ClubEBIOS-2023-09-07-ELALAOUI
Télécharger
Rappels des liens proposés dans la présentation :
Ce document présente une méthode d’évaluation de la vraisemblance des scénarios opérationnels différente de celle proposée dans les fiches méthodes publiées par l’ANSSI. Cette approche constitue une alternative pour ceux qui cherchent à évaluer la vraisemblance avec d’autres critères, mais n’a pas vocation à remplacer les concepts décrits dans le guide de l’ANSSI.
ClubEBIOS-Une-autre-méthode-pour-l-évaluation-de-la-vraisemblance
Télécharger
La méthode EBIOS Risk Manager (EBIOS RM) a été mise à jour en 2018, et l’ISO 27005 en novembre 2022. Ces mises à jour sont majeures, et recentrent la gestion des risques autour des métiers, de la cybersécurité et de la protection de la vie privée. L’objectif de cet article est de préciser le lien et l’adéquation existant entre ces deux standards.
La norme ISO 27005 décrit les grandes lignes d’une gestion des risques dans un contexte cyber : définition du contexte d’analyse, identification et évaluation des risques encourus, possibilités de traitement ou d’acceptation de ces derniers. Elle introduit un processus d’appréciation des risques conforme à l’ISO 31000, sans pour autant proposer de méthode au sens strict.
Construite en cohérence forte avec le couple de normes ISO 27001/27002 et reprenant le vocabulaire principalement défini dans l’ISO 27000, la norme ISO 27005 utilise comme nombre de systèmes de management la logique d’itération et d’amélioration continue.
La méthode EBIOS est une méthode d’analyse et d’évaluation des risques qui a aujourd’hui plus de 25 ans. Elle a été définie par l’ANSSI, avec le soutien du Club EBIOS. Elle décrit dans le détail la procédure à suivre pour dérouler une analyse des risques (démarche et bonnes pratiques).
La dernière version de la méthode a permis de mettre l’accent sur l’agilité, et de substituer à la recherche d’exhaustivité une volonté de représentativité : l’idée n’est plus d’identifier tous les risques, mais uniquement les plus significatifs dans une approche permettant représenter aussi largement que possible l’espace des risques. Elle se veut aussi plus flexible en fonction de la maturité et de l’objectif fixé.
La question du lien entre l’ISO 27005 et EBIOS RM revient régulièrement, pour les deux raisons suivantes :
Quels sont les liens entre le processus EBIOS RM et le processus ISO 27005 ? Peut-on dire d’EBIOS RM qu’elle est compatible ISO 27005 ? Cet article, au fil des prochains paragraphes, détaille cette compatibilité et le lien entre chaque activité et atelier.
EBIOS RM propose une démarche construite autour de 5 ateliers (réflexions), dont l’importance va varier en fonction de l’objectif fixé pour l’analyse de risques et la maturité du périmètre concerné. Les ateliers proposés sont les suivants :
La démarche proposée par l’ISO 27005 comprend, elle aussi, 5 étapes majeures :
L’ISO 27005 ajoute en parallèle deux autres activités : la communication et la surveillance & revue.
L’ISO 27005 appelle à identifier les exigences de base des parties intéressées, en intégrant à la fois des normes, de la réglementation, d’éventuels compléments provenant de la PSSI, etc. Cela correspond très directement à l’activité EBIOS RM d’établissement du socle de sécurité.
Non-conformité : Dans les deux cas, l’idée principale est que l’ensemble des non-conformités permettront d’avoir une vision claire de la maturité du périmètre, et alimenteront le cas échéant le travail réalisé aux étapes suivantes d’évaluation des risques. En effet, chaque non-conformité ou écart sera à prendre en compte pour évaluer la vraisemblance des risques auxquels est exposé le sujet de l’analyse réalisée.
Échelles : Se pose la question des critères de réalisation des appréciations du risque : dit simplement, il s’agit d’identifier les échelles & matrices à employer pour l’analyse, à la fois en termes de gravité des événements redoutés, de vraisemblance, et de politique d’acceptation des risques identifiés.
Conséquence : Pour l’évaluation de la gravité, un changement de vocabulaire important apparaît : l’ISO 27005 ne parle pas d’événements redoutés, mais utilise le terme de conséquence (précédemment, appelle impact). L’évaluation se fait à travers les critères de conséquences, et leurs criticités qui sont le niveau de magnitude, grâce à l’identification des préjudices et dommages : cela correspond tout simplement à la notion d’impacts présents en EBIOS RM.
Vraisemblance : Pour la vraisemblance, l’ISO 27005 appelle à utiliser des échelles reposant sur des probabilités ou des fréquences. EBIOS RM laisse libre l’utilisateur de définir sa méthode d’appréciation de la vraisemblance en l’axant sur la réalité de succès de l’attaquant. L’analyse de la vraisemblance issue d’une analyse de risques EBIOS RM (si l’on suit les fiches méthodes) nécessite une adaptation conformément aux recommandations de l’ISO.
EBIOS RM a en théorie une approche plus continue de la construction de ces éléments (ils sont définis au fil de l’analyse), mais dans les faits c’est souvent le sujet par lequel démarrer. On essaye alors d’aligner ce paramétrage avec celui déjà existant au sein de l’entreprise ou de l’organisme, pour faciliter le partage a posteriori des résultats obtenus.
Le dernier critère est celui de la politique d’acceptation des risques : en fonction des critères précédents (gravité et vraisemblance), quel est le comportement de l’organisme face aux risques identifiés ? Cette évaluation de l’appétence au risque est rarement spécifique à la sphère cyber. L’ISO 27005 et EBIOS RM sont complètement alignées.
L’appréciation du risque en ISO 27005 passe par son identification, son analyse, puis son évaluation.
L’identification des risques au sens ISO 27005 est le processus consistant à rechercher, reconnaître et décrire les risques. Elle implique de déterminer les sources et ce qui peut se produire. La cible est d’avoir à l’issue de cette activité une liste de risques pouvant mener à la concrétisation de conséquences menaçant l’atteinte des objectifs de sécurité identifiés.
En EBIOS RM, l’identification des risques n’est pas monolithique. Elle va se réaliser étape par étape, et chaque atelier va permettre de les construire puis de les préciser :
L’ISO 27005 identifie deux approches possibles pour l’identification des risques basée sur :
Vulnérabilités : Il existe néanmoins une notion explicitée en ISO 27005 et non directement citée en EBIOS RM : la gestion des vulnérabilités. En conjonction à l’atelier 4 (ou à l’approche par les biens), l’intégration des vulnérabilités à la démarche d’analyse de risque permet à l’organisme de proposer un traitement spécifique du risque à un niveau détaillé. Cette proposition peut être vue comme une extension à la démarche EBIOS RM, mais n’est en rien contradictoire.
Cette étape est destinée à évaluer, à travers un ensemble de critères déterminés en amont, les risques identifiés. Ce travail permettra de projeter chaque risque en termes de gravité et de vraisemblance lors de l’évaluation. Il est (à nouveau) réalisé au fil des ateliers EBIOS RM :
Ces valeurs permettront ensuite de classifier le risque, en le confrontant aux critères d’acceptation du risque, définis par l’organisme : ce n’est ni plus ni moins que le placement de chaque risque sur une matrice d’acceptation du risque, où chaque cellule reflète ces critères.
L’ISO 27005 propose un traitement général du risque décomposé en plusieurs étapes :
EBIOS RM simplifie le choix de l’option de traitement, en priorisant en fonction des niveaux de risque la réduction ou l’acceptation. La notion de DdA n’apparaît pas non plus, mais c’est une production documentaire qui peut être faite à partir des résultats obtenus dans chaque atelier. La formalisation du plan de traitement du risque et l’acceptation des risques résiduels sont très directement repris.
L’ISO 27005 présente le processus de communication de la manière suivante : « les informations sur les risques, leurs causes, leurs conséquences, leurs vraisemblances et les moyens de maîtrise mis en œuvre pour les traiter sont communiqués […] aux parties intéressées ».
Cette communication est bien présente au sein d’EBIOS RM, mais n’est pas identifiée comme une activité spécifique. C’est plutôt un travail de fond, intégré à chaque atelier, avec l’idée que cela fait partie de l’esprit de la méthode : l’analyse de risques est par définition un outil de partage et de communication. Les nombreuses représentations graphiques (radar, scénarios stratégiques & opérationnels, etc.), mais aussi la volonté très marquée (en termes de vocabulaire et de mise en œuvre) de placer les métiers au centre en est la preuve concrète.
Scénarios de surveillance : Parmi les activités de communication et surveillance, la transposition des scénarios de risques en règles de surveillance, et règles de corrélation à intégrer dans les outils de détection d’une organisation permet d’assurer que les risques résiduels les plus critiques peuvent être détectés. Cette partie, qui fait le lien avec l’ISO 27035 (norme sur la gestion des incidents de sécurité) et les activités de SOC, n’est pas présentée dans le cadre de la méthode EBIOS RM, mais provient d’une contribution du Club EBIOS issue des retours d’expérience de ses praticiens.
Déclencheur : Pour le processus de revue et de surveillance, l’ISO 27005 fournit nombre de détails sur la mise en œuvre du suivi des risques identifiés. Les notions de cycle stratégique et opérationnel sont reprises stricto senso, mais l’ISO 27005 fait apparaître la notion de déclencheur, condition amenant effectivement à initier la mise à jour de l’une ou l’autre des activités.
EBIOS RM | ISO 27005 |
---|---|
Partie prenante | Partie intéressée |
Cadrage et socle de sécurité | Etablissement du contexte |
Scénario stratégique | Approche par évènements |
Scénario opérationnel | Approche par les biens support |
Évènement redouté | Conséquence |
Évènement intermédiaire | Conséquence intermédiaire |
Valeur métier | Bien primaire |
Bien support | Bien support |
Source de risque | Source de risque |
Niveau de Menace | Niveau de danger |
PACS | Plan de traitement du risque |
Impact | Critères de conséquences |
Besoin de sécurité | Objectif de sécurité |
Gravité | Gravité |
N/A | Déclencheur |
L’approche générale proposée par l’ISO 27005 permet à chacun d’identifier les étapes nécessaires à la réalisation d’une analyse de risques, sans imposer de processus spécifique pour les conduire. La nouveauté principale de l’ISO 27005 est l’approche duale par événements et/ou par biens supports, et cette approche duale fait partie du cœur de la méthode EBIOS. Les concepts utilisés de part et d’autre sont cohérents, même s’ils ne sont parfois explicités que d’un côté ou de l’autre.
Article connexe : différences entre l’ISO 27005:2018 et l’ISO 27005:2022
Ce document recense les propositions d’amélioration des guides de la méthode EBIOS Risk Manager et les retours d’expériences, produits par le Club EBIOS en vue d’alimenter les réflexions de l’ANSSI dans le cadre de l’amélioration continue de sa méthode.
En complément, une évaluation des « Principales forces, faiblesses, opportunités et menaces (SWOT) » et une « Évaluation des travaux et référentiels » sont proposées en annexe.
ClubEBIOS-EBIOSRiskManager-BilanEtPropositionsAmeliorations
Télécharger
Ce document contient 10 messages clés liés à la méthode EBIOS RM. Elaborés par le cercle des formateurs, ils visent à clarifier l’esprit de la méthode et sa mise en œuvre.
Club%20EBIOS%20-%20Les%2010%20commandements
Télécharger le document au format PDF.
Le Club EBIOS se mobilise pour transmettre à l’ANSSI des propositions d’améliorations d’EBIOS Risk Manager.
L’objectif est d’apporter des clarifications, de rendre le guide et les fiches plus efficaces au regard des retours de ses praticiens mais n’est pas de « révolutionner » la méthode (pas en rupture avec le modèle ou les principes de la démarche).
Pour ce faire, un formulaire de collecte de commentaires et de retours d’expériences a été produit afin que chacun puisse contribuer.
Des réunions d’édition seront ensuite organisées pour parvenir à consolider et à mettre en valeurs vos retours.
Les travaux seront présentés aux membres du Club et à l’ANSSI, puis une restitution sera organisé avec l’ANSSI.
Nous comptons sur tous ceux qui ont utilisé la méthode pour y contribuer !
