EBIOS Risk Manager
Méthode française d'analyse des risques cyber, publiée par l'agence nationale en 2018, qui part des scénarios d'attaque plausibles et des sources de menace plutôt que des seules vulnérabilités, et parle le langage de la direction.
EBIOS Risk Manager est la méthode d'appréciation et de traitement des risques numériques publiée en 2018 par l'agence nationale de la sécurité des systèmes d'information, avec le soutien d'un club de professionnels. Elle s'organise en cinq ateliers : cadrage et socle de sécurité, identification des sources de risque et de leurs objectifs, scénarios stratégiques qui décrivent comment une source atteindrait ses objectifs à travers l'écosystème de l'organisation, scénarios opérationnels qui détaillent les modes opératoires techniques, puis traitement du risque. Sa particularité est de partir de l'attaquant, de ses motivations et de ses moyens, et de la valeur métier de ce qui est menacé, plutôt que d'un inventaire de vulnérabilités. Elle intègre explicitement l'écosystème, prestataires, partenaires, clients, qui est souvent le chemin réel de l'attaque. Pour l'assurance, cette logique rejoint celle du souscripteur : raisonner en scénarios, en sources de menace et en impact financier. Une organisation qui a conduit une telle analyse dispose d'une cartographie de ses risques directement exploitable pour dimensionner sa garantie, dialoguer avec son assureur et justifier ses mesures, et les scénarios étatiques qu'elle identifie éclairent la portée réelle de son exclusion de guerre.
Cas d'école : un fabricant de composants de défense conduit l'analyse et retient deux sources de risque : un groupe criminel cherchant une rançon et un service de renseignement étranger cherchant ses plans. Le second scénario passe par un sous-traitant d'ingénierie peu protégé. L'entreprise impose des exigences à ce sous-traitant et constate que l'attaque étatique serait exclue de sa police : elle en tire les conséquences sur sa rétention.
EBIOS RM, méthode EBIOS, analyse de risque cyber ANSSI
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.