Analyse de Risques Cybersécurité

Méthodes d'analyse de risques : EBIOS RM et ISO 27005

EBIOS Risk Manager (ANSSI 2018) est la méthode française de référence pour l'analyse de risques SSI. Elle s'organise en 5 ateliers : (1) Cadrage et socle de sécurité — périmètre, biens supports, référentiel de sécurité ; (2) Sources de risque — identification des sources et objectifs visés ; (3) Scénarios stratégiques — identification des chemins d'attaque à haut niveau et des écosystèmes vulnérables ; (4) Scénarios opérationnels — détail technique des chemins d'attaque les plus critiques ; (5) Traitement du risque — mesures de sécurité et suivi. EBIOS RM est compatible avec ISO 27005 et peut être utilisée dans le cadre d'une certification ISO 27001.

L'ISO 27005:2022 adopte une approche plus flexible avec deux options : l'approche basée sur les actifs (inventaire des actifs, puis identification des menaces et vulnérabilités) ou l'approche basée sur les événements (identification directe des scénarios de risque réalistes). La méthode FAIR va plus loin en permettant une quantification financière (en euros/dollars) des risques cyber, facilitant la communication avec les dirigeants et les décisions d'investissement basées sur le retour sur investissement.

Critères de risque et niveaux d'acceptation

La définition des critères de risque est l'étape préliminaire fondamentale : quels niveaux de vraisemblance et d'impact constituent un risque acceptable pour l'organisation ? Ces critères doivent être validés par la direction et formalisés avant l'analyse. En pratique, des matrices 4x4 ou 5x5 croisant vraisemblance et impact définissent des niveaux de risque (faible, moyen, élevé, critique) et des seuils d'acceptation.

Les critères d'impact doivent refléter les enjeux réels de l'organisation : impact financier (perte directe, amende, perte de clients), impact opérationnel (interruption de service, perte de productivité), impact réglementaire (non-conformité, sanctions), et impact réputationnel (atteinte à l'image). Définir ces critères en termes concrets, compréhensibles par les décideurs non techniques, est essentiel pour obtenir leur engagement dans le processus de traitement des risques.

Intégration dans le SMSI et la gouvernance

L'analyse de risques s'intègre dans le cycle PDCA du SMSI ISO 27001 : réalisée lors de la phase Plan, elle guide la définition des contrôles de sécurité (Déclaration d'Applicabilité, SoA) et le Plan de Traitement des Risques (PTR). Elle est réexaminée lors de la phase Check (revue de direction, audits internes) et mise à jour lors de la phase Act (amélioration continue, intégration des retours d'expérience des incidents).

La fréquence de révision de l'analyse de risques dépend de la dynamique du contexte : au minimum annuellement, et à la suite de changements significatifs (nouvelles activités, nouvelles technologies, incidents de sécurité, évolution de la réglementation). Des indicateurs de risque clés (KRI — Key Risk Indicators) permettent un monitoring continu entre les révisions formelles, alertant sur les évolutions de risque significatives.