Présentation
RÉSUMÉ
Souvent dénigrée à cause de sa complexité de mise en œuvre, nous pensons qu’il convenait de briser de fausses idées concernant la méthode EBIOS RM 2024 (EBIOS RM pour Expression des besoins et identification des objectifs de Security Risk Management).
Dans cet article, nous allons démontrer aux lecteurs que cette méthode est une formidable boîte à outils en matière d’appréciation des risques. Nous verrons qu’elle est parfaitement adaptée aux exigences de la norme ISO 27001 :2022, de l’ISO 27005 :2022, et qu’elle peut activement participer à l’instauration d’une cyber-résilience effective de nos patrimoines informationnels conformément à la directive européenne NIS2.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Dany CORGIAT : Président d’Alliance Cyber Technologies
INTRODUCTION
L'histoire de la gestion des risques remonte à plusieurs millénaires, car les premières traces de cette discipline remonteraient à l’Antiquité. L’évaluation des risques a ensuite évolué d’une façon constante et significative à travers différentes époques et civilisations pour devenir une discipline clé dans nos activités de cyberdéfense.
Plus que jamais, en 2024, évaluer des risques liés à la sécurité des systèmes d'information est devenue une priorité pour toutes les entreprises et toutes les institutions de notre pays.
Dans cet article, nous ne souhaitons pas revenir dans le passé, à la genèse des premières évaluations des risques. Nous voulons simplement faire comprendre aux lecteurs qu’anticiper la probabilité (la vraisemblance) et l’impact (la conséquence) d’un acte de malveillance peut changer notre avenir. Nous verrons qu’évaluer par anticipation des risques avec une méthode commune et internationalement éprouvée est ou doit être une priorité afin de protéger l’ensemble de nos patrimoines informationnels. Afin de vous faire comprendre du mieux que possible l’enjeu d’évaluer des risques, nous nous focaliserons sur la norme ISO 27005 et la méthode EBIOS Risk Manager (EBIOS RM 2024).
Nous verrons aussi qu’une amélioration continue de notre posture de cyber-défense et la mise en œuvre de mesures de cybersécurité imposent une identification précise des chemins d'attaques que pourraient emprunter des belligérants (ce que permet la méthode EBIOS RM).
Cet article est réservé aux abonnés.
Il vous reste 92 % à découvrir.
Déjà abonné ? Se connecter
MOTS-CLÉS
cybersécurité Directive européenne management des risques ISO/IEC 27001 EBIOS RM norme ISO 27005
DOI (Digital Object Identifier)
Présentation
GlossaireArticle inclus dans l'offre
"Sécurité des systèmes d'information"
(80 articles)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
5. Conclusion
Bien que souvent dénigrée à cause de sa complexité de mise en œuvre dans sa version précédente, nous pensons qu’EBIOS RM 2024 est une boîte à outils formidable facilitant la prise en charge de nombreuses catégories et typologies de risques. Elle permet d’anticiper des événements redoutés liés à une intensification de cyberattaques et, est pleinement compatible avec les normes, règlementations et référentiels de sécurité :
-
règlement DORA (Digital Operational Resilience Act) ;
-
directive NIS2 (Network and Information Security) ;
-
ISO/IEC 27005 :2022 pour la gestion des risques liés à la sécurité de l’information ;
-
ISO/IEC 27001 :2022 pour la mise en œuvre d’un système de management de la sécurité de l’information (SMSI) ;
-
ISO/IEC 31000 :2018 pour le management du risque.
Cette nouvelle mouture se veut être fédératrice d’une multitude de risques nouveaux liés à de nouvelles causes de cybermenaces et de cyberattaques. Par rapport à sa version précédente, elle apporte de réelles évolutions terminologiques qui s’appuient encore plus sur des normes internationales, la conformité et la réglementation. Elle renforce la traçabilité des décisions prises lors des ateliers et surtout lors de l’élaboration du plan de traitement des risques et du plan d’amélioration continue de la sécurité.
Ne surtout pas oublier la « règle des 10R » lors de l’instauration d’un processus, d’une méthode de gestion des risques dans l’entreprise :
-
règle 1 : considérer la gestion des risques comme créatrice de valeur ;
-
règle 2 : intégrer la gestion des risques dans tous les projets ;
-
règle 3 : identifier les risques au plus tôt et surtout pas à la fin d’un projet ;
-
règle 4 : communiquer largement sur les risques ;
-
règle 5 : considérer à la fois les menaces et les opportunités ;
-
règle 6 : définir clairement les responsabilités ;
-
règle 7 : évaluer les risques et fixer leur ordre de priorité ;
-
règle 8 : planifier...
Cet article est réservé aux abonnés.
Il vous reste 95 % à découvrir.
Déjà abonné ? Se connecter
Conclusion
Article inclus dans l'offre
"Sécurité des systèmes d'information"
(80 articles)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
BIBLIOGRAPHIE
-
(1) - TENEAU (G.), DUFOUR (N.) - La gestion des risques, un objet frontière. - Editions l’-Harmattan (2013).
-
(2) - ANSSI - Qu'est-ce que la méthode EBIOS Risk Manager ? - (2024). PDF disponible en ligne https://cyber.gouv.fr/la-methode-ebios-risk-manager
-
(3) - ANSSI - Guide EBIOS - (2024). PDF disponible en ligne https://cyber.gouv.fr/sites/default/files/document/20240326_np_anssi_guide_ ebios_fr_final_web.pdf
DANS NOS BASES DOCUMENTAIRES
NORMES
-
Systèmes de management de la sécurité de l’information - ISO/IEC 27001 - 2022
-
Lignes directrices en matière de normes organisationnelles relatives à la sécurité de l’information et des bonnes pratiques de management de la sécurité de l’information - ISO/IEC 27002 - 2022
-
Management du risque - ISO/IEC 31000 - 2018
-
Gestion des risques en sécurité de l’information - ISO/IEC 27005 - 2022
-
Dédiée au management de la qualité, l’amélioration continue - ISO 9001 -
Cet article est réservé aux abonnés.
Il vous reste 94 % à découvrir.
Déjà abonné ? Se connecter
Article inclus dans l'offre
"Sécurité des systèmes d'information"
(80 articles)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
