EBIOS RM : les conditions pour que ça marche vraiment

« Nous avons fait notre analyse de risques. » 

Cette phrase, entendue dans la quasi-totalité des organisations auditées, cache souvent la même réalité : un document produit une fois, calé entre deux certifications, rarement mis à jour et encore plus rarement lu. Une checklist de conformité et pas vraiment un outil de pilotage.

Pourtant, la méthode EBIOS RM existe précisément pour éviter ça. Développée par l’ANSSI et profondément révisée en 2024, elle est conçue pour produire des décisions actionnables. En pratique, elle y parvient souvent. Mais elle peut aussi dériver vers exactement ce qu’elle cherche à éviter, si on n’y prête pas attention. Une analyse de risques figée est non seulement inutile : elle peut donner une fausse impression de maîtrise qui s’avère dangereuse. 

Cet article ne réexplique pas la méthode pas à pas, de toute manière la documentation ANSSI le fait mieux. Il s’attaque aux points où la méthode est mal utilisée, aux raccourcis qui coûtent cher, et aux conditions sous lesquelles EBIOS RM tient vraiment ses promesses.

Pourquoi EBIOS RM, et pourquoi maintenant ?

EBIOS existe depuis le milieu des années 1990. La version 2010 l’a mis à niveau par rapport aux standards émergents de l’époque (ISO 31000, ISO 27001), en structurant l’analyse en cinq modules. Elle tenait la route pour des environnements relativement stables, avec des périmètres bien délimités. 

Ce n’est plus le monde dans lequel travaillent la plupart des organisations. Les attaques passent par des prestataires, des outils SaaS, des sous-traitants de sous-traitants. Les acteurs malveillants les plus dangereux opèrent avec des ressources fournies parfois par les états. EBIOS 2010 n’était pas conçu pour modéliser ce type de menaces en cascade. 

La version Risk Manager (RM), publiée en 2018, a opéré un recentrage important : focalisation sur les risques intentionnels, prise en compte de l’écosystème (fournisseurs, partenaires, tiers), construction de scénarios plausibles plutôt qu’un inventaire exhaustif. Le changement de philosophie a été perspicace : au lieu de couvrir tous les risques possibles, EBIOS RM demande de concentrer les ressources sur les scénarios qui peuvent réellement mettre l’organisation en difficulté. Se focus sur l’important en d’autres termes. 

La version 1.5, publiée en 2024 après une consultation qui a recueilli plus de 130 contributions, consolide l’alignement avec ISO/IEC 27005:2022. Quelques évolutions concrètes méritent d’être signalées : le terme « Menace » appliqué aux parties prenantes est remplacé par « Dangerosité ». Une nuance qui évite de traiter systématiquement un fournisseur peu rigoureux comme un attaquant délibéré. Le « Plan d’Amélioration Continue de la Sécurité » devient « Plan de traitement du risque », en cohérence avec le vocabulaire ISO. Ces détails comptent car un RSSI qui parle EBIOS RM version 2018 à un auditeur ISO 27001 formé sur la v1.5 peut générer de la confusion sur des points qui n’en méritent pas.

Les 5 ateliers : ce qu’ils font, et où ça dérape

Atelier 1 — Cadrage et socle de sécurité

L’atelier 1 définit le périmètre, identifie les valeurs métier à protéger (données clients, processus critiques, engagements contractuels) et pose le socle de sécurité existant face aux obligations réglementaires et aux bonnes pratiques.

L’erreur typique ici est de confondre valeurs métier et biens supports. Les valeurs métier répondent à la question « qu’est-ce qui compte pour l’organisation et ses parties prenantes ? » Les biens supports répondent à « sur quoi repose techniquement ce qui compte ? ». Commencer par les biens supports (les serveurs, les applications, les bases de données) avant de poser les valeurs métier produit une analyse orientée SI, pas orientée risques business.

Deuxième piège : bâcler le socle. En pratique, on voit souvent des équipes cocher le socle de sécurité en vingt minutes pour « passer aux choses sérieuses ». Résultat : les ateliers 2, 3 et 4 identifient des scénarios que des mesures élémentaires auraient suffi à couvrir. On se retrouve à modéliser des chemins d’attaque sophistiqués sur une organisation qui n’a pas encore de politique de gestion des mots de passe. Si le socle révèle des lacunes majeures, la bonne décision est de les corriger avant de continuer et pas de les documenter comme risques résiduels à traiter plus tard.

Atelier 2 — Sources de risque

L’atelier 2 s’intéresse aux sources de risque : qui ou quoi pourrait vouloir ou être amené à compromettre les valeurs métier identifiées précédemment ? Un groupe cybercriminel opportuniste n’a pas les mêmes cibles ni les mêmes méthodes qu’un concurrent en campagne d’espionnage industriel, qu’un ancien collaborateur mécontent ou qu’un prestataire négligent.

Le terme « sources de risque » n’est pas un euphémisme pour « attaquants ». Il inclut des acteurs sans intention malveillante : un sous-traitant qui manipule mal des données sensibles, un prestataire qui peut subir un “hack” et dont les conséquences tombent en cascade sur vos services. Réduire l’atelier 2 aux seuls acteurs intentionnels crée un angle mort sur une catégorie de risques qui représente une part significative des incidents réels.

