Méthode EBIOS Risk Manager

Définition

La méthode EBIOS Risk Manager, développée et maintenue par l'ANSSI en collaboration avec le Club EBIOS, est une méthodologie française d'appréciation et de traitement des risques de sécurité de l'information, largement reconnue et utilisée en France, tant dans le secteur public que privé, et compatible avec les exigences de la norme ISO 27005. Contrairement à des approches purement quantitatives ou centrées uniquement sur la conformité à un référentiel de contrôles, EBIOS Risk Manager adopte une démarche structurée en cinq ateliers successifs : le cadrage et le socle de sécurité, permettant d'identifier la mission de l'organisation et les événements redoutés, les sources de risque, permettant de caractériser les attaquants potentiels et leurs objectifs, les scénarios stratégiques, décrivant les chemins d'attaque possibles à un niveau macroscopique, les scénarios opérationnels, détaillant les modes opératoires techniques concrets, et le traitement du risque, permettant de définir un plan d'action priorisé et d'accepter formellement les risques résiduels. Cette méthode se distingue par son approche centrée sur les sources de risque et leurs motivations, plutôt que sur une simple liste de menaces génériques, ce qui la rend particulièrement adaptée à l'analyse de risques liés à des attaquants ciblés et déterminés. Elle est fréquemment utilisée pour construire les analyses de risque exigées dans le cadre de la qualification SecNumCloud, de la conformité NIS2 ou de la mise en œuvre d'un système de management conforme à l'ISO 27001.