Analyser Risques Ebios

Analyser les risques (EBIOS Risk Manager)

Objectif

Produire un registre de risques et un plan de traitement où chaque scénario est rattaché à des actifs, à des sources de risque nommées et à des objectifs visés — et où aucune cotation n'est inventée.

Lire references/ateliers.md pour l'enchaînement des cinq ateliers et ce que chacun produit. Lire references/cotation-risque.md avant toute cotation de vraisemblance ou de gravité. Lire references/sources-menaces.md avant de décrire un mode opératoire en atelier 4 : ATT&CK, CAPEC, CWE et CVE fondent la description et la vraisemblance, sans jamais valoir exigence.

Préconditions

1. Un registre d'actifs, même partiel, avec des valeurs métier identifiées.
2. Un périmètre et un commanditaire.

Sans valeurs métier, l'analyse produit une liste de menaces génériques recopiables d'une organisation à l'autre — ce n'est pas une analyse de risques. Dans ce cas, revenir à cartographier-actifs.

Ce que la skill fait et ne fait pas

Elle prépare les ateliers : elle structure, propose, croise, rédige, et tient les artefacts à jour entre les séances.

Elle ne remplace pas les ateliers. EBIOS RM est une méthode de travail collectif : la valeur vient de ce que disent le métier, la DSI, le juridique et la direction quand ils sont dans la même pièce. Un registre de risques produit sans eux est un document, pas une analyse.

Le dire à l'utilisateur dès le premier échange, et marquer chaque élément produit hors atelier comme a_valider_en_atelier.

Procédure

1. Atelier 1 — Cadrage et socle. Périmètre, valeurs métier, événements redoutés avec leur gravité, socle de sécurité applicable et ses écarts.
2. Atelier 2 — Sources de risque. Couples source de risque / objectif visé (SR/OV), retenus ou écartés avec le motif. Une SR sans OV n'est pas exploitable.
3. Atelier 3 — Scénarios stratégiques. Cartographie de l'écosystème (parties prenantes, niveau de menace), chemins d'attaque de haut niveau, mesures sur l'écosystème.
4. Atelier 4 — Scénarios opérationnels. Déclinaison technique des chemins retenus, vraisemblance des modes opératoires.
5. Atelier 5 — Traitement. Plan de traitement (M-xxx), risques résiduels, acceptation nominative et datée.

Ne pas dérouler les cinq ateliers si l'organisation n'en demande qu'un. Dire ce qui n'a pas été fait et ce que cela laisse ouvert.

Règles de fond

• Une source de risque est un acteur, pas un événement. « Ransomware » n'est pas une source de risque : c'est un mode opératoire. La source est le groupe cybercriminel qui le déploie, et son objectif visé est le gain financier.
• La gravité se cote sur la valeur métier, jamais sur l'actif support. Un serveur n'a pas de gravité ; l'arrêt du processus qu'il porte en a une.
• La vraisemblance ne se cote qu'en atelier 4, sur un mode opératoire décrit. Coter la vraisemblance d'un risque énoncé en une ligne n'a pas de sens.
• L'écosystème est un vecteur. Prestataires, éditeurs, TMA, hébergeurs et partenaires figurent dans la cartographie de menace, avec leur niveau de dangerosité et le motif.
• Le socle de sécurité s'évalue, il ne se présume pas. Un référentiel déclaré applicable dont la mise en œuvre n'est pas vérifiée produit un écart, pas une conformité.

Interdits de cotation

Ne jamais produire une cotation :

• sans donnée de vraisemblance : écrire non_cote et ouvrir un D-xxx ;
• par analogie avec une autre organisation ;
• pour aboutir à une couleur attendue par le commanditaire ;
• en moyennant deux avis divergents — les deux avis figurent, l'arbitrage est humain.

Arrêts

S'arrêter et demander un arbitrage si :

• l'appétence au risque de l'organisation n'est pas définie ;
• l'échelle de gravité n'a pas été validée par le métier ;
• un risque résiduel doit être accepté : l'acceptation exige une personne nommée, une date et une durée, jamais l'agent ;
• le périmètre exclut un actif dont dépend un scénario retenu.