Vous trouverez ci-dessous le formulaire, ainsi que le guide et les fiches pratiques avec des lignes numérotées, pour vous permettre de localiser précisément vos propositions.
Vous pouvez télécharger le formulaire et l’utiliser en y ajoutant vos retours d’expériences, éléments à considérer et propositions d’améliorations.
Les contributions peuvent être transmises jusqu’au 28 novembre 2021 à l’adresse methode@club-ebios.org.
Le formulaire d’appel à commentaires
Le guide de la méthode au format PDF, avec les lignes numérotés
Les fiches de la méthode au format PDF, avec les lignes numérotés
La méthode EBIOS Risk Manager est pensée pour s’adapter à l’objectif de l’étude. C’est ce principe pragmatique qui est retenu pour proposer une approche dite « Flash » afin de réaliser une étude préliminaire des risques en quelques heures de travail et l’organisation d’un unique atelier.
Le principal bénéfice recherché de l’approche « Flash » est d’obtenir l’adhésion du métier à la démarche et l’appropriation de ses risques dans un temps limité, avec au final des résultats concrets.
Vous trouverez dans ces travaux une démarche déployée dans un grand Groupe français, et un modèle de livrable.
2021_COLLEGE_EBIOS_demarche_flash_guide_utilisation_v1
Télécharger le document au format PDF.
Télécharger le document au format Word.
Le script THOR est une interface graphique permettant de transférer le contenu de fichiers Excel (.xls) et images dans un modèle de rapport d’analyse de risque au format WORD (.doc).
Le rapport utilisé pour exemple est celui qui a été produit dans le cadre du collège des praticiens et déjà validé. Ce rapport peut être trouvé ici : Modèle de rapport d’analyse
ClubEBIOS-2021-09-03-AMNBRAINS
Télécharger
Rappel des liens proposés dans la présentation :
Le Conseil d’administration du Club EBIOS a créé un exemple d’étude des risques sur la base de celle du système d’information de l’association.
L’étude a été réalisée à l’aide de la méthode EBIOS Risk Manager et porte à la fois sur la cybersécurité et la protection de la vie privée.
L’exemple a pour objectif d’illustrer des techniques de réalisation des ateliers et des techniques de présentation réutilisables dans d’autres analyses.
ClubEBIOS-Exemple_etude_des_risques
Télécharger le document au format PDF.
Télécharger le document au format Word.
Le but est d’assister les utilisateurs de la méthode EBIOS Risk Manager pour les aider à alimenter les réflexions de l’atelier 4.
La base de données a été construite par un groupe d’experts du collège des praticiens du Club EBIOS, en extrayant de la matrice Mitre Att&ck les techniques considérées comme les plus répandues, et en y ajoutant des critères afin d’en faciliter la sélection.
L’usage est très simple : à partir du choix de quelques critères contextuels, l’utilisateur génère sa propre matrice et ainsi peut consulter en français les techniques et sous-techniques l’aidant à construire ses chemins.
Il s’agit de la première version de l’outil. S’il remporte l’adhésion des utilisateurs, la base de données est destinée à être enrichie dans des versions ultérieures.
Le fichier Excel est ici.
Le PDF décrivant son utilisation est ici.
Le PDF de présentation générale, issue de la réunion courante de Mai 2021, est ici.
Le présent document propose un modèle de rapport d’analyse de risques regroupant les différents livrables prévus par la méthode EBIOS Risk Manager.
Il est destiné à être intégré dans un outil automatique capable de remplir la matrice à partir d’un fichier au format CSV (outil à paraître par le collège des praticiens).
L’objectif de chaque chapitre est succinctement rappelé afin de faciliter la compréhension du rapport par les différents destinataires, quel que soit leur niveau de connaissance de la méthode. Fruit de nombreux échanges, ce modèle s’appuie sur les définitions et exemples du guide méthodologique ainsi que sur l’expérience des différents experts et praticiens ayant contribué à ce document.
Le Club EBIOS fédère la communauté des personnes intéressées par la gestion des risques autour de la méthode EBIOS.
C’est une association indépendante à but non lucratif (Loi 1901), composée d’experts individuels et d’organismes.
Son positionnement par rapport à l’ANSSI : l’ANSSI publie la méthode EBIOS Risk Manager, labellise les logiciels qui facilitent sa mise en œuvre, et forme les administrations. Le Club EBIOS et l’ANSSI travaillent main dans la main sur ce sujet.
Le rôle du Club EBIOS est de fédérer une communauté de plus de 200 personnes : le Club regroupe des organismes et des experts individuels du secteur public et du secteur privé, français et étrangers.
Il supporte et enrichit le référentiel de gestion des risques français depuis 2003, en collaboration avec l’ANSSI.
Il promeut et développe EBIOS, tous ses usages et ses dérivés (cybersécurité, protection de la vie privée, sécurité des personnes, etc.)
Une logique à 360° (méthode, logiciels, formation, certification) et en amélioration continue.
Le Club EBIOS est un lieu d’échange d’expériences. Il se réunit tous les deux mois pour échanger des expériences, harmoniser les pratiques et favoriser la satisfaction des besoins des usagers.
Il crée et diffuse l’outillage (bases de connaissances, techniques, études de cas, etc.)
Des groupes de travail permettent de créer des outils : “Outils pratiques”, “EBIOS Risk Manager“, “Menaces”, “Plans d’action”
Il agrée les certificateurs pour la certification de compétences EBIOS et anime le Cercle des formateurs.
Il constitue un espace pour définir des positions et exercer un rôle d’influence dans les débats nationaux et internationaux. Il agit en normalisation internationale, notamment sur la révision des normes ISO/IEC 27005 sur la gestion des risques de sécurité de l’information.
Le but du Club EBIOS est de promouvoir la gestion des risques.
Retrouvez-nous sur :
Pour tous ceux qui souhaitent utiliser EBIOS Risk Manager pour mener un PIA (Privacy Impact Assessment, communément, ou analyse d’impact relative à la protection des données – AIPD, dans le cadre spécifique de l’article 35 du RGPD), voici une infographie qui synthétise la démarche :
D’une manière générale, la sécurité de l’information / cybersécurité et la protection de la vie privée traitent toutes deux de protection des données.
L’objectif diffère : en sécurité de l’information, le but est de protéger l’organisme, alors qu’en protection de la vie privée, le but est de protéger les personnes.
Mais la manière de gérer les risques est parfaitement compatible !
Pour mener un PIA avec EBIOS Risk Manager, il suffit ainsi de :
Toutes les informations requises dans un PIA se retrouvent toutes dans l’étude :
On a tous entendus parler de la dernière méthode de l’ANSSI, mais on ne l’a pas forcément pratiquée, et on n’a pas forcément compris si elle révolutionne vraiment les choses !
– Pourquoi la notion de socle de sécurité va vous changer la vie ?
– Comment la méthode permet-elle de tenir compte de l’écosystème ?
– etc.
Matthieu GRALL vous en explique les grands principes sous la forme de mini-séquences, sur la chaîne YouTube du Club EBIOS :
C’est aussi l’occasion d’échanger sur le détail d’EBIOS Risk Manager, son usage, son positionnement, tout ce qui tourne autour de la méthode et toute question que vous pourriez vous poser.
L’objectif est de bien faire comprendre ce qu’est EBIOS et ses principes fondamentaux.
Ce n’est pas une formation à la méthode, mais une manière de mieux appréhender la méthode.
Le Club EBIOS lance une nouvelle initiative : le “Collège des praticiens”.
L’objectif est de constituer un groupe d’utilisateurs qui va produire des éléments pour l’application opérationnelle de la méthode, et les diffuser au sein de la communauté EBIOS Risk Manager.
L’inscription est ouverte à tous, membres et non-membres du Club EBIOS.
L’ANSSI, en tant qu’éditeur de la méthode, est bien entendu déjà membre.
Seule exigence pour poser votre candidature : proposer une contribution au Collège.
En retour, le Club EBIOS s’engage à diffuser largement les travaux en y indiquant le nom du ou des contributeurs.
Nous comptons sur vous, membres de la communauté EBIOS Risk Manager, pour contribuer au déploiement de la méthode
> Télécharger le Règlement du Collège des praticiens
> Candidater
ClubEBIOS-2020-09-07-GRALL
> Télécharger
Vous souvenez-vous ? Avant, nos voitures n’étaient pas connectées, nous n’étions pas tracés sur Internet (pour notre bien), et les entreprises étaient encore victimes d’attaques informatiques.
C’était au siècle dernier me direz-vous ! À l’ère dernière, même !
De pauvres désignés-volontaires devaient improviser des FEROS*, les meilleurs recopiant habilement celle d’un collègue.
Puis vint la lumière… Elle apparut sous la forme d’un ange nommé EBIOS*, qui apporta d’abord un peu de logique au respectable Vauban du numérique, puis différentes versions qui se nourrissaient de l’expérience de ses pratiquants jusqu’à influencer le monde entier, sans qu’il le sache.
Et alors que le feu sacré n’était plus entretenu que par quelques apôtres esseulés, la SC/DC/AN-SSI revint en force vers ceux-ci pour faire naître un nouveau nephilim.
Naquit notre méthode actuelle, non comme la solution ultime, mais comme une arme à la portée de tous.
Nous devons toujours affronter les croyants du pousse-bouton, mais nous, utopiques défenseurs de l’après-épine dorsale, portons et défendons aujourd’hui, EBIOS !
Retour sur la genèse de notre dernière mouture…
* Toi qui ne connait pas l’acronyme, sors ! (ou renseigne-toi :p)
Une étude de cas d’analyse de risques EBIOS Risk Manager sur un centre d’imagerie médicale, publiée par Amine TABET (Ingénieur cybersécurité – Mastère Spécialisé en Opérations et Gestion de Crises en Cyberdéfense) :
“Le secteur de la santé est un domaine critique, aujourd’hui plus qu’hier. C’est particulièrement vrai pour les services de radiologie, qui constituent un élément central de ce secteur.
Ainsi, protéger les actifs radiologiques contre les cyber-attaques n’est pas un luxe mais un impératif ! Il faut absolument anticiper en adoptant une approche préventive, à travers la réalisation d’une analyse de risques.
Dans cet article nous présentons l’exemple d’une analyse de risques complète d’un centre d’imagerie médicale, basée sur la méthode EBIOS RM, à l’aide de l’outil Agile Risk Manager labélisé par l’ANSSI.“
Quelques extraits :
Voici un aide mémoire contenant les différentes étapes clés de la méthode EBIOS Risk Manager :
ClubEBIOS-2020-05-13-VANCAUTER
> Télécharger
THALES utilise largement EBIOS RM depuis maintenant plus d’un an pour réaliser ses homologations. Cette présentation fait un focus sur plusieurs points de la méthode que nous avons eu le besoin d’augmenter/compléter/approfondir à l’occasion de l’industrialisation de notre pratique. Ceci est l’occasion d’ouvrir sur la perspective d’une première révision intermédiaire d’EBIOS RM ?!
Agile Risk Manager est conçu pour vous accompagner dans la mise en œuvre d’analyses de risques en suivant la méthode EBIOS Risk Manager. Profitez de la force d’un outillage adapté pour vous concentrer sur les valeurs fondamentales mises en avant par la méthode : la connaissance, l’agilité et l’engagement.
Agile Risk Manager vous apporte l’efficacité et l’ergonomie d’une solution on-premise, tout en permettant un travail collaboratif complet et intuitif. De la journalisation des modifications à la gestion des rôles et des accès sur vos analyses partagées, tout est fait pour vous permettre de travailler en équipe.
Allez plus loin encore en bénéficiant de la force d’un outillage complet, qui vous guide sans vous restreindre. Agile Risk Manager adapte sa présentation à vos besoins, vous fait des recommandations tout en vous laissant maître de vos choix.
Personnalisez votre expérience :
Grâce à un import de données au format Excel, et un modèle simple et ouvert, retrouvez directement vos analyses précédentes dans Agile Risk Manager. Conservez votre capital métier pour le faire vivre dans l’outil, ou simplement pour initialiser de nouvelles analyses.
Agile Risk Manager vous permet par ailleurs d’échanger des données, avec des clients ou des collègues, en exportant chaque tableau vers Excel et chaque graphique et matrice sous forme d’image. Un rapport global peut également être généré, à n’importe quel moment dans votre analyse. Le contenu de ce rapport est personnalisable, et vous pourrez l’exporter sous différents formats, tels que HTML, Word et PDF.
La prise en main de notre logiciel est simple et aisée. Démarrez facilement avec nos exemples intégrés. Profitez également d’un accompagnement dédié avec nos démonstrations en ligne et une évaluation gratuite.
Pour obtenir plus d’informations ou demander votre version d’évaluation, contactez-nous à contact [at] all4tec.net ou visitez notre site https://www.all4tec.com.
ALL4TEC conçoit et distribue des outils d’analyse de risques dans le domaine de la cybersécurité et de la sûreté de fonctionnement, pour répondre à la double problématique « Safe & Secure » de plus en plus présente chez les grands industriels, opérateurs et donneurs d’ordre de l’IT.
(Par Jean Larroumets, Président d’EGERIE)
Il est convenu que le risque cyber est grandissant. En quelques dizaines d’années, nous sommes passés d’une dimension anecdotique à une menace internationale, multiple, systémique et organisée pouvant provoquer des dégâts considérables.
Dans le même temps, les dirigeants d’entreprise prennent quotidiennement des décisions stratégiques. Que celles-ci soient d’ordre financier, commercial ou industriel leurs conséquences auront toujours un impact considérable sur l’avenir de l’organisation. Mais il s’agit là de domaines historiques bien maîtrisés pour lesquels les dirigeants disposent d’une expérience considérable. Ces derniers sont toutefois désormais amenés à prendre des décisions tout aussi stratégiques, et aux conséquences tout aussi sérieuses, dans un domaine mouvant et en création permanente pour lequel ils n’ont pas toujours l’expérience significative : l’anticipation et l’analyse du risque cyber.
Pendant plusieurs décennies, nous avons mis l’accent sur la défense dans le but d’éviter tout incident de cybersécurité. Mais ces dernières années, les lignes ont bougé et nous avons commencé à accepter l’inéluctable à savoir que certaines attaques ne pourront être évitées et que, le cas échéant, l’important est de se concentrer sur la réponse à apporter pour limiter les risques.
Outre la nécessité de définir et d’analyser le risque cyber, les différents managers et leur COMEX doivent aujourd’hui également se préparer à prouver qu’ils ont mis en œuvre les moyens nécessaires pour le circonscrire.
Mais pourquoi mettre en place du management du risque cyber ?
Aujourd’hui, les entreprises accélèrent leur transformation numérique ce qui les oblige à repenser les métiers et les manières de les exercer. Par ailleurs, elles sont confrontées à l’obligation de s’adapter « à marche forcée » aux injonctions géopolitiques et réglementaires. Et le risque y est omniprésent. Aussi, seule une pratique holistique du Risk Management permet de le maîtriser, c’est-à-dire de sécuriser les stratégies et leurs trajectoires, de protéger les équipes et les actifs.
EGERIE est l’éditeur leader de la gestion des risques cyber en Europe. EGERIE propose une plateforme collaborative permettant une approche globale, agile et structurée pour la gouvernance, le pilotage et la conformité des risques cyber et la protection des données à caractère personnel.
Reconnue par les plus hautes autorités gouvernementales et réglementaires, la technologie d’EGERIE permet aux entreprises et organisations gouvernementales de comprendre comment elles sont exposées aux risques et de les accompagner dans l’aide à la décision et la détermination des mesures de sécurité à mettre en œuvre.
Grâce à la méthode EBIOS Risk Manager intégrée à la plate-forme EGERIE l’entreprise peut aujourd’hui à différents niveaux en analyser et arbitrer le risque cyber et s’inscrire, à plus long terme, dans une démarche d’amélioration continue.
La plate-forme EGERIE, au même titre que la méthode EBIOS Risk Manager, permet de déployer une approche adaptative d’analyse du risque cyber en entrant plus ou moins dans le détail selon les objectifs et le contexte de l’étude. Elle fournit automatiquement les éléments nécessaires à la prise de décision et à la communication au sein de l’organisation comme auprès de ses partenaires. On pourra par exemple rester synthétique dans le cadre d’une étude d’opportunité d’un nouveau projet ou entrer dans le détail d’une modélisation avancée pour une homologation d’un système sensible.
EGERIE, membre du Club EBIOS, participe activement à la promotion et à l’adoption de la méthode EBIOS auprès des industriels et administrations françaises. Nos solutions équipent déjà de nombreux OIV (Organisme d’Importance Vitale) et OSE (Opérateur de Service Essentiel) soucieux de disposer d’éléments d’arbitrage précis et visuels pour piloter au mieux leurs opérations de cybersécurité conformément à leurs enjeux métiers et leurs contraintes règlementaires.
Grâce à sa technologie de pointe, son moteur d’analyse et ses bibliothèques métiers et normatives, la plateforme EGERIE élabore la cartographie des risques cyber et rationalise la stratégie de cybersécurité de l’entreprise.
Le risque est polymorphique et va continuer d’évoluer. Il ne faut donc plus que les dispositifs associés à l’analyse et la gestion de ce risque soient questionnés ou challengés. Chez EGERIE l’anticipation et l’adaptabilité font partie de notre ADN alors nous y veillons.
En savoir plus : www.egerie.eu
EGERIE-EGERIE-Risk-Manager-Plaquette
> Télécharger la plaquette
Le logiciel open source PIA facilite la conduite et la formalisation d’analyses d’impact relatives à la protection des données (AIPD) telles que prévues par le RGPD.
Il est diffusé par la CNIL : Télécharger
Cette norme internationale définit le vocabulaire et les principes qui doivent être respectés par toute approche spécifique à la protection de la vie privée.
Cette norme internationale définit le vocabulaire qui doit être respecté par toute approche liée à la sécurité de l’information.
Cette norme internationale définit les principes qui doivent être respectés par toute approche de gestion des risques spécifique à la protection de la vie privée.
Cette norme internationale définit les principes qui doivent être respectés par toute approche de gestion des risques spécifique à la sécurité de l’information.
Cette norme internationale définit le vocabulaire et les principes qui doivent être respectés par toute approche de gestion des risques, quel que soit son domaine d’application.
Ce mémento, ou aide mémoire, est destiné à aider les personnes en cours d’apprentissage de la méthode.
Il présente les principaux objets de modélisation des risques dans EBIOS Risk Manager, leurs liens, les ateliers dans lesquels ils sont utilisés et quelques définitions importantes.
Club EBIOS - EBIOS Risk Manager - Mémento - 2020-04-03
> Télécharger
Il faut différencier la conformité aux obligations et les réponses apportées par l’organisme, de la démarche d’étude des risques décrites dans un PIA (Privacy Impact Assessment, ou analyse d’impact relative à la protection des données dans le RGPD).
L’analyse de la conformité aux obligations provenant de l’application de la législation (en particulier du RGPD et de la loi Informatique et libertés) peut ainsi être incluse dans l’atelier 1 d’EBIOS Risk Manager.
Pour ce faire, il ne faut pas mettre le RGPD dans son ensemble dans le socle de sécurité car il ne s’agit pas d’une liste d’exigences.
Par contre :
– les « normes simplifiées » de la CNIL, ou autres référentiels précis publiés par la CNIL ou l’EDPB (les CNILs européennes), peuvent utilement être ajoutées au socle (qui n’est plus que « de sécurité » dans ce cas), car il s’agit d’obligations ou de recommandations précises ;
– le « Socle pour la protection de la vie privée » du Club EBIOS peut être employé de la même manière.
L’étude des risques liés aux données à caractère personnel peut ensuite être menée par scénarios, en considérant les impacts sur les droits et libertés des personnes concernées, en plus ou à la place de la cybersécurité.
NB : EBIOS Risk Manager est une application d’EBIOS à la cybersécurité, dont l’objectif est de protéger les organismes contre les risques liés au numérique, alors que la protection de la vie privée a pour objectif de protéger les personnes concernées contre les mauvais usages et violations de leurs données, etc. Les deux approches sont complémentaires.
Question initiale :
Imaginons que mes associés et moi choisissions la méthode EBIOS Risk Manager.
Quels sont les première étapes d’implémentation de la méthode ? Devons-nous contacter des membres de l’ANSSI ? Devons-nous demander de l’aide ? Les Risk Managers et RSSI doivent-ils obligatoirement passer une formation à EBIOS Risk Manager ?
Très distinctement, comment s’implémente EBIOS Risk Manager d’un point opérationnel et pratique, pour une grande entreprise (les étapes, ceux qu’il faut faire exactement, etc.) ?
Quelques éléments de réponses :
Pour les organisations voulant se lancer, quitte à se tromper, car c’est en pratiquant qu’on va soi-même se rendre compte des choses à améliorer :
1. lire les guides ;
2. faire une formation (cf. liste des formateurs ayant signé la Charte du formateur EBIOS Risk Manager) ;
3. faire une étude, répondant à un besoin réel (ce qui permettra d’impliquer plus facilement les participants), et si possible en mode très “agile” (ce qui permettra d’une part d’avoir rapidement des résultats, d’autre part d’éviter de se noyer, et enfin de rapidement s’approprier les concepts et rectifier plus facilement le tir quand on a pu se tromper) : 1 référence pour le socle, 1 valeur métier, 1 événement redouté, 1 source de risques, 1 scénario stratégique, 1 scénario opérationnel, etc. puis on refait.
Pour les organisations déjà matures en sécurité :
1. disposer d’une instruction rendant les études de risques obligatoires ;
2. établir une taxonomie des besoins en études de risques de cybersécurité, selon le type de projets, contraintes métiers et pays, etc. ;
3. élaborer des guides (ex : documents, wiki) documentant en pratique comment mener une étude EBIOS Risk Manager, avec l’outillage correspondant, que ce soit à base de posters, de feuilles Excel ou d’outils ad-hoc ;
4. organiser des « projets pilotes » sur des études emblématiques de cas réels ; évaluer les retours d’expérience ;
5. organiser des sensibilisations aux études de risques de cybersécurité pour les généralistes ;
6. organiser des formations de « facilitateurs » pour les experts cyber : cela comprend une formation à EBIOS Risk Manager, puis une formation à l’animation d’ateliers.
Pour une démarche plus globale, un excellent guide a été publié par l’ANSSI et l’AMRAE : “Maîtrise du risque numérique – L’atout confiance”.
Il décrit 15 étapes d’une démarche progressive pour construire, étape par étape, une politique de gestion du risque numérique au sein de leur organisation :
– prendre la mesure du risque numérique ; comprendre le risque numérique et s’organiser (étapes 1 à 6) ;
– bâtir son socle de sécurité (étapes 7 à 11) ;
– piloter son risque numérique et valoriser sa cybersécurité (étapes 12 à 15).
Question initiale :
Comment devenir formateur EBIOS Risk Manager ? Quelles sont les étapes ?
Comment faire partie de ceux qui travaillent sur la méthode ?
Quelques éléments de réponses :
Les conditions pour être formateur EBIOS Risk Manager sont fixées dans la Charte des formateurs.
Sur l’ordre des choses, je dirais que c’est à vous de voir !
Et pour faire partie du Cercle des formateurs, il faut d’une part avoir signé cette Charte, mais aussi faire partie du Club EBIOS.
Question initiale :
Lorsque j’évoque l’utilisation ou au moins qu’on s’intéresse à la méthode au sein de mon entreprise (grande collectivité territoriale), on me dit qu’EBIOS est (je cite) :” […] pas fan, rébarbatif, 70 pages que personne ne lit…”
De mon côté je soutiens que la méthode, certes un peu complexe à aborder au départ, mais que, moyennant peut-être un accompagnement initial, l’intérêt est de monter en compétence et en maturité au niveau de notre niveau d’analyse de risques. Cela ne pourra nous être que profitable pour la suite une analyse de risque plus ambitieuse.
Mais par quel bout entamer la démarche ? Est-il notamment pertinent de démarrer par un petit projet ?
D’où ma question: Quel est le degré de granularité minimale d’utilisation d’EBIOS Risk Manager dans un SI ? Ou, autrement dit, peut-on envisager d’utiliser EBIOS Risk Manager pour un projet d’envergure plus modeste (ex: simple applicatif web de service public) ?
Quelques éléments de réponse :
La dernière version de la méthode EBIOS Risk Manager a justement été créée pour être plus accessible à ceux qui imaginaient (à tort selon moi) que la méthode était compliquée (c’est juste qu’elle était davantage écrite à la française, alors que personne n’aime lire !).
L’approche par scénarios permet notamment de se focaliser sur les risques ciblés et représentatifs de l’univers des risques (recherche d’efficacité plutôt que d’exhaustivité), après avoir évalué les mesures qu’on s’est engagé à respecter (ex : PSSI) et qui traitent naturellement la majorité des risques standards si elles sont mises en œuvre (l’approche par conformité).
Quant à son champ d’application, tout est possible : depuis l’étude de l’ensemble de l’organisme jusqu’à celle d’un composant applicatif.
Tout dépend de la modélisation que vous effectuez de la cible de l’étude et l’objectif recherché. Plus le périmètre est important, plus le niveau de granularité de l’analyse par scénarios sera faible pour éviter de se noyer dans trop de scénarios à examiner. Cette modélisation pour rester pertinente demande une connaissance approfondie du périmètre et une expérience de l’application de la méthode pour comprendre les implications des choix de la modélisation”.
Il conviendrait sans doute de privilégier un sujet que vous maîtrisez bien (sur lequel vous aurez toutes les informations nécessaires et si possible vous pourrez impliquer le plus de personnes possible) et qui va intéresser les décideurs (ex : un nouveau service que tout le monde attend).
Quels que soit le sujet retenu, il faudra juste adapter le niveau de détail de chaque atelier à la taille du périmètre afin de garder l’étude digeste pour ceux qui y participeront ou la valideront.
Le CLUSIF a publié des bases de connaissances :
> Voir les bases de connaissances du CLUSIF
Elles peuvent être utilisées dans certains ateliers d’EBIOS Risk Manager, et plus particulièrement l’atelier 4 pour la construction des scénarios opérationnels.
Pour ce faire, il suffit d’utiliser la table de correspondance suivante :
Utilité pour EBIOS Risk Manager |
Bases de connaissances du CLUSIF |
||
Atelier | Objets | Onglet | Objets |
1 – Cadrage et socle de sécurité | Événements redoutés | Base_Dommages | Types de dommages et commentaires |
2 – Sources de risques | Sources de risques | Base_Circonstances_Acteurs | Circonstances et compléments de description |
4 – Scénarios opérationnels | Actions élémentaires | Base_Scénarios | Tous |
Actions élémentaires (phase “Exploiter”) | Base_Evénements | Événements | |
Actions élémentaires (phases “Rentrer” et “Trouver”) | Base_Circonstances_acces | Circonstances et compléments de description | |
Affinage des circonstances des actions élémentaires | Base_Circonstances_Process | Circonstances et compléments de description | |
Affinage des circonstances des actions élémentaires | Base_Circonstances_Temps | Circonstances et compléments de description |
Paris Cyber Week – Le Forum européen de l’économie numérique aura lieu du 2 au 4 juin 2020.
Le Club EBIOS est partenaire de l’événement !
ClubEBIOS-2020-03-04-GRISPAN-AUVRAY
> Télécharger
Le déroulé de la méthode EBIOS Risk Manager peut être différent en fonction du périmètre de l’analyse.
L’apport d’expertise particulière au niveau de l’évaluation de la menace et des scénarios techniques est un facteur clé du succès.
Nous présenterons notre retour d’expérience dans l’application de la méthode sur un grand système et l’apport des expertises externes.
La méthode EBIOS Risk Manager confirme un changement de paradigme concernant l’étude de la résilience de la mission de l’armée de l’air face à la surface d’attaque grandissante que constitue le cyber espace.
Ce changement implique une évolution de la gouvernance cyber qui doit s’adapter et disposer de moyens pertinents pour exposer le risque cyber aux autorités militaires.
Le coordinateur cybersécurité de l’armée de l’air (équivalent CISO) présente des éléments de réflexions sur les travaux de cartographie du risque cyber s’appuyant sur la méthode EBIOS Risk Manager.
La présente étude de cas, fruit de plusieurs mois de travaux collaboratifs menés dans le cadre du GT55 “Outils & Pratiques” sous l’égide du Club EBIOS, vise à présenter tout l’intérêt de réaliser une analyse de risques raffinée et ciblée en s’appuyant sur la méthode EBIOS Risk Manager, en capitalisant (mais pas nécessairement) sur une analyse antérieurement basée sur EBIOS 2010*.
Bien qu’il s’agisse d’un cas purement fictif, l’étude en question tire parti de multiples retours d’expérience croisés issus de cas réels (médiatisés ou non) autour des enjeux et problématiques de cybersécurité et de protection des données personnelles liées aux plateformes digitales basées sur des technologies de data science en cloud. En l’occurrence, ladite plateforme se veut destinée ici à proposer par un offreur à ses clients, de digitaliser les process RH liés au management des talents et de la e-réputation, en s’adossant à une solution B-to-B en SaaS.
Si le parti pris a été d’aborder une analyse en post-incident dans une optique de recherche de cause racine (root cause analysis), une démarche par anticipation de certains scénarios de cyber-attaque sophistiqués (mais néanmoins plausibles), portant sur l’écosystème de parties prenantes, gagnera bien évidemment à être privilégiée, et ce, si possible dès la conception des systèmes, conformément au principe du “by design”.
Enfin, au-delà de la pertinence des scénarios et mesures retenus, l’étude de cas s’est avant tout focalisée sur l’implémentation pratique de la méthode EBIOS Risk Manager dans un souci essentiellement pédagogique et de partage auprès de la communauté élargie de praticiens du Risk Management.
* étude de cas par ailleurs disponible en accès membres sur le forum du Club EBIOS.
ClubEBIOS-EtudeDeCas-AnalyticsForTalentManagement-Synthese-2020-02-17
> Télécharger
ClubEBIOS-EtudeDeCas-AnalyticsForTalentManagement-2020-02-17
> Télécharger
Le Lean management est à la mode, car il offre des avantages évidents en phase amont. Cela concerne également la gestion des risques, notamment en France, avec la publication de la méthode EBIOS Risk Manager par l’ANSSI fin 2018.
Cependant, si la nouvelle méthode favorise une approche agile de gestion des risques, elle ne fournit pas les outils pour soutenir les ateliers de remue-méninges obligatoires.
Ici, dans le cadre du Collège des praticiens du Club EBIOS, nous proposons un ensemble innovant de posters qui peuvent être utilisés :
Un guide complet accompagne les posters pour faciliter leur usage. Le guide fournit également de nombreuses astuces issues de retours d’expérience de Thales lors d’ateliers avec ces posters. De plus, un exemple d’évaluation de risque, dans le domaine naval, traité avec ces posters, illustre ce qu’il est possible d’obtenir comme rapport avec cette approche.
Ces posters sont issus d’une longue démarche de R&D axé sur l’humain. A partir de 2018, ils furent utilisés en présentiel, d’abord lors de formations en cybersécurité, puis sur des études de R&D internes, et enfin sur de véritables projets au sein du Groupe Thales. Depuis début 2020, ils ont également été utilisés sur trois études menées en distanciel, dont l’étude fournie en exemple.
Nous avons remarqué au cours de ces études de cas que cette technique rend la gestion des risques ludique. C’est un moyen de démystifier la gestion des risques, de la rendre plus facile à comprendre, tout en restant très efficace en temps.
Ce format est particulièrement approprié lors des activités de candidature ou de lancement de projet. Il favorise également un état d’esprit collaboratif, rappelant que la sécurisation de l’architecture système n’est pas la seule affaire des experts en cybersécurité, mais le résultat d’un travail collaboratif impliquant la direction, les experts du domaine, le RSSI, le DSI, le client et éventuellement les utilisateurs finaux.
Obérisk, un jeu de posters pour une approche de gestion des risques de type Obeya, par Stéphane Paul de Thales Research & Technology (laboratoire des systèmes embarqués critiques), sont disponibles sous forme de diapositives PowerPoint sous licence CC BY-NC-SA (i.e. Creative Commons Attribution + Non Commercial + Partager à l’identique), avec un guide d’utilisation et un exemple.
ClubEBIOS-Oberisk-Guide-2021-01-07
Télécharger le guide
Télécharger les posters (modèles)
ClubEBIOS-Oberisk-Exemple-2021-01-07
Télécharger l’exemple
Voir aussi l’article sur Springer
Voir aussi l’article publié avec l’Ecole Navale
Voir les posters sur ResearchGate
Mise à disposition sous la plateforme SourceForge d’une version gratuite d’un outil accompagnant EBIOS RM (non labellisé par l’ANSSI) réalisée avec le logiciel Microsoft ACCESS 365. Ce développement est le fruit de l’expérience en tant que RSSI de monsieur RIOCHE, retraité. Il fait suite à deux autres développements du même style sur ISO27002 et ISO27005.
L’avantage de ces solutions résident sur l’usage d’un développement rapide conçu avec un minimum de programmation VBA et un modèle de base de données fidèle aux états de restitution. Ces solutions sont fournies avec un exemple complet de paramétrage et permet également l’import-export des tables au format Excel.
N’hésitez pas à tester et à commenter ces développements gratuits sans prétention.
Projet EBIOS RM
Projet ISO 27005
Projet ISO 27002
NoLimitSecu a diffusé un podcast sur EBIOS Risk Manager avec Fabien CAPARROS (ANSSI).
ClubEBIOS-2019-11-13-COSQUER-ZAMORA
> Télécharger
Nokia et Orange portent un regard, à l’aide du prisme EBIOS Risk Manager, sur l’appréciation des risques pour la cybersécurité des réseaux 5G coordonnée au sein du groupe européen NIS.
Question initiale :
Dans les documents détaillant la méthode, on qualifie les “biens essentiels” de “patrimoine informationnel”. En effet, dans l’étude de cas @rchimed, ne figurent dans le tableau des biens essentiels que des informations telles que le contenu d’un devis, d’une page web, d’un plan, etc.
Mes interrogations sont les suivantes:
Or, dans la nouvelle formation, nous avions qualifié de biens essentiels les activités essentielles, qu’elles reposent ou non sur une source d’information.
– Est-ce une erreur ?
– Quelle est la différence entre biens essentiels et activités essentiels ?
– Comment faire ressortir les biens essentiels d’une prestation effectuée par un administrateur Système, un commercial, etc. ne reposant pas sur une base d’information ?
– En outre, est-ce correct si dans mon tableau de biens essentiels ne figurent que des services et ou activités ?
Quelques éléments de réponse :
Dans EBIOS RM, le terme de biens essentiels a été remplacé par “valeurs métiers”, pour désigner le même concept : Valeur métier = “composante importante pour l’organisation dans l’accomplissement de sa mission. Cela peut être un service, une fonction support, une étape dans un projet et toute information ou savoir-faire associé”.
– Non, les biens essentiels ne sont pas limités au patrimoine informationnel. Il les faut voir comme quelque chose d’immatériel, qui a de la valeur pour le métier considéré – celui qui prend la responsabilité de sa protection.
– Selon la modélisation que l’on utilise, des activités sont en général liées à un ou plusieurs métiers et donc peuvent regrouper un ensemble de biens essentiels comme des processus, des services, des fonctions et/ou des informations. Le niveau d’abstraction (de modélisation) dépend de la finalité de l’étude et de la complexité du périmètre à étudier. Ce qui est important c’est qu’à partir d’un bien essentiel, le métier (la MOA) exprime un besoin de sécurité.
– Un bien essentiel peut être le service rendu dans le cadre d’une prestation : gérer des accès, patcher les systèmes, établir une proposition, gérer une base commerciale, etc. Attention néanmoins, le bien essentiel doit être une valeur métier pour la MOA de l’étude. Donc, gérer des accès est une valeur si la MOA est la DSI. Mais ce n’est pas une valeur métier pour une analyse conduite par la direction commerciale, par exemple.
– Oui on peut avoir uniquement des services ou activités. Mais attention d’être complet pour le périmètre considéré dans l’étude. Donc, il faut vérifier que les services et activités que vous avez choisis couvrent bien tout le cycle de vie – placé sous la responsabilité du métier – des informations essentielles.
ClubEBIOS-2019-09-05-PAUL
> Télécharger
Thales retravaille en profondeur le kit formation à EBIOS – Risk Manager de l’ANSSI pour des besoins de formation interne. Le résultat sera mis à disposition du Club dans les semaines à venir.
ClubEBIOS-2019-09-05-CONCHON
> Télécharger
Quelques thématiques sont survolées, dans le but de créer des vocations pour participer au contenu du Club EBIOS : quels apports d’EBIOS Risk Manager pour ces thématiques ?
ClubEBIOS-2019-09-05-CAIRE
> Télécharger
GT 58 : cahier des charges pour les bases de connaissance
ClubEBIOS-2019-09-05-MA
> Télécharger
Présentation de CYPH-R, un outil d’analyse de risques cybersécurité interne EDF dédié aux besoins industriels. La version 1 est opérationnelle depuis 2018 et conforme avec EBIOS 2010, son évolution vers la conformité avec EBIOS RM est en cours.
Des mesures peuvent bien entendu avoir un effet sur la gravité des risques dès lors qu’elles réduisent le préjudice lié à l’atteinte de la valeur métier concernée. Par exemple, des mesures permettent la mise en place d’un fonctionnement dégradé.
Les mesures sont prises en compte et décidées à plusieurs étapes de méthode. Un événement redouté peut avoir une gravité réduite parce que des mesures existantes sont considérées dans le socle de sécurité. La réduction de la gravité d’un scénario stratégique (et par induction d’un scénario opérationnel) peut être évaluée lors de l’atelier 3 par l’application de mesures de sécurité sur l’écosystème – Cette réduction à une gravité résiduelle est mentionnée dans le guide EBIOS Risk Manager dans le tableau cité en exemple page 76.
Il est vrai que dans une stratégie se limitant à renforcer la sécurité en rendant la tâche plus difficile pour l’attaquant, elle n’aura pas d’impact sur la gravité des risques. Ce qui ne sera pas le cas si la stratégie conduit également à limiter les préjudices des risques ou à réduire le niveau de menace intrinsèque.
Le document suivant peut être utilisé lors de la détermination du socle de l’atelier 1 d’EBIOS Risk Manager dans le cas où l’objet de l’étude est un traitement de données à caractère personnel :
> Télécharger
Il constitue une déclaration d’applicabilité relative aux principes fondamentaux liés à la protection de la vie privée.
La suite de l’étude permet de satisfaire les obligations du RGPD en matière de sécurité (cf. art. 32) si vous appréciez les impacts sur les personnes concernées en plus de ceux sur l’organisme.
Vous pouvez ainsi utiliser EBIOS Risk Manager pour mener un PIA (cf. art. 35).
ClubEBIOS-2019-05-14-CONCHON-CAIRE
> Télécharger
Les kill chains (atelier 4 d’EBIOS RM : scénarios opérationnels), tout le monde en parle mais personne n’en fait : une proposition pour utiliser les bases de connaissance existantes, notamment CAPEC, pour automatiser la réalisation des kill chains.
ClubEBIOS-2019-05-14-OLIVE
> Télécharger
Présentation d’une méthode permettant d’élaborer des scénarios de surveillance destinés à un SIEM pour intégrer un projet à fort enjeux de sécurité au SOC. Elle s’appuie sur 3 approches complémentaires : l’utilisation d’un référentiel générique de scénarios habituellement rencontrés, l’application de la démarche EBIOS RM pour découvrir les indicateurs de compromission et les comportements anormaux, l’utilisation d’un framework spécifique, construit à partir des travaux de l’ETSI, pour compléter les scénarios et vérifier leur exhaustivité.
ClubEBIOS-2019-05-14-COTELLE-ALLAIRE
> Télécharger
Le chief security officer d’Airbus et l’ANSSI financent depuis 2015 un programme de recherche à l’IRT-SystemX sur la quantification du risque cyber et son transfert vers l’assurance. Le risque cyber est désormais un risque d’entreprise qui doit être apprécié financièrement et le transfert vers l’assurance est une des options à la disposition des organisation pour financer ce risque. L’enjeu de l’appréciation financière des biens intangibles et de la valorisation du patrimoine informationnel est un challenge auquel l’année 3 de la recherche au sein de l’IRT-SystemX apporte des réponses.
Question initiale : “Le périmètre d’activité du Risk Manager est bien plus large que le périmètre des risques numériques, et d’autre part, le management des risques numériques est sous la responsabilité du RSSI, qui en fournit une vision au Risk Manager pour consolidation dans la cartographie des risques majeurs de l’organisation.
Au travers des FAQ publiées sur le site de l’ANSSI, il est indiqué que « Les publics intéressés par cette méthode sont les RSSI et les risk managers ». Concrètement qui déroule la méthode ?”
Quelques éléments de réponse :
1. La méthode est bien une démarche de gestion des risques. L’objet de la méthode peut être d’ailleurs de “mettre en place ou renforcer un processus de management du risque numérique au sein d’une organisation”, ce qui est notamment illustré par les cycles opérationnels et stratégiques proposés dans la méthode.
2. Elle n’est pas déroulée par un acteur unique mais est conduite au travers d’ateliers réunissant les points de vue de plusieurs acteurs (Directions, métiers, RSSI, DSI, spécialiste en analyse de la menace numérique, Architectes fonctionnels, spécialiste en cybersécurité). Le Risk Manager peut être l’un des acteurs contribuant à la conduite de la démarche notamment en fournissant des éléments de décision de traitement des risques.
3. Quelque soit la méthode, l’un des points forts de cette nouvelle version est la simplification pour la rendre accessible à un plus grands nombre d’acteurs et notamment des non spécialistes de la SSI, dont des Risk Managers.
4. La méthode EBIOS Risk Manager est limitée aux risques numériques. EBIOS Générique (méthodologie du Club EBIOS) étend EBIOS RM pour se décliner dans tous les domaines en respect des exigences de la norme ISO 31000.
ClubEBIOS-2019-03-14-VIE
> Télécharger
Suite à l’appel à manifestation d’intérêt en août 2018 et la présentation de la méthode EBIOS Risk Manager, l’ANSSI a présenté son processus de labellisation permettant de proposer à termes des outils avec le label “EBIOS Risk Manager” conforme à la méthode. ALL4TEC est en cours de labellisation pour son outil Agile Risk Manager qui permet de mettre en pratique la méthode de l’ANSSI.
ClubEBIOS-2019-03-14-FORET-ROYER
> Télécharger
Le modèle FAIR permet de quantifier les risques en termes financiers. FAIR définit les composantes du risque et quantifie les variables correspondantes en utilisant les statistiques et probabilités pour gérer l’incertitude des données. FAIR est utilisé par 30% des entreprises du « Fortune 1000 » (source www.FairInstitute.org).
ClubEBIOS-2019-03-14-CONCHON-CAIRE
> Télécharger
Les kill chains (atelier 4 d’EBIOS RM : scénarios opérationnels), tout le monde en parle mais personne n’en fait : une réflexion subversive sur les méthodes et les moyens pour élaborer des kill chains.
La traduction du guide d’EBIOS Risk Manager et de son supplément sortira fin septembre 2019.
La précédente version n’a jamais fait l’objet d’une traduction publiée.
Il existe aussi l’EBIOS générique, qui sert à créer des méthodes sectorielles, et qui est traduite.
ClubEBIOS-2018-01-10-KOUBY-OLIVE
> Télécharger
Smart Risks est un outil d’aide à la réalisation d’analyses de risques EBIOS et à la capitalisation des résultats. Au lieu de partir d’une base de connaissance, Smart Risks construit automatiquement un référentiel composé de la compilation de l’ensemble des résultats et offre une interface de recherche puissante et intuitive pour réutiliser ce dont on a besoin.
ClubEBIOS-2018-01-10-PAUL
> Télécharger
Avec EBIOS – Risk Manager, l’ANSSI a proposé une approche agile à l’évaluation de risques de cybersécurité, soutenu par une organisation en ateliers (séances de remue-méninges). Pour structurer ces ateliers, nous avons créé une série de posters en taille A0 pour capturer en séance les informations avec des post-its (approche de type Obeya). Ces posters ont été affinés à travers 3 études de cas: In-Flight Entertainment (IFE), drones autonomes et dernièrement, l’introduction de l’IOT dans un SCADA ferroviaire.
ClubEBIOS-2018-01-10-COHEN-HADRIA
> Télécharger
Le RGPD prévoit une obligation de sécurité en son article 32. Cette obligation pose clairement une obligations de mesure du risque au regard des connaissances à date de la mise en place des mesures. Toutefois les décisions de la Cnil semblent omettre ce point et sanctionner le défaut de sécurité au sens d’une obligation de résultat. Dès lors peut se poser la question des conséquences de ces décisions sur la méthode EBIOS d’évaluation des risques et de l’accentuation de la vraisemblance de certains risques lorsqu’une société est dans le viseur de la CNIL.
Quelques éléments de réponses :
EBIOS Risk Manager est une méthode de gestion des risques de cybersécurité, et non de gestion des risques juridiques, environnementaux ou autres.
En outre, l’approche par scénarios d’EBIOS Risk Manager est ciblée sur les menaces intentionnelles.
Toutefois, les risques accidentels et environnementaux sont traités a priori via une approche par conformité au sein du socle de sécurité.
A noter : l’approche générique d’EBIOS (https://club-ebios.org/site/ebios-lapproche-generique/) couvre tous les types de risques et permet de créer des méthodes sectorielles.
L’objectif principal de la méthode EBIOS RM est de se concentrer sur l’analyse des risques ciblés. Considérant que les éléments faisant partie des référentiels de sécurité sont à appliquer (identifiés comme le socle de sécurité en atelier 1), la méthode EBIOS RM n’a pas pour objet de justifier ou d’argumenter le besoin ou les priorités de mettre en place ces mesures.
L’atelier 5, consacré au traitement des risques, sera l’occasion d’inscrire les mesures non mises à œuvre dans un plan d’amélioration continue.
A noter
EBIOS – Expression des Besoins et Identification des Objectifs de Sécurité – est une méthodologie universelle de gestion des risques qui permet de créer des méthodes sectorielles, publiée par le Club EBIOS (voir la méthodologie).
EBIOS est une marque déposée du Secrétariat général de la défense et de la sécurité nationale (SGDSN).
EBIOS Risk Manager (ou EBIOS RM) est la méthode d’appréciation et de traitement des risques de cybersécurité publiée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
La fiche d’expression rationnelle des objectifs de sécurité (FEROS) est un document largement utilisé dans les programmes et projets d’armement comme point de départ d’une démarche d’homologation ou de certification par exemple. Les sommaires types proposés sur le site institutionnel de l’ANSSI, dont celui de la FEROS (https://www.ssi.gouv.fr/uploads/2014/06/Lhomologation-en-neuf-etapes-simples-Document-types.pdf), feront l’objet d’une mise à jour avant l’été 2019 afin de répercuter les évolutions de la méthode EBIOS.
La FEROS est principalement le reflet des résultats de l’analyse de risque, elle est donc structurée comme telle. Par conséquent, vous pouvez adapter votre template en reprenant les grandes séquences d’EBIOS Risk Manager. Par exemple, si l’on considère le template proposé par l’ANSSI (cf. lien ci-dessus) :
Pour le §8, nous vous recommandons fortement de structurer votre stratégie et vos mesures selon le cadre de référence suivant : protection, défense, résilience, gouvernance (voir fiche méthode n°9).
Ci-après les ressources utiles :
Vous avez bien perçu l’articulation entre l’atelier 1 et les ateliers 2-3-4 d’appréciation des risques.
Un des objectifs de l’atelier 1 est d’identifier ou de bâtir un socle de sécurité à la fois basé sur l’état de l’art, les bonnes pratiques (dont la PSSI existante), et la réglementation. Les ateliers d’appréciation des risques vont ensuite « malmener » ce socle au travers de scénarios d’attaques représentatifs de la menace à laquelle vous êtes réellement exposé. L’appréciation des risques peut aboutir à la nécessité de durcir le socle grâce à des mesures complémentaires ad hoc. Elle peut également permettre de justifier des écarts de conformité ou des vulnérabilités. L’ISO 27001 constitue un cadre intéressant pour bâtir un socle de sécurité cohérent. Par ailleurs, la prise de risque peut dans certains cas être simplement acceptée en l’état ou refusée le temps de revenir à une situation plus saine, voire transférée vers une assurance ou un tiers.
L’appréciation des risques dans EBIOS RM est par essence intentionnelle. Nous considérons que les risques accidentels et environnementaux sont traités a priori dans l’atelier 1 dans le cadre du socle de sécurité.
Dès lors, deux réponses sont possibles.
La première consiste à distinguer les sujets. L’évaluation de la conformité aux bonnes pratiques de l’annexe de l’ISO 27001 vous permet de mettre les écarts en évidence et de déterminer les actions à entreprendre pour vous en rapprocher. Vous choisirez ensuite si votre étude des risques doit être basée sur l’état actuel de conformité aux bonnes pratiques ou sur l’état visé. À l’issue, vous aurez non seulement un plan d’action pour améliorer votre conformité et votre plan d’action pour traiter les risques appréciés avec la méthode.
Pour rappel, ces bonnes pratiques ne constituent pas le cœur d’ISO 27001, mais permettent juste de comparer les mesures choisies dans votre environnement à des bonnes pratiques.
La deuxième est applicable si vous souhaiteriez contextualiser ces risques afin de mettre en lumière de quelle façon les écarts concernés à l’ISO sont préjudiciables et justifier ainsi auprès de votre direction la nécessité d’y remédier.
Si vous souhaitez réaliser une appréciation des risques non intentionnels dans le cadre d’une EBIOS RM, vous pouvez procéder comme suit, mais dans tous les cas la phase d’appréciation des risques devra se concentrer sur les risques les plus extrêmes. Sans quoi, l’analyse serait trop lourde et inexploitable pour un décideur. Celui-ci doit pouvoir poser une décision sur un jeu de scénarios concret et limité, représentatif des risques les plus critiques.
Une façon alternative (mais non exclusive de celle présentée ci-dessus) de « valoriser » les problèmes de nature non intentionnelle est de voir de quelle façon ils peuvent bénéficier aux attaquants dans vos scénarios de risque intentionnels. Par exemple, un attaquant peut arriver à atteindre son objectif visé en raison d’un écart de sécurité environnementale qu’il exploitera volontairement ou opportunément. La vraisemblance d’une attaque peut être accrue à cause d’un manquement à une règle ISO 27001. Dans cette approche, vos écarts non intentionnels sont intégrés dans des scénarios de risques intentionnels en tant que facteurs aggravants qui faciliteront l’attaque. Cette approche peut se révéler très percutante car elle montre de quelle façon les faiblesses environnementales du socle de sécurité peuvent rendre une attaque intentionnelle bien plus vraisemblable ou aggraver fortement les conséquences.
En matière de gestion des risques ou de cybersécurité, la méthode EBIOS Risk Manager est une méthode de référence développée par l’ANSSI et soutenue par le Club EBIOS. Elle permet d’apprécier et de traiter les risques numériques, conformément à la norme ISO/IEC 27005, dont les valeurs reposent sur les aspects concret, efficient, convaincant et collaboratif.
Face au bouleversement numérique, la méthode EBIOS nécessitait d’évoluer pour prendre en compte l’environnement numérique actuel (systèmes interconnectés, prolifération des menaces, état de l’art et règlementation plus mature, connaissance de la menace). La version de 2010 était très pertinente dans son contexte mais proposait une analyse séquencée, système par système. Il fallait attendre la fin de l’analyse complète pour pouvoir obtenir des résultats. La nouvelle version EBIOS Risk Manager propose une méthode d’analyse plus agile de l’ensemble des systèmes, dans leur environnement global, avec des résultats visibles étape par étape. Ce procédé d’analyse offre un aperçu plus réaliste et qualitatif. On estime qu’après appropriation, la mise en œuvre de cette démarche permet de gagner 30% de temps en comparaison avec la version de 2010. Les analyses réalisées avec cette dernière peuvent être intégrées au sein de cette nouvelle version puisque certaines mesures de traitement ont déjà été opérées. Ces mesures peuvent facilement contribuer à l’atelier 1 de la méthode EBIOS Risk Manager, lors de la définition du socle de sécurité.
EBIOS Risk Manager propose une analyse plus agile et ciblée. Elle est ancrée dans la réalité de la menace cyber et de l’environnement des systèmes concernés, et permet d’obtenir des résultats au fil de l’analyse, par ateliers exécutés. Elle prend en compte l’ensemble de l’écosystème de l’objet de l’étude.
Les analyses de risques réalisées avec la version précédente sont évidemment réutilisables dans la version actuelle. Grâce aux analyses de risques déjà réalisées, les mesures destinées à traiter les risques ont été identifiées et mises en place. Ces mesures pourront être directement intégrées au cours de l’atelier 1 de la méthode EBIOS, lors de la définition du socle de sécurité.
En effet, l’étape de définition du socle de sécurité permet d’identifier l’ensemble des bonnes pratiques, des mesures règlementaires et normatives qui s’appliquent à l’objet de l’étude, mais aussi des mesures spécifiques déjà mises en place sur le périmètre concerné.
La version 2010 n’est plus maintenue à partir de la sortie de la nouvelle version 2018.
Il s’agit de la base officielle de l’ANSSI. Le Club et l’ANSSI poursuivent les travaux dans le cadre des groupes de travail du Club EBIOS afin de fournir plus de contenus sur son portail (bases de connaissances, techniques spécifiques, études de cas, etc.).
La pyramide, qui place la réglementation et les mesures de base sous la gestion des risques, a pour but d’expliquer qu’EBIOS Risk Manager vise l’efficacité plutôt que l’exhaustivité : la méthode gère les risques qui peuvent encore survenir après application de la réglementation et des pratiques de base. Le reste de la méthode se concentre donc uniquement sur cette partie.
Réponse d’un membre du Club EBIOS : “on peut agir sur plusieurs éléments pour que le résultat corresponde aux attentes”
La réalisation d’une étude est parfois critiquée en raison de l’explosion combinatoire des éléments à étudier. C’est pourquoi il convient, avant ou au début de toute étude, de se demander ce qu’est capable d’accepter le commanditaire en termes de lisibilité.
Certains souhaitent avoir autant de détails que nécessaire pour traiter les risques (et/ou justifier les mesures) de manière fine.
Dans ce cas, il est possible de traiter toute la combinatoire d’événements et de scénarios de menaces.
Si tel n’est pas le cas, voici quelques astuces qui vous permettront de diminuer l’entropie de l’analyse :
Dans les graphes d’attaque présentés, la valeur en gras correspond à la probabilité ou difficulté technique de l’action élémentaire concernée du point de vue de l’attaquant. Par exemple dans le premier paragraphe « Pr 4 » pour l’action élémentaire « Intrusion via mail de hameçonnage sur service RH » signifie que l’on considère que cette action d’hameçonnage a une probabilité quasi-certaine de réussir pour l’attaquant compte-tenu par exemple du très faible niveau de sensibilisation des personnes visées. La valeur entre parenthèses et en italique correspond à l’indice cumulé de probabilité ou de difficulté technique de la phase concernée du mode opératoire. Elle est calculée en appliquant les algorithmes proposés. La probabilité cumulée intermédiaire à une phase donnée du mode opératoire correspond donc à la probabilité que l’attaquant ait réussi toutes les actions élémentaires en amont y compris l’action élémentaire concernée. Par exemple, « (3) » au niveau de l’action élémentaire « Exploitation maliciel de collecte et d’exfiltration » signifie que l’on estime que l’attaquant a de très fortes chances (probabilité très élevée) d’arriver à ce stade du mode opératoire concerné, compte-tenu des probabilités de succès des actions élémentaires précédentes et de celle concernée.
En complément du guide EBIOS Risk Manager, des « fiches méthodes » ont été créées pour vous aider à réaliser chaque atelier décrit dans le guide. Elles contiennent notamment des bases de connaissances qui ont vocation à faciliter l’animation des ateliers d’appréciation des risques et l’identification des scénarios. Conçues comme des outils d’accompagnement à vocation pédagogique, ces fiches méthodes seront régulièrement enrichies et mises à jour.
La Fiche méthode n°5 décrit la méthode d’évaluation du niveau de menace d’une partie prenante et propose une métrique. Quatre critères d’évaluation sont pris en compte : deux qui reflètent le degré d’exposition de l’objet de l’étude vis-à-vis de la partie prenante (dépendance et pénétration) et deux qui concernent le niveau de fiabilité cyber de la partie prenante (maturité et confiance).
Dans la cartographie radar, vous pouvez simplement positionner chaque partie prenante selon son niveau de menace. Mais vous pouvez également affiner la représentation comme proposé dans la cartographie page 45 : la taille des ronds reflète le degré d’exposition relatif à la partie prenante (produit dépendance x pénétration) et la couleur des ronds traduit la fiabilité cyber (produit maturité x confiance).
Dans l’exemple qui est donné, on a supposé que l’on dispose d’informations permettant d’évaluer la motivation, les ressources et l’activité de la source de risque. Une échelle de cotation à trois niveaux est utilisée, représentée par des « + ». La pertinence globale d’un couple SR/OV est estimée selon la métrique suivante : pertinence faible si la somme « motivation+ressources+activité » est égale à 3 ou 4 ; pertinence moyenne si la somme est égale à 5, 6 ou 7 ; pertinence élevée si le score est 8 ou 9.
Suite à l’appel à manifestation d’intérêt lancé l’été 2018 par l’ANSSI, plusieurs éditeurs ont répondu favorablement et travaillent activement au développement de solutions logicielles pour outiller la méthode EBIOS RM.
Le lancement d’un label qui atteste de la conformité des solutions logicielles aux principes et aux concepts de la méthode a eu lieu début 2019.
La liste des solutions labellisées est disponible sur le site de l’ANSSI.
Afin d’outiller cette nouvelle méthode, l’ANSSI souhaite s’appuyer sur des partenaires externes, éditeurs de logiciel. La mise à disposition d’une ou plusieurs solutions logicielles conformes à l’esprit de la méthode apparaît comme un complément attendu qui facilitera son adoption par le plus grand nombre.
Dans cette logique, l’ANSSI travaille à la création et à l’attribution d’un label de conformité EBIOS RM, accessible à tout éditeur souhaitant développer une solution logicielle conforme aux principes et aux concepts de la méthode EBIOS « Risk Manager ».
Les éditeurs sont dès à présent invités à se rapprocher de l’ANSSI (contact : ebios[at]ssi.gouv.fr) pour participer à l’expérimentation de la labellisation avant son lancement et disposer du cahier des charges dans le cadre d’un accord de confidentialité.
Voir la page du label sur le site de l’ANSSI.
L’outil développé en open source par l’ANSSI pour la méthode EBIOS 2010 a été retiré du site internet de l’ANSSI car il était devenu obsolète. Il ne sera plus maintenu par l’ANSSI.
Les analyses de risques réalisées avec la version précédente sont évidemment réutilisables dans la version actuelle. Grâce aux analyses de risques déjà réalisées, vous avez identifié et mis en place un certain nombre de mesures destinées à traiter les risques. Ces mesures pourront être directement intégrées au cours de l’atelier 1 de la méthode EBIOS Risk Manager, lors de la définition du socle de sécurité.
En effet, l’étape de définition du socle de sécurité permet d’identifier l’ensemble des bonnes pratiques, des mesures règlementaires et normatives qui s’appliquent à l’objet de l’étude, mais aussi les mesures spécifiques déjà en place sur votre périmètre.
A minima, il est fortement conseillé d’impliquer dans les ateliers un représentant du métier ou de la direction et un responsable des systèmes d’information. Néanmoins, la cybersécurité étant un domaine particulièrement technique, nous conseillons aux PME de se faire accompagner par un prestataire maîtrisant les enjeux et la méthode. Pour cela le Club EBIOS peut aider à prendre en main la méthode et à identifier des prestataires.
