Analyse de risques EBIOS Risk Manager
Démarche complète sur un SI cible : du socle de sécurité aux scénarios opérationnels et à leur traitement.
La démarche
EBIOS Risk Manager se déroule en cinq ateliers, du cadrage au plan de traitement. La valeur de la méthode ne tient pas au formalisme mais au fait qu'elle force à nommer un attaquant, son objectif et son chemin — au lieu de lister des vulnérabilités hors contexte.
Ce que j'ai fait
- Cadrage et socle de sécurité : périmètre, valeurs métier, biens supports, écarts au socle réglementaire.
- Sources de risque : couples source / objectif visé, retenus et justifiés.
- Scénarios stratégiques : chemins d'attaque passant par l'écosystème et ses parties prenantes.
- Scénarios opérationnels : déclinaison technique des chemins retenus, jusqu'aux modes opératoires.
- Traitement du risque : mesures, priorisation, risques résiduels assumés.
Résultat
[TODO: métrique] nombre de scénarios opérationnels retenus et de mesures de traitement arbitrées.
Ce que j'en retire
Le passage de l'atelier stratégique à l'atelier opérationnel est l'endroit où la plupart des analyses se vident : on y perd le lien entre la menace réelle et la mesure technique. Tenir ce lien est ce qui rend le plan de traitement finançable.