Synthèse pédagogique – Expliquer EBIOS RM à un non-expert
Pourquoi EBIOS RM ?
La cybersécurité ne peut plus se limiter à “mettre un antivirus” ou “fermer des ports”.
Il faut anticiper ce que des adversaires intelligents peuvent vouloir faire contre nous.
Info
EBIOS RM est une méthode française reconnue, qui aide à répondre à la question :
“Quels sont les scénarios d’attaque les plus probables et les plus graves contre mon organisation ?”
Comment ça fonctionne ?
- On définit ce qui est vital pour l’entreprise (valeurs métier).
- On identifie les adversaires potentiels (sources de risque).
- On imagine leurs scénarios d’attaque réalistes.
- On évalue la gravité et la vraisemblance.
- On décide des protections à mettre en place.
Vue d’ensemble – Mindmap ASCII
[Atelier 1]
Définir le périmètre
|
v
[Atelier 2]
Couples Sources de Risque / Objectifs de Valeur
|
v
[Atelier 3]
Stratégie de menaces (adversaires, supply chain)
|
v
[Atelier 4]
Scénarios opérationnels (chaînes d’attaque réalistes)
|
v
[Atelier 5]
Traitement du risque (réduction, transfert, acceptation, évitement)
|
v
Exploitation des résultats
(tableaux de bord, COMEX, décisions stratégiques)
Cette représentation permet de visualiser la progression logique : du contexte jusqu’aux décisions stratégiques.
Ce qu’on obtient à la fin
- Une cartographie claire des risques.
- Des scénarios crédibles à présenter au COMEX.
- Un plan d’action priorisé et argumenté.
- Une base de discussion entre la direction, les métiers et la SSI.
Tableau de synthèse des 5 ateliers
| Atelier | Objectif principal | Livrables clés | Rôle du RSSI |
|---|---|---|---|
| 1 – Périmètre | Définir ce qui est vital et les dépendances | Liste valeurs métier, biens supports, événements redoutés | Garantir l’alignement avec le COMEX et les métiers |
| 2 – Couples SR/OV | Associer adversaires et objectifs | Tableau SR/OV (motivation, ressources, activité) | Vérifier la pertinence métier et éviter les objectifs trop vagues |
| 3 – Stratégie de menaces | Construire la cartographie stratégique | Carte des menaces, supply chain, adversaires plausibles | Introduire MITRE ATT&CK et la Kill Chain pour crédibiliser |
| 4 – Scénarios opérationnels | Détailler des chemins d’attaque plausibles | Graphes d’attaque, tableaux étape/action/impact | Traduire en impacts métier et conformité (RGPD, NIS2) |
| 5 – Traitement du risque | Décider des mesures à mettre en œuvre | Plan de traitement, mesures ISO 27001, options | Hiérarchiser, justifier les risques acceptés, préparer l’audit |
Objectifs pédagogiques
À l’issue de cette synthèse, même un non-expert doit être capable de :
- Comprendre la logique générale des 5 ateliers.
- Visualiser la progression via la mindmap ASCII.
- Retenir les rôles, livrables et décisions via le tableau de synthèse.