Gouvernance des risques et EBIOS RM 2024 (v 1.5)
EBIOS RM - Une méthode conforme aux exigences de cybersécurité

La réalité du terrain conforte l’idée qu’une trop grande complexité de nos patrimoines informationnels facilite l’exploitation de nouvelles formes de vulnérabilités par des attaquants. Toutes les études et toutes les statistiques démontrent, en effet, qu’une complexité accrue de nos systèmes informatisés ne facilite pas la mise en œuvre de mesures de sécurité permettant de nous protéger. En centre de surveillance (Security Operations Center), nous découvrons, chaque jour, de nouvelles formes d’attaques et de menaces. Elles nous font, malheureusement, découvrir que nous sommes très loin d’atteindre l’excellence en matière de cyber-sécurité. Dès lors, la nécessité d’évaluer et de gérer encore mieux des risques est une nécessité absolue. Pour ce faire, il convient de ne pas agir en mode « artisanal », mais bel et bien de s’appuyer sur des normes reconnues et, surtout, sur des méthodes approuvées. Ces activités doivent être méthodiques, éprouvées et adaptées à des besoins spécifiques de complexités, mais aussi, à des exigences réglementaires.

• Plusieurs méthodes existent dans le monde afin de prendre en compte des risques, comme :

  • OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) ;

  • NIST SP 800-37 (Risk Management Framework – RMF) ;

  • FAIR (Factor Analysis of Information Risk) ;

  • COSO ERM (Enterprise Risk Management) ;

  • CRAMM (CCTA Risk Analysis and Management Method).

  Et, EBIOS pour Expression des besoins et Identification des objectifs de sécurité), qui est une méthode française permettant l’analyse et la gestion des risques cyber.

  EBIOS RM pour « Risk Manager » est la version moderne de cette méthode.

• Dans les grandes lignes, la méthode EBIOS permet :

  • d’être employée comme une boîte à outils permettant une efficacité maximale ;

  • d’améliorer progressivement l’étude des risques pour rester cohérent avec la réalité ;

  • de rechercher une adhésion des experts pour élaborer des solutions de protection ;

  • de proposer une base de connaissances riche, de documentations variées pour échanger...