Mesures écosystème.
Atelier 04
Scénarios opérationnels
Détailler techniquement les scénarios stratégiques en séquences d'actions élémentaires sur les biens supports, puis évaluer leur vraisemblance.
Après l'atelier 3, scénario stratégique par scénario stratégique.
Comment mener l’atelier
- 1.
Décliner le scénario en actions élémentaires
Séquence d'actions sur les biens supports, organisée en quatre phases : Connaître, Rentrer, Trouver, Exploiter.
- 2.
S'aider des bibliothèques
Référentiels de techniques d'attaque, guides de l'ANSSI, retours d'expérience du SOC : ils évitent les angles morts, ils ne remplacent pas votre contexte.
- 3.
Vérifier la cohérence
Un attaquant doit pouvoir enchaîner les étapes sans compétence surhumaine ni matériel impossible à obtenir. Sinon, allégez le scénario.
- 4.
Évaluer la vraisemblance
V1 à V4 en tenant compte des mesures déjà en place et de leur efficacité réelle. Documentez les hypothèses : moyens, compétences, durée.
- 5.
Terminer sur l'événement redouté
Le scénario opérationnel doit déboucher sur un événement redouté de l'atelier 1, sinon il ne sert pas la décision.
Ce que vous devez avoir à la fin
- Chemins d'attaque détaillés (Connaître, Rentrer, Trouver, Exploiter)
- Vraisemblance de chaque scénario opérationnel
Dans l’application : Scénarios opérationnels ; Actions par phase (Connaître → Exploiter) ; Biens supports touchés ; Vraisemblance V1 → V4 ; Hypothèses documentées.
Atelier 05
Traitement du risque
Décider du traitement de chaque risque, définir le plan de mesures de sécurité (PACS) avec responsables et échéances, et statuer sur le risque résiduel.
Après l'atelier 4, quand tous les risques sont cotés, puis à chaque revue annuelle.
Comment mener l’atelier
- 1.
Positionner les risques
Niveau = gravité × vraisemblance, reporté dans la matrice 4×4. Les risques critiques et élevés concentrent les décisions.
- 2.
Décider du traitement
Pour chaque risque significatif : réduire, transférer (assurance, contrat), accepter ou éviter. La décision est écrite, motivée et datée.
- 3.
Construire le plan de mesures
Chaque mesure de protection, de défense ou de résilience a un porteur, une échéance, un budget et un critère d'achèvement vérifiable.
- 4.
Recalculer le risque résiduel
Après application des mesures, réévaluer gravité et vraisemblance pour obtenir le risque qui reste réellement à charge.
- 5.
Statuer sur le résiduel
La direction accepte formellement le risque résiduel, avec ses conditions, son motif et une date de revue. Sans cette ligne, l'étude n'est pas close.
Ce que vous devez avoir à la fin
- Décision de traitement par scénario
- Plan d'amélioration continue de la sécurité
- Risques résiduels acceptés
Dans l’application : Matrice des risques ; Décision par risque ; Plan de mesures (porteur, échéance) ; Risque résiduel ; Acceptation formalisée.
Les repères communs
Coter avec les mêmes mots.
La gravité décrit l’impact, la vraisemblance décrit la possibilité de réalisation du scénario. Dans l’application, leur croisement permet de positionner les risques. Documentez les hypothèses derrière chaque cotation.
Impact de l'événement redouté sur l'organisation, indépendamment de sa probabilité.
- G1 — Mineure
- Aucun impact opérationnel ou financier significatif.
- G2 — Significative
- Dégradation des services, impacts limités et réversibles.
- G3 — Grave
- Forte dégradation, impacts financiers ou juridiques importants.
- G4 — Critique
- Incapacité à assurer la mission, survie de l'organisation en jeu.
Un terme à éclaircir ?
Le glossaire, simplement.
Retrouvez les définitions utilisées dans les ateliers, avec des exemples pour les replacer dans votre contexte.
18 termes
- Valeur métierAtelier 1
- Mission, processus ou information essentiels à l'organisation.
Par exemple : Le processus de facturation, le dossier patient, la chaîne de production.
- Bien supportAtelier 1
- Bien technique ou organisationnel sur lequel repose une valeur métier.
Par exemple : ERP hébergé, base de données clients, active directory, local technique.
- Événement redoutéAtelier 1
- Atteinte à une valeur métier exprimée du point de vue de l'impact.
Par exemple : Divulgation massive des données clients, indisponibilité de la production > 48 h.
- Critère de sécuritéAtelier 1
- Critère de sécurité touché par l'événement redouté.
Par exemple : Confidentialité pour une fuite, intégrité pour une modification non autorisée, disponibilité pour un ransomware.
- Source de risqueAtelier 2
- Acteur ou phénomène susceptible de porter atteinte à l'organisation.
Par exemple : Groupe de rançongiciel, concurrent industriel, hacktiviste, insider malveillant.
- Objectif viséAtelier 2
- But poursuivi par la source de risque en s'attaquant à l'organisation.
Par exemple : Extorsion financière, vol de savoir-faire, atteinte à l'image, perturbation de service.
- Pertinence d'un couple SR/OVAtelier 2
- Évaluation du couple source de risque / objectif visé selon motivation, ressources et activité.
Par exemple : Un groupe de cybercriminels financés, actif en France, ciblant le secteur santé = pertinence élevée.
- Partie prenanteAtelier 3
- Partie prenante de l'écosystème en interaction avec le périmètre étudié.
Par exemple : Infogérant, éditeur SaaS, prestataire de nettoyage, filiale, client.
- DépendanceAtelier 3
- Besoin de l'organisation vis-à-vis de la partie prenante.
Par exemple : 4 = impossible de fonctionner sans elle ; 1 = facilement remplaçable.
- PénétrationAtelier 3
- Niveau d'accès de la partie prenante aux biens supports.
Par exemple : 4 = accès privilégié aux systèmes sensibles ; 1 = contact ponctuel.
- MaturitéAtelier 3
- Capacité de la partie prenante à se protéger et à gérer un incident.
Par exemple : 4 = SOC, certifications, SMSI mature ; 1 = absence de pratiques de sécurité.
- ConfianceAtelier 3
- Confiance accordée à la partie prenante quant à ses intentions et sa gouvernance.
Par exemple : 4 = relation historique et contrats solides ; 1 = opacité ou conflit d'intérêts.
- Scénario stratégiqueAtelier 3
- Chemin d'attaque de haut niveau reliant une source de risque à un événement redouté.
Par exemple : Compromission de l'infogérant pour accéder aux données clients et les divulguer.
- Scénario opérationnelAtelier 4
- Mode opératoire technique détaillé du scénario stratégique.
Par exemple : Phishing ciblé → exécution de script → latéralisation → exfiltration.
- Action élémentaireAtelier 4
- Action élémentaire réalisée par l'attaquant sur un bien support.
Par exemple : Connaître : reconnaissance OSINT ; Rentrer : hameçonnage ciblé.
- Mesure de sécuritéAtelier 5
- Action du plan d'amélioration continue de la sécurité (PACS).
Par exemple : MFA généralisée, sauvegardes hors ligne, audit annuel de l'infogérant.
- Décision de traitementAtelier 5
- Choix de gestion du risque : le réduire, le transférer, l'éviter ou l'accepter.
Par exemple : Réduire par un PACS, transférer via une assurance cyber, éviter en arrêtant le service exposé, accepter avec validation de la direction.
- Risque résiduelAtelier 5
- Risque qui persiste après application des mesures de traitement.
Par exemple : Après MFA et EDR, le risque de compromission par phishing passe de critique à modéré.
Pour aller plus loin
Les questions qui restent.
Ce guide accompagne l’utilisation d’AtelierRM. L’application est indépendante de l’ANSSI : elle n’est ni éditée, ni validée, ni labellisée par l’agence.