Les cinq ateliers
L’atelier 1 fixe le périmètre, les valeurs métier, les biens supports et les événements redoutés, et confronte le socle de sécurité aux référentiels applicables. L’atelier 2 associe les sources de risque aux objectifs qu’elles poursuivraient. L’atelier 3 cartographie l’écosystème et construit les scénarios stratégiques : par quelle partie prenante un attaquant passerait. L’atelier 4 les transforme en scénarios opérationnels avec une vraisemblance. L’atelier 5 synthétise les risques, décide du traitement et écrit le plan avec ses risques résiduels.
Pourquoi elle convient à un monde de fournisseurs
La plupart des méthodes notent l’organisation comme si elle était seule. EBIOS RM note l’écosystème : un prestataire de maintenance avec accès distant, un éditeur, un sous-traitant sur un réseau partagé est évalué pour son exposition et sa dépendance, et un scénario stratégique peut commencer là. C’est pourquoi la méthode rejoint naturellement la gestion des risques tiers, et pourquoi la posture dégradée d’un fournisseur devrait modifier la vraisemblance d’un scénario plutôt que rester dans un outil à part.
Où elle est attendue
L’homologation de sécurité d’un téléservice (RGS) repose sur une analyse de risque, EBIOS RM étant celle attendue ; les programmes du secteur de la santé et des OIV l’utilisent ; la méthode est aussi compatible avec l’ISO 27005 et peut alimenter un plan de traitement ISO 27001. Dans une plateforme GRC, la valeur est de garder vivants les résultats des ateliers : les événements redoutés deviennent des entrées du registre, les scénarios opérationnels héritent du statut vérifié des contrôles qui les coupent, et le plan de traitement devient des actions portées.