Analyse de Risques : Méthodologies et Accompagnement Expert

La durée dépend du périmètre et de la méthodologie choisie. Un diagnostic flash prend 5 jours ouvrés. Une analyse complète EBIOS RM ou ISO 27005 s'étale généralement sur 8 à 12 semaines, dont environ 20-30 jours/homme de charge consultant. Pour un périmètre large (> 500 actifs, multi-sites), comptez 12 à 16 semaines. Le facteur limitant est souvent la disponibilité de vos interlocuteurs métier pour les ateliers.

L'audit de sécurité vérifie la conformité à un référentiel donné (ISO 27001, NIST CSF, règles ANSSI) : il constate l'existant et identifie les écarts. L'analyse de risques va plus loin : elle évalue la vraisemblance et l'impact de chaque menace pour hiérarchiser les risques et définir un plan de traitement proportionné. L'audit répond à « sommes-nous conformes ? », l'analyse de risques répond à « sommes-nous protégés et où investir ? ». Les deux sont complémentaires.

Au minimum une fois par an pour une revue complète, conformément aux exigences ISO 27001 et NIS2. En pratique, nous recommandons des revues trimestrielles légères (mise à jour des risques les plus critiques) et une revue annuelle approfondie. L'analyse doit également être mise à jour lors de tout événement significatif : changement d'architecture, acquisition, nouveau règlement, incident de sécurité, intégration d'un nouveau fournisseur critique.

Oui. L'article 21 de la directive NIS2 impose aux entités essentielles et importantes d'adopter des « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques ». La première mesure listée est explicitement « les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information ». Sans analyse de risques formalisée, il est impossible de démontrer la conformité à NIS2. Les dirigeants engagent leur responsabilité personnelle.

Le budget dépend du périmètre, de la méthodologie et de la profondeur souhaitée. Ordre de grandeur : un diagnostic flash pour une PME démarre à 4 500 € HT. Une analyse complète EBIOS RM pour une ETI (100-500 actifs) se situe entre 15 000 et 35 000 € HT. Pour les grands comptes multi-sites ou les analyses quantitatives FAIR, le budget peut atteindre 50 000 à 80 000 € HT. Nous proposons systématiquement un devis détaillé après un premier échange de cadrage gratuit.

C'est indispensable. L'analyse de risques n'est pas un exercice purement technique — c'est un outil de gouvernance. La direction doit valider le périmètre, définir les critères d'acceptation du risque, arbitrer les priorités de traitement et allouer les budgets. NIS2 rend d'ailleurs les dirigeants personnellement responsables de la gestion des risques cyber. Concrètement, nous demandons la participation de la direction lors du kick-off, de la validation des critères de risque et de la restitution finale.

Oui, et c'est même souvent recommandé. Une approche fréquente consiste à utiliser EBIOS RM comme cadre principal (pour la conformité réglementaire française et les scénarios stratégiques), puis à compléter avec FAIR pour quantifier financièrement les risques les plus critiques. Pour les organisations visant la certification ISO 27001, nous articulons ISO 27005 avec EBIOS RM. L'essentiel est de maintenir la cohérence et la traçabilité entre les approches.

L'analyse de risques et le pentest sont complémentaires mais distincts. L'analyse de risques adopte une vue large (métier, organisationnelle, technique) et produit une cartographie des menaces avec des niveaux de criticité. Le pentest va tester concrètement l'exploitabilité des vulnérabilités techniques identifiées. Idéalement, l'analyse de risques se fait en premier pour cadrer le périmètre et les priorités du pentest. Les résultats du pentest viennent ensuite alimenter et affiner l'analyse de risques en ajustant les niveaux de vraisemblance.