Face à la multiplication des menaces, sécuriser l’intégralité d’un système d’information de manière uniforme est une illusion coûteuse. La véritable résilience repose sur un principe clair : la proportionnalité de la défense face au risque réel.
Pour y parvenir, deux standards internationaux dominent le marché : la norme ISO/IEC 27005 et la méthode EBIOS Risk Manager (développée par l’ANSSI).
ISO 27005 : le cadre normatif
L’ISO 27005 n’est pas une méthode pas-à-pas, mais un cadre de référence. Elle définit le vocabulaire et les exigences d’un processus de gestion des risques (identification, évaluation, traitement, acceptation) pour qu’il soit certifiable, notamment dans le cadre d’un SMSI (ISO 27001). Elle vous laisse cependant libre de choisir la méthode d’évaluation de votre choix.
EBIOS Risk Manager : la méthode opérationnelle
C’est ici qu’intervient EBIOS RM. Mise à jour par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), c’est une méthode d’appréciation des risques extrêmement pragmatique, structurée en 5 ateliers :
- Cadrage et socle de sécurité : définir le périmètre et identifier les exigences de base.
- Sources de risques (SR) : qui sont les attaquants ? (Cybercriminalité, espionnage, sabotage…)
- Scénarios stratégiques : comment l’attaquant peut-il atteindre vos valeurs métiers ?
- Scénarios opérationnels : quelles vulnérabilités techniques l’attaquant va-t-il exploiter ?
- Traitement du risque : définir le Plan de Traitement des Risques (PTR).
Laquelle choisir ?
En réalité, ces deux approches sont complémentaires. L’ISO 27005 fournit la structure certifiable, tandis qu’EBIOS RM fournit les outils d’animation et de calcul (matrice Vraisemblance × Gravité). Pour les Opérateurs d’Importance Vitale (OIV), de Services Essentiels (OSE) ou les entités soumises à NIS2, EBIOS RM est devenu le standard de fait en France et en Europe.
L’appréciation des risques est le point de départ de toute stratégie cyber. Contactez-nous pour animer vos ateliers EBIOS RM.