Réponse d’un membre du Club
La méthode EBIOS Risk Manager répond tout à fait à ce besoin. Le premier atelier permet de faire l’état des lieux de la conformité à une ou plusieurs règlementations en identifiant les éventuels écarts qui sont envisagés et les mesures qui sont prévues dans le socle de sécurité pour compenser ces écarts. Puis les phases d’appréciation et de traitement des risques (ateliers 2, 3, 4 et 5) permettent de consolider le socle de sécurité pour in fine attester de la conformité réglementaire, en précisant les écarts acceptés grâce à l’ensemble des mesures de sécurité qui permettent de diminuer suffisamment la criticité des risques.
Une réaction extérieure
J’essaye de comprendre de quelle manière EBIOS Risk Manager pourrait être utilisée afin d’évaluer notre conformité vis-à-vis de plusieurs référentiels ANSSI. Je rencontre toutefois un problème d’interprétation pour ce cas d’utilisation, intitulé “Être en conformité avec les référentiels de sécurité numérique”, page 14 du guide. Plus particulièrement dans le tableau de cette page où ce process ne fait intervenir que les ateliers 1 et 5. Cette ligne du tableau semble contredire la réponse ci-dessus. J’ai toutefois une remarque : en général les documents de conformité (hygiène, PSSIE, RGS) sont rédigés en dehors de tout contexte de menace /scénarios de risque précis. Du coup, quel que soit le cheminement au travers des ateliers, il semble difficile de réaliser les étapes de l’atelier 5 qui nécessitent de tels scénarios de risque.
Réponse d’un autre membre du Club
1. Le tableau page 14 du Guide est une aide à l’application de la méthode. Les ateliers identifiés doivent être considérés comme les principaux ateliers visant la finalité recherchée.
2. Il n’est pas nécessaire d’identifier des risques liés aux référentiels considérant que les exigences n’ont pas besoin d’être justifiées par des risques à couvrir. Elles sont des postulats considérés dans l’étude.
3. Les documents de conformité à prendre en compte dans l’atelier 1 doivent être une liste d’exigences applicables servant de référence à l’analyse de conformité. Le contexte peut être pris en compte dans le cadre du référentiel mais ne doit pas dépendre de risques non identifiés. L’atelier 5 peut servir à rédiger le PACS à partir des écarts identifiés en atelier 1, et à identifier les risques résiduels pour les exigences non satisfaites, sans pour autant réaliser une approche par scénario. L’approche par scénario peut compléter l’analyse.
Réponse d’un autre membre du Club
Il faut distinguer :
1. la pure gestion des risques de cybersécurité avec EBIOS Risk Manager, qui commence par évaluer l’application de ce qu’on s’est engagé à mettre en œuvre en matière de sécurité (ex : PSSI ou hygiène), et là, soit on s’arrête là tant que le socle n’est pas mis en œuvre, soit on note les écarts et cela alimente le plan d’action, pour ensuite mener le reste de l’étude comme si c’était mis en place afin de se concentrer sur ce qui dépasse du socle ;
2. la gestion des risques juridiques, qui va consister à protéger l’organisme des non-conformités avec la réglementation qu’on est censé appliquer, et là, il vaut mieux partir de l’EBIOS générique et l’utiliser en changeant les concepts et l’ordre des choses (ex : les impacts seront juridiques, financiers ou d’image et leur gravité dépendra des sanctions potentielles, et les scénarios de risques correspondront à tout ce qui rendrait possible les non-conformités) ;
3. la gestion des risques uniquement sur la vie privée, et là je conseillerais d’utiliser les guides et le logiciel libre PIA de la CNIL ;
4. la gestion des risques mixtes SSI + privacy, qui pourrait consister à utiliser EBIOS Risk Manager, en ajoutant deux choses : d’une part une déclaration d’applicabilité au regard des principes fondamentaux (finalité légitime et déterminée, minimisation des données collectées, exercice des droits des personnes, etc.), et d’autre part les impacts sur les droits et libertés des personnes concernées dans les événements redoutés.
Tout dépend de l’objectif visé, et il faut savoir jouer avec les outils, sachant que selon moi, il n’y a pas de meilleur outil qu’un outil qu’on maîtrise !
En se constituant autour de 5 ateliers complémentaires, la méthode EBIOS RM offre :
– Une synthèse entre conformité et scénarios : la méthode s’appuie sur un socle de sécurité solide, construit grâce à une approche par conformité. L’approche par scénarios vient solliciter ce socle face à des scénarios de risque plus particulièrement ciblés ou sophistiqués ;
– Une valorisation de la connaissance cyber : pour construire des scénarios de risques du point de vue de l’attaquant, il est indispensable d’avoir une bonne connaissance de ceux-ci. L’ANSSI propose donc avec la méthode EBIOS une structure permettant d’évaluer les différents profils d’attaquants et leurs objectifs ainsi que des bases de connaissances ;
– Une prise en compte de l’écosystème : les attaquants ne cherchent plus forcément à atteindre de manière frontale les organismes mais à passer par des parties prenantes de leur écosystème, qui peuvent être plus vulnérables, pour parvenir à leurs fins. La prise en compte de l’écosystème dans l’étude des risques est donc à présent indispensable.
La méthode EBIOS Risk Manager a été conçue en s’appuyant sur les valeurs suivantes :
– une méthode concrète axée sur la réalité de l’état de la menace ;
– une méthode efficiente, simple et suffisamment souple pour être complétée et adaptée rapidement ;
– une méthode convaincante auprès des dirigeants, où le risque cyber doit être expliqué avec pédagogie ;
– une méthode collaborative car les différents ateliers regroupent la direction, les métiers et les équipes SSI.
La méthode EBIOS Risk Manager doit offrir une compréhension partagée des risques cyber entre les décideurs et les opérationnels. L’objectif est que le risque cyber soit considéré au même niveau que les autres risques stratégiques (risque financier, juridique, d’image, etc.) par les dirigeants.
Les publics intéressés par cette méthode sont les RSSI et les risk managers.
La méthode EBIOS (dont la dernière version datait de 2010) était très pertinente dans son contexte. Face aux évolutions du numérique de ces dernières années, elle s’est modernisée pour prendre en compte l’environnement actuel (systèmes interconnectés, prolifération des menaces, état de l’art et règlementation plus mature, connaissance de la menace), et permettre aux dirigeants d’appréhender correctement les enjeux majeurs de la sécurité du numérique (de nature stratégique, financière, juridique, d’image, de ressources humaines).
Réponse d’un membre du Club EBIOS : “Attention aux échelles utilisant plusieurs types d’impacts”
Rappel du guide EBIOS : “Cette action [élaboration d’une échelle] consiste à créer une échelle décrivant tous les niveaux possibles des impacts. Tout comme les échelles de besoins, une échelle de niveaux d’impacts est généralement ordinale (les objets sont classés par ordre de grandeur, les nombres indiquent des rangs et non des quantités) et composée de plusieurs niveaux permettant de classer l’ensemble des risques“.Ainsi, il est habituel de voir des utilisateurs de la méthode construire plusieurs échelles ordinales selon la nature de l’impact (financier, juridique, sur les opérations, sur la vie privée…) pour estimer la gravité des évènements redoutés. La construction est alors faite en graduant individuellement chaque type d’impact, sans se préoccuper de la cohérence entre les niveaux.Or, seul un résultat global est utilisé dans les cartographies de risques pour évaluer la gravité des uns par rapport aux autres. L’information sur la nature des impacts est perdue.
Pour éviter de fausses conclusions sur l’importance des risques, il faut donc veiller à vérifier la cohérence transverse de la gradation des impacts dans les échelles. Par exemple, vérifier que l’estimation d’un impact de niveau 3 sur les opérations sera de la même valeur pour l’organisme que les impacts financier et juridique de même niveau.
Lorsque c’est possible, le critère pivot (servant à la cohérence) peut être l’échelle financière. Dans le cas contraire (souvent le cas), il convient de présenter les impacts côte à côte et d’estimer leur importance auprès des responsables en recherchant un consensus. Dans ce cas là, les échelles peuvent avoir des cases vides (niveau n’ayant pas d’équivalence pour toutes les natures d’impacts considérées). Ça peut être le cas lorsque l’on estime par exemple la perte de vies humaines.Il est parfois difficile à des responsables d’établir ces échelles de manière générique. Une bonne solution consiste alors à demander aux parties prenantes de hiérarchiser les événements redoutés après avoir identifié les impacts, et de construire les échelles sur la base de cette estimation.
Réponse d’un membre du Club EBIOS : “il est utile de disposer d’échelles d’impacts hétérogènes, c’est un moyen important de communication avec les métiers”
En complément, l’idéal est selon moi de :
On peut ainsi facilement réaliser une étude à la fois SSI et protection de la vie privée en présentant côte à côte les impacts pour l’organisme et les impacts pour les personnes concernées.
Réponse d’un membre du Club EBIOS : “deux solutions”
Plusieurs propositions sont possibles pour démontrer que les problématiques associées à la traçabilité sont traitées dans une étude EBIOS sans pour autant considérer la traçabilité comme un critère :
Réponse d’un autre membre : “la traçabilité n’est pas un critère de sécurité”
Les critères de sécurité servent à apprécier les impacts en cas d’atteinte de chacun d’eux, et en particulier à étudier les besoins de sécurité. En sécurité de l’information, seules la disponibilité, l’intégrité et la confidentialité sont considérées comme des critères de sécurité (voir notamment les normes ISO/IEC 2700x). Il ne faut pas les confondre ni avec les thèmes de mesures de sécurité, ni avec les références réglementaires. En effet, le (faux) besoin de traçabilité vient du fait qu’on souhaite savoir ce qui s’est passé après un incident (mesure de détection) et/ou d’obligations diverses (légales, réglementaires, sectorielles ou liées à la politique SSI). Il est donc inutile, et même contre-productif d’étudier le besoin de traçabilité.
En outre, il conviendrait de disposer d’une échelle de besoins et d’une échelle d’impacts liées à la traçabilité. C’est souvent en essayant de les construire qu’on se rend compte qu’il s’agit d’une “envie de quelqu’un” qui relève de la mesure de sécurité ou de la couverture d’un “risque” juridique.
Enfin, ceci impliquerait d’étudier toutes les menaces qui mènent à une perte de traçabilité ! Or, ceci relève de la bonne mise en œuvre d’une mesure de sécurité, qu’il n’est pas nécessaire de traiter comme un risque (ou sinon il faudrait le faire pour le chiffrement, le contrôle d’accès, etc.). Toutefois, l’étude des besoins étant un instrument de communication avec les métiers, il est possible d’intégrer la traçabilité dans les critères de sécurité pour que les métiers adhèrent davantage à la démarche en voyant leur point de vue pris en compte…
ClubEBIOS-2018-11-13-CONCHON
> Télécharger
Proposition d’un ensemble de concepts permettant de modéliser et d’analyser les stratégies d’influence (une taxonomie des principes d’influence, une cartographie cognitive des audiences-cibles et un ensemble de modes d’action pour développer des scénarios selon un effet final recherché) et de prouver qu’elles restent applicables dans l’environnement hyperconnecté qui se développe aujourd’hui.
La méthode de référence française EBIOS accompagne les organisations pour identifier et comprendre les risques numériques qui leurs sont propres. Elle permet de déterminer les mesures de sécurité adaptées à la menace et de mettre en place le cadre de suivi et d’amélioration continue à l’issue d’une analyse de risque partagée au plus haut niveau.
Sur le site de l’ANSSI : La méthode EBIOS Risk Manager
Écouter aussi le podcast du 17/11/2019 de Fabien CAPARROS (ANSSI) sur NoLimitSecu.
Ce guide constitue l’approche générique d’EBIOS*. Il fournit une base commune à toute déclinaison sectorielle. Conçue initialement pour la sécurité de l’information, EBIOS peut en effet se décliner dans tous les domaines au moyen de techniques et de bases de connaissances adaptées.
EBIOS permet d’apprécier et de traiter les risques. Elle fournit également tous les éléments nécessaires à la communication au sein de l’organisme et vis-à-vis de ses partenaires, ainsi qu’à la validation du traitement des risques. Elle constitue ainsi un outil complet de gestion des risques.
Il s’agit d’une véritable boîte à outils, dont on choisit les actions à mettre en œuvre et la manière de les utiliser selon l’objectif de l’étude. Elle permet d’apprécier les risques au travers de scénarios et d’en déduire une politique cohérente, appuyée sur des mesures concrètes et évaluables.
EBIOS-ApprocheGenerique-2018-09-05-Approuve
> Télécharger
ClubEBIOS-2018-07-02-ALLARD
> Télécharger
En termes de sécurité informatique et de cybersécurité, comme de sécurité de l’information suite à l’informatisation explosive on a trop souvent tendance à jeter le bébé avec l’eau du bain. “C’est un nouveau monde, il faut de nouvelles règles !”. Je ne suis pas de cet avis. Les principes de défense vieux comme le monde (comme ceux exprimés par Sun Tzu dans son “Art de la guerre”) sont toujours d’application. Il suffit de les adapter au contexte. Un concept est universel et dépasse le temps et les modes. Jean-Luc Allard est expert en sécurité de l’information depuis plus de vingt ans et met un point d’honneur à revenir au plus vite aux fondamentaux et aux concepts avant de s’intéresser aux détails.
ClubEBIOS-2018-05-03-VANCAUTER
> Télécharger
La nouvelle EBIOS amène un nouveau contexte d’emploi orientant sur des études de scénarios d’attaque “de bout en bout” dont l’approche type “Cyber Kill Chain” peut être un moyen de les structurer. Cependant ce n’est pas la seule approche et elle a aussi ses limites. Après une introduction de la notion de “Cyber Kill Chain” et la présentation de travaux actuels aux US pour approfondir le concept, celle-ci est confrontée à une autre approche possible : celle des arbres d’attaque, puis enfin sont proposés les contextes d’emploi qui sembleraient les plus appropriés au sein de la nouvelle EBIOS pour l’approche “Cyber Kill Chain” d’une part, pour l’approche “arbre d’attaque” d’autre part.
ClubEBIOS-2018-03-22-CONCHON-HABACHE
> Télécharger
Démonstration d’une démarche de sensibilisation innovante sur la sécurité des SI industriels, à partir de scénarios de risques mis en scène sur des automates au service d’un procédé industriel simulé à partir d’une maquette en brique Lego.
ClubEBIOS-2018-03-22-ALLEMAND
> Télécharger
Étude sur l’utilisation de la méthode EBIOS dans le contexte industriel. Analyse de risques portant sur les systèmes de fabrication additifs (impression 3D).
Les guides PIA* de la CNIL ont été révisés pour outiller le Règlement général sur la protection des données (RGPD).
La démarche méthodologique est une application spécifique de la boîte à outils EBIOS à la protection de la vie privée.
Elle permet de bâtir et de démontrer la conformité au RGPD pour un traitement de données à caractère personnel.
Les guides (la méthode, les modèles, et les bases de connaissances) sont complétés par un logiciel libre, des études de cas, des lignes directrices, une foire aux questions, etc.
Sur le site de la CNIL : L’analyse d’impact relative à la protection des données (AIPD)
ClubEBIOS-2018-01-10-MARICHEZ
> Télécharger
Les cas d’usage du “big data”, fortement liés à la “data science” et à la création de valeur par l’innovation, suggèrent que les modèles traditionnels d’analyse du risque sur la sécurité de l’information lors de tels traitements doivent évoluer pour intégrer des notions d’aléa et d’incertitude, autant du fait de l’indéterminisme des événements redoutés que du manque de maîtrise des SI sous-jacents aux scénarios de menace. Des parallèles aux “traitements big data” peuvent être raisonnablement menés avec la recherche-développement sur les armes ou la virologie, appelant une réponse coordonnée face à des “méta-risques” à l’échelle de la société, impliquant les pouvoirs publics.
ClubEBIOS-2018-01-10-VIE-PAUL
> Télécharger
Présentation de la coopération entre Thales et l’éditeur ALL4TEC sur une évaluation de risques de sécurité EBIOS réalisée grâce à l’outil Cyber Architect.
ClubEBIOS-2018-01-10-RICHY-ZAMORA
> Télécharger
Les principales normes de la série ISO/IEC 27000 (27001, 27002 et 27005) ont montré une tendance au statu quo ou au moins à une évolution lente, des réflexions sont entamées sur la cybersécurité. Au WG 2 (mécanismes de sécurité, cryptographie), des évolutions importantes sont en cours concernant divers types d’algorithmes de chiffrement (quantique, post quantique et homomorphe) tandis que des tensions sont apparues pour la prise en compte d’algorithmes proposés par les USA (Simon et Speck). Enfin, il faut mentionner une importante évolution en cours de la norme ISO/IEC 15408 (Certification, Critères Communs) dont le contenu va passer de trois à cinq chapitres.
ClubEBIOS-2017-11-09-CAIRE-CONCHON
> Télécharger
Proposition d’une démarche systémique pour définir et mettre en œuvre une stratégie globale de défense, pilotée par l’analyse de risque, visant la résilience des infrastructures critiques dans un contexte marqué par les actes de malveillance d’intensité variable.
ClubEBIOS-2017-09-13-PERTUS
> Télécharger
Dans le cadre du GT “Outils pratiques”, le présent support vise à établir un point de situation quant aux travaux réalisés à ce stade sur une étude de cas représentative retenue collégialement, et ce, vue de proposer différents d’outillages adaptés (Excel, EGERIE RM…) et mis en pratique destinés aux praticiens EBIOS, qu’ils soient novices ou expérimentés.
Cette étude de cas est destinée à montrer comment utiliser la boîte à outils de la méthode EBIOS dans le contexte spécifique de la protection de la vie privée :
ClubEBIOS-EtudeDeCas-Geolocalisation-2017-03-17-Approuve
> Télécharger
Dans une étude de risques, on constate que les impacts analysés dépendent fortement du point de vue de chaque partie prenante. Partant de ce constat, ce document de réflexion incite à la prise en compte des préoccupations de chaque acteur, dans une logique “by design”, afin que le produit, système ou service soit accepté par tous.
ClubEBIOS-ImpactsDifferencies-2017-02-19-Approuve
> Télécharger
ClubEBIOS-2017-01-10-AKLI-CONCHON
> Télécharger
Approche du domaine des risques psycho-sociaux et application de la méthode EBIOS dans le cadre de l’analyse des risques psycho-sociaux (concepts-clefs, bases de connaissance et étude de cas).
ClubEBIOS-2017-01-10-SMAHA
> Télécharger
Retour sur 6 ans de réflexions autour des besoins de sécurité : leur relation avec les conséquences métiers, leur utilisation dans les appréciations des risques, les tentatives de simplification, leur signification.
ClubEBIOS-2016-11-09-GRALL
> Télécharger
Des auteurs ont imaginé ce que le futur nous réservait dans de nombreuses fictions (romans, films, séries, bandes dessinées, etc.). Les nouveaux services et technologies permettent aujourd’hui de leur donner réalité.
ClubEBIOS-2015-11-03-GAUTRENEAU
> Télécharger
Retour sur les enjeux et la réglementation dans le domaine des systèmes d’information d’importance vitale (SIIV) : éléments de contexte, bonnes pratiques et enjeux méthodologiques dans la prise en compte des risques sur le domaine, risques d’applicabilité et impact de la LPM.
ClubEBIOS-2015-09-08-PERTUS
> Télécharger
Exposé des perspectives de risque cyber et identification des challenges de la cybersécurité dans le cadre du concept de “Smart City”.
ClubEBIOS-2015-09-08-DELMOTTE
> Télécharger
Présentation de la méthodologie AGR (Analyse Globale des Risques) et de l’outil STATCART AGR dans le cadre d’un cas d’usage.
ClubEBIOS-2015-07-06-GRALL
> Télécharger
Réflexion sur les enjeux actuels et les évolutions à venir, pour orienter de futures réflexions ou pistes d’étude au sein du Club EBIOS.
ClubEBIOS-2015-07-06-DESROCHES
> Télécharger
Réflexion méthodologique visant à orienter la méthode d’analyse de risque vers la construction de scénarios élaborés et permettre de définir une stratégie de défense en profondeur.
ClubEBIOS-2015-07-06-ALLARD
> Télécharger
Réflexion sur les facteurs de complexité à tous les stades d’une analyse de risque et sur les moyens de les maîtriser.
ClubEBIOS-2015-07-06-RICHY
> Télécharger
Panorama de l’évolution des thématiques traitées par la famille de normes ISO 27000.
ClubEBIOS-2015-07-06-GAUTRENEAU
> Télécharger
Réflexion sur le sens et l’intérêt de l’assurance dans la maîtrise des risques, et sur les garanties apportées dans les cas de cyber-risque.
ClubEBIOS-2015-03-10-MATHIAS
> Télécharger
Exposé des risques des objets connectés dans un contexte d’entreprise et des sujets connexes : responsabilités des différents acteurs, droits des utilisateurs, cadre règlementaire.
ClubEBIOS-2015-03-10-GUILLOU
> Télécharger
Approche du domaine de l’Internet des Objets : spécificités du domaine, tendances du marché, problématiques posées et axes de recherche et de réflexion pour maîtriser les risques.
ClubEBIOS-2015-03-10-TOUBIANA
> Télécharger
Présentation d’une étude PIA (Privacy Impact Assessment) dans le cadre d’un périmètre composés d’objets connectés.
Ce document a pour objectif de fournir des éléments utiles pour gérer les risques liés à l’utilisation du BYOD (Bring Your Own Device).
ClubEBIOS-BYOD-ReflexionSurLesRisques-2014-02-11-Approuve
> Télécharger
Cette étude de cas est destinée à montrer comment utiliser la boîte à outils de la méthode EBIOS dans le contexte spécifique de la protection de la vie privée :
ClubEBIOS-EtudeDeCas-MedecineTravail-2011-11-29
> Télécharger
La plaquette suivante synthétise les points essentiels de l’étude de cas :
ClubEBIOS-EtudeDeCas-MedecineTravail-Plaquette-2011-09-27
> Télécharger
ClubEBIOS-2011-07-05-CONCHON
> Télécharger
Approche du domaine de la responsabilité sociétale et application de la méthode EBIOS dans le cadre de l’analyse des risque de responsabilité sociétale d’entreprise (concepts-clefs, bases de connaissance et étude de cas.
20 questions / Durée du test : 5 à 7 mn.
ClubEBIOS-2010-05-18-CONCHON
> Télécharger
Rapport d’étape du groupe de travail sur l’application d’EBIOS à la sécurité physique (étude de cas).
ClubEBIOS-2010-01-19-MANGIN-MARCHAL-ZAMORA-CONCHON
> Télécharger
Ce mémento présente les concepts liés à la continuité des activités et leurs places dans la SSI. Les activités propres à la gestion de la continuité sont ensuite présentées selon 4 phases itératives. Le référentiel, l’organisation et les outils associés sont ensuite développés.
Ce document vous présente les secteurs où la gestion des risques joue un rôle majeur afin d’en éclairer les ressemblances et les dissemblances. La gestion des risques n’est pas réservée à l’informatique mais concerne un nombre croissant de secteurs qui réfléchissent à leurs stratégies de survie et d’expansion.
ClubEBIOS-PratiquesDeGestionDesRisques-2008-11-18
> Télécharger
ClubEBIOS-2007-03-15-MOURLON
> Télécharger
Cyril MOURLON a réalisé un retour d’expérience sur l’utilisation de la méthode EBIOS dans un contexte d’analyse de risques globale. Après avoir rappelé les contraintes des prestataires (objectifs, délais…) et les grandes étapes de la méthode, il a souligné tout d’abord l’évidente applicabilité d’EBIOS aux problématiques très étendues (dépassant la SSI). Une première difficulté réside pourtant dans la présentation de la grande quantité d’informations produites lors des études. En effet, les bénéficiaires de prestations de conseil veulent savoir ce à quoi cela va servir, ce que cela va leur coûter et leur apporter.
[article non disponible en ligne]
[article non disponible en ligne]
[article non disponible en ligne]
[article non disponible en ligne]
[article non disponible en ligne]
[article non disponible en ligne]