EBIOS RM : les 5 ateliers de la méthode ANSSI, ce qu'ils produisent et ce qu'ils ne
prouvent pas

Le livrable d'une étude EBIOS RM tient dans une matrice à deux entrées : la gravité en ordonnée, la vraisemblance en abscisse, quelques cases poussées vers le coin rouge. Ce qui a produit ces cases, ce sont cinq séances de travail et un animateur. Aucune machine n'a été interrogée. EBIOS RM, pour EBIOS Risk Manager, est la méthode française de référence pour apprécier et traiter le risque numérique : elle ne mesure rien, ne teste rien, ne certifie rien, et son mandat s'arrête très exactement là, ce qu'une ligne "analyse de risque : faite" dans un tableau de suivi laisse rarement deviner.

La méthode EBIOS Risk Manager est publiée par l'ANSSI en accès libre, guide et fiches méthodes compris. Aucune obligation légale ne l'impose : la directive NIS2 réclame une politique d'analyse des risques sans nommer de méthode, et une organisation déjà alignée sur ISO 27005 n'a aucune raison d'en changer. Si EBIOS RM s'est installée en France, c'est pour une raison prosaïque : elle donne un vocabulaire commun à des gens qui n'ont pas le même métier, et un ordre de passage aux questions.

EBIOS RM en une phrase, et ce qu'elle a remplacé

La famille EBIOS date des années 1990 et a connu plusieurs refontes, dont EBIOS 2010. La version actuelle, EBIOS Risk Manager, a été publiée par l'ANSSI pour tenir compte d'un contexte que les versions précédentes n'avaient pas vu venir : des systèmes interconnectés, une menace outillée et organisée, une réglementation devenue mature. Elle est animée avec le Club EBIOS et le CLUSIF, et l'ANSSI en publie le guide et ses fiches méthodes sur son site officiel.

Le changement de fond tient en une phrase du guide : EBIOS RM réalise une synthèse entre conformité et scénarios. On construit d'abord un socle de sécurité par conformité aux référentiels qui s'appliquent à vous, puis la démarche par scénarios vient solliciter ce socle face à des menaces ciblées et sophistiquées, écosystème compris. Corollaire souvent oublié : l'appréciation par scénarios se concentre volontairement sur les menaces intentionnelles. La panne, l'erreur d'exploitation ou le dégât des eaux sont traités par le socle ; les ateliers 3 et 4 s'en désintéressent.

Le vocabulaire qui fait caler la première séance

La méthode a un lexique précis, et la moitié des études qui dérapent dérapent parce que deux participants n'emploient pas les mots dans le même sens. Cinq termes suffisent à tenir une discussion.

• Valeur métier : ce qui a de la valeur pour la mission, un processus, une information, un savoir-faire. Ce n'est ni un serveur ni une application, et c'est la confusion numéro un.
• Bien support : le composant sur lequel repose une valeur métier, la base de données, le poste de l'administrateur, le lien opérateur, le prestataire qui l'exploite. Un même bien support porte souvent plusieurs valeurs métier, ce qui en fait un point de concentration de risque.
• Événement redouté : l'atteinte à une valeur métier, exprimée côté impact et cotée en gravité. Divulgation du fichier clients, arrêt de la production, altération d'un référentiel de prix.
• Source de risque et objectif visé : le fameux couple SR/OV. Qui ou quoi pourrait s'en prendre à vous, et pour quoi faire. Un concurrent qui cherche un fichier de prix et un groupe cybercriminel qui cherche une rançon n'empruntent pas les mêmes chemins.
• Partie prenante : tout ce qui gravite autour de l'objet étudié et concourt à ses missions, filiales, partenaires, sous-traitants, hébergeurs. C'est la matière première de l'atelier 3.

Les cinq ateliers d'EBIOS RM, et ce que chacun produit

L'enchaînement suit une pente : on part du plus haut niveau, les missions de l'objet étudié, pour descendre progressivement vers le technique. Chaque atelier consomme la sortie du précédent, ce qui a une conséquence brutale, sur laquelle on revient plus bas : un atelier 1 bâclé contamine les quatre suivants.

Atelier 1 : cadrage et socle de sécurité

On délimite l'objet de l'étude, on recense missions, valeurs métier et biens supports, on identifie les événements redoutés et on estime la gravité de leurs impacts. On évalue aussi la conformité au socle, et les écarts constatés ne sont pas perdus : ils redescendent dans le plan de traitement de l'atelier 5. La période de référence est celle du cycle stratégique, le cycle long. Autour de la table : direction, métiers, RSSI, DSI. Sans la direction, l'exercice devient un document technique de plus.

Atelier 2 : sources de risque

La question est frontale : qui ou quoi pourrait porter atteinte aux missions et aux valeurs métier de l'atelier 1, et dans quel but ? On caractérise les couples SR/OV, on les évalue, on retient les plus pertinents. Le tri est le vrai travail. Une étude qui garde quinze couples ne priorise plus rien, et le reste de la démarche se dilue en scénarios qui se ressemblent tous.

Atelier 3 : scénarios stratégiques

C'est l'atelier le plus original de la méthode, et celui qui a le mieux vieilli. On cartographie l'écosystème pour repérer les parties prenantes les plus menaçantes, puis on bâtit des scénarios de haut niveau : les chemins qu'une source de risque est susceptible d'emprunter pour atteindre son objectif. L'exemple donné par l'ANSSI est parlant, atteindre la disponibilité d'un service en s'en prenant au fournisseur de cloud plutôt qu'au service lui-même. Des mesures de sécurité sur l'écosystème peuvent être décidées dès la fin de cet atelier, contractuelles autant que techniques.

Cet atelier est aussi le miroir exact de l'effet ricochet réglementaire : vous êtes la partie prenante de quelqu'un d'autre, et son analyse de risque finit par vous arriver sous forme de questionnaire et de clauses. C'est le mécanisme décrit dans le guide NIS2 pour les PME, où des entreprises jamais désignées nommément héritent des exigences de leurs donneurs d'ordre.

Atelier 4 : scénarios opérationnels

On descend d'un cran. Chaque scénario stratégique retenu se décline en modes opératoires techniques sur les biens supports critiques, puis chaque scénario opérationnel est coté en vraisemblance. La période de référence bascule sur le cycle opérationnel, le cycle court, celui qui doit tourner plus vite que le cycle stratégique. Le guide propose de découper le mode opératoire en quatre temps, connaître, rentrer, trouver, exploiter, ce qui donne des scénarios lisibles par un ingénieur sans les transformer en rapport de pentest.

Atelier 5 : traitement du risque

Synthèse de l'ensemble des scénarios, stratégie de traitement, déclinaison en mesures inscrites dans un plan de traitement du risque, identification des risques résiduels et définition du cadre de suivi. Les participants sont les mêmes qu'à l'atelier 1, direction comprise : accepter un risque résiduel est une décision de direction, pas un arbitrage de RSSI. La suite opérationnelle, elle, relève de la mécanique décrite dans notre article sur le plan de remédiation, avec ses porteurs, ses échéances et sa vérification de clôture.

Chemin d'attaque stratégique, chemin d'attaque opérationnel

La distinction entre les deux niveaux est le principal apport pédagogique de la méthode, et c'est aussi ce qui la rend racontable en comité de direction. Un exemple, volontairement banal, pour voir la bascule :

SCENARIO STRATEGIQUE          (atelier 3, echelle ecosysteme)
  Source de risque  : groupe cybercriminel
  Objectif vise     : rancon
  Chemin            : prestataire de maintenance
                        -> acces distant au SI industriel
                        -> valeur metier "continuite de production"
  Gravite estimee   : critique (arret de ligne > 48 h)

SCENARIO OPERATIONNEL         (atelier 4, echelle biens supports)
  CONNAITRE   collecte publique sur le prestataire, comptes exposes
  RENTRER     acces distant du prestataire, sans second facteur
  TROUVER     rebond du reseau de maintenance vers la supervision
  EXPLOITER   chiffrement des serveurs de supervision
  Vraisemblance estimee : forte

  <- ce bloc reste une HYPOTHESE tant que personne n'a verifie
     que l'acces distant est bel et bien joignable et sans MFA

Les deux blocs décrivent le même risque à deux focales. Le premier sert à décider et à négocier, y compris avec le prestataire concerné. Le second sert à concevoir les mesures et à les affecter. Aucun des deux ne constate quoi que ce soit : la gravité est une estimation, la vraisemblance aussi, et toutes deux sortent d'une discussion entre gens autour d'une table.

Ce que la méthode apporte face à une conformité pure

Une démarche uniquement documentaire produit un référentiel coché ligne à ligne. Elle répond à "avons-nous la mesure" et jamais à "cette mesure protège-t-elle quelque chose qui compte". Trois choses séparent EBIOS RM de cet exercice.

D'abord, elle force à nommer un adversaire. Un socle de sécurité générique protège contre une menace générique ; un couple SR/OV oblige à écrire qui vous vise et pourquoi, et cette contrainte élimine à elle seule une bonne partie des mesures achetées par réflexe. Ensuite, elle intègre l'écosystème dès l'atelier 3, là où la plupart des référentiels traitent la sous-traitance comme une annexe contractuelle. Enfin, elle produit une hiérarchie explicite : gravité d'un côté, vraisemblance de l'autre, donc un ordre de traitement défendable devant une direction qui demande pourquoi cette ligne budgétaire passe avant l'autre.

Cela ne dispense de rien. Le volet documentaire reste nécessaire, et c'est précisément la double lecture que décrit notre article sur l' audit NIS2 et ses deux exercices : vérifier que la mesure existe, puis vérifier qu'elle tient. EBIOS RM outille le premier de ces deux exercices.

Les limites, celles qu'on découvre au deuxième cycle

Aucune de ces limites n'est un défaut caché de la méthode. Ce sont les conséquences directes de ce qu'elle est, un cadre d'analyse collectif, et elles se retournent contre l'étude quand on l'oublie.

• Elle produit des scénarios, pas des preuves. Une vraisemblance "forte" est un jugement d'expert exprimé sur une échelle que vous avez calibrée vous-même. Deux groupes de travail sérieux, sur le même système, ne rendent pas la même matrice. C'est acceptable pour arbitrer, ce ne l'est pas pour affirmer qu'un chemin d'attaque est fermé.
• Elle vieillit dès que le système bouge. L'atelier 1 fige un inventaire de biens supports à une date. Trois mois plus tard, une intégration a publié une API, un environnement de préproduction a été ouvert le temps d'une recette et jamais refermé, un prestataire a migré son accès. Le document, lui, dit toujours la même chose.
• Tout dépend de l'atelier 1. Périmètre trop large et l'étude s'enlise ; périmètre trop étroit et les chemins d'attaque intéressants passent juste à côté de la frontière. Un cadrage faux produit cinq ateliers rigoureux au service d'une conclusion fausse, et rien dans la mécanique ne le signale.
• Le cycle opérationnel est rarement rejoué. La méthode distingue un cycle stratégique long et un cycle opérationnel court, censé tourner plus vite. Dans les faits, beaucoup d'organisations font l'étude une fois, la rangent, et redécouvrent son existence à l'audit suivant.
• Le risque de cérémonie. Cinq ateliers, beaucoup de temps de direction mobilisé, une matrice couleur en sortie, et parfois zéro vérification terrain derrière. L'étude devient alors un livrable, ce qui est exactement le travers qu'elle prétendait corriger.

Un chemin d'attaque écrit reste une hypothèse

C'est le point d'articulation, et il tient en une observation. La ligne "accès distant du prestataire, sans second facteur" du scénario opérationnel ci-dessus est une affirmation sur l'état réel de votre système. Elle est vraie ou fausse. Tant que personne ne l'a vérifiée, elle n'est ni l'un ni l'autre : c'est une croyance partagée par les participants d'une réunion, cotée avec sérieux et reportée telle quelle dans le plan de traitement.

Trois vérifications transforment ces hypothèses en constats, et aucune ne demande de refaire les ateliers.

• L'inventaire réel de ce qui est exposé. Les biens supports déclarés en atelier 1 viennent de ce que l'organisation croit posséder. La liste de ce qui répond effectivement sur internet, elle, s'obtient par découverte continue, ce que fait un outil d'EASM. L'écart entre les deux listes est souvent la partie la plus instructive de l'étude.
• L'état de vulnérabilité de ces actifs. Savoir qu'un bien support est joignable ne dit pas s'il est attaquable. C'est le travail décrit dans notre article sur la gestion des vulnérabilités, avec sa contextualisation et son tri.
• L'enchaînement lui-même. Un chemin d'attaque tient ou ne tient pas de bout en bout. Chaque maillon peut être vrai pris isolément sans que la chaîne complète soit empruntable, et l'inverse arrive tout autant : un enchaînement que personne n'avait imaginé en atelier. Seul un test le tranche.

Ce va-et-vient a une vertu discrète : il fait redescendre du réel dans l'étude. Une hypothèse infirmée libère du budget, une hypothèse confirmée cesse d'être négociable en réunion. Et si votre organisation met un produit connecté sur le marché européen, la même logique de preuve se retrouve côté conformité produit avec le Cyber Resilience Act, qui exige une évaluation des risques documentée et tenue à jour sur toute la durée de vie du produit.

Questions fréquentes sur EBIOS RM

À retenir

• EBIOS RM est la méthode d'appréciation et de traitement du risque numérique de l'ANSSI, en cinq ateliers : cadrage et socle, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque.
• Son originalité est l'articulation entre conformité et scénarios : le socle porte le risque courant, les scénarios l'éprouvent face aux menaces intentionnelles et ciblées.
• Le couple SR/OV et la cartographie de l'écosystème sont les deux apports qu'on ne retrouve pas dans une approche par référentiel seul.
• Gravité et vraisemblance sont des estimations, produites par un groupe de travail à un instant donné. Elles servent à arbitrer, pas à affirmer qu'un chemin d'attaque est fermé.
• L'étude vieillit avec le système. L'inventaire de l'atelier 1 se démode plus vite que le document ne se relit.
• Un chemin d'attaque reste une hypothèse tant qu'on n'a pas vérifié que ses maillons existent et s'enchaînent réellement.

Prenez le scénario opérationnel le mieux coté de votre dernière étude, et demandez qui a vérifié son premier maillon. Si la réponse est "personne", la cotation qui en découle vaut ce que vaut le souvenir des participants. Notre plateforme EASM répond à la partie du problème qui se mesure, ce qui est joignable depuis internet et depuis quand ; pour le reste, écrivez-nous par la page contact avec le périmètre que vous voulez éprouver.