Atelier 3 — Scénarios stratégiques

C’est sûrement l’atelier qui décide de la qualité de toute l’analyse. On croise les sources de risque avec les valeurs métier pour construire les scénarios stratégiques : quelles combinaisons source/cible sont plausibles, et lesquelles pourraient remettre en cause les missions critiques de l’organisation ?

L’enjeu de toute la méthode, ce n’est pas d‘être exhaustif (déjà entre nous c’est impossible d’être vraiment exhaustif et de penser à tout) mais c’est d’être pertinent. Un atelier 3 qui produit quinze scénarios stratégiques signifie que le cadrage de l’atelier 1 était trop large, ou que la priorisation n’a pas eu lieu. En pratique, trois à cinq scénarios bien construits valent mieux qu’une liste de douze scénarios génériques.

C’est aussi à cet atelier que les dirigeants prennent (ou ne prennent pas) conscience de l’exposition réelle de l’organisation. Quand le scénario « compromission d’un prestataire logistique entraîne l’arrêt de la production pendant 72 heures » est posé sur la table avec ses impacts financiers, les priorités se réalignent beaucoup plus vite car c’est visible quantifiable et surtout le risque devient “probable” et plus imaginaire.

Atelier 4 — Scénarios opérationnels

L’atelier 4 descend dans le détail technique : comment chaque scénario stratégique se déroulerait-il concrètement ? Quelles vulnérabilités seraient exploitées, dans quel ordre, avec quels outils ou techniques ?

Ce travail est essentiellement porté par une vision plus technique. Son intérêt pour la suite de l’analyse est de permettre de prioriser les mesures de sécurité là où elles ont un effet réel sur les chemins d’attaque identifiés plutôt que de traiter toutes les vulnérabilités à égalité. Bien entendu la démarche zéro trust reste intéressante également, mais savoir “où prioriser” les chemins d’attaques les plus critiques permet souvent de baisser drastiquement la probabilité d’une attaque réussie.

Atelier 5 — Traitement du risque

Pour chaque risque identifié, l’organisation choisit entre quatre options : réduire, refuser, transférer (assurance, contractuel) ou accepter en conscience. L’atelier 5 transforme l’analyse en plan de traitement assorti d’indicateurs de suivi. C’est clairement la feuille de route pour la suite, à savoir débloquer les bons budgets aux bons endroits.

Une méthode flexible et itérative

En articulant ces 5 ateliers, l’organisation forme un parcours qui allie la définition du périmètre jusqu’au traitement des risques. Cette méthode est flexible et itérative, pour adapter l’ordre des ateliers et réviser l’analyse au rythme de l’évolution des menaces et des priorités de l’organisation.

Ce qui distingue réellement EBIOS RM

EBIOS RM n’est pas la seule méthode structurée en ateliers progressifs. Ce qui change par rapport à une approche documentaire classique, c’est que les scénarios d’attaque sont construits avec les métiers et non soumis à leur validation a posteriori.

Un directeur supply chain qui modélise lui-même le scénario « compromission d’un prestataire logistique » avec l’équipe sécurité comprend quelque chose qu’un rapport ne lui aurait jamais communiqué. Il identifie les impacts sur son activité que le RSSI n’aurait pas connus. Il s’approprie les mesures de traitement plutôt que de les subir. C’est cette dynamique qui fait tenir l’analyse dans le temps au-delà de la qualité du document produit.

Un RSSI seul ne peut pas conduire EBIOS RM correctement. Il peut produire un document EBIOS RM. Et si vous avez compris le raisonnement, ce n’est pas la même chose.

EBIOS RM dans votre écosystème de conformité

La question revient systématiquement en contexte de certification ISO 27001 ou de mise en conformité NIS2 : où est-ce qu’EBIOS RM s’insère ?

L’atelier 1 et les ateliers 3-4 couvrent directement l’exigence 6.1.2 de l’ISO 27001 (appréciation des risques) et l’exigence 6.1.3 (traitement des risques). Les scénarios opérationnels de l’atelier 4 alimentent les plans de traitement que NIS2 (article 21) requiert pour les entités essentielles et importantes. ISO 27005, dans sa version 2022, est le cadre normatif dans lequel EBIOS RM s’inscrit formellement depuis la version 1.5, d’ailleurs les deux fonctionnent ensemble sans redite majeure.

Le NIST RMF est une autre histoire. C’est une référence utile si votre organisation opère aux États-Unis ou a des clients fédéraux américains. Pour une entreprise française sous NIS2 ou ISO 27001, son niveau de détail technique dépasse ce qu’impose la réglementation et ne correspond pas aux pratiques d’audit habituelles en Europe. Le mentionner dans un contexte de conformité française crée plus de confusion qu’il n’en résout.

Qualitatif, quantitatif : comment les combiner

EBIOS RM est une méthode qualitative. Elle s’appuie sur des échelles de gravité et de vraisemblance, des jugements d’experts, des scénarios construits à partir d’expériences terrain. C’est sa force pour impliquer rapidement des non-techniciens dans l’analyse. C’est aussi sa limite quand il s’agