EBIOS Risk Manager

Définition

EBIOS Risk Manager (EBIOS RM) est la méthodologie française de référence d'analyse de risques en cybersécurité, développée et maintenue par l'ANSSI en collaboration avec le Club EBIOS, succédant aux versions antérieures de la méthode EBIOS utilisées depuis les années 1990 dans les administrations et grandes entreprises françaises. Sa spécificité majeure réside dans une approche par scénarios qui combine explicitement deux niveaux d'analyse complémentaires plutôt qu'une simple liste exhaustive de risques génériques : les risques stratégiques, qui identifient les sources de risque pertinentes pour l'organisation, un acteur étatique, un groupe cybercriminel motivé financièrement, un concurrent malveillant, et leurs objectifs visés (sabotage, espionnage, gain financier), permettant une analyse contextualisée à la menace réellement pertinente pour le secteur d'activité concerné ; et les risques opérationnels, qui détaillent les chemins d'attaque techniques concrets, les vecteurs d'accès initiaux, les techniques de mouvement latéral et d'atteinte des objectifs, susceptibles d'être empruntés par ces sources de risque pour atteindre leurs objectifs. La méthode se structure en cinq ateliers séquentiels, du cadrage du socle de sécurité jusqu'au traitement final du risque, produisant un plan d'action priorisé. EBIOS RM constitue une référence explicitement citée dans de nombreux référentiels réglementaires français et européens, dont les exigences d'analyse de risques de NIS2 et d'ISO 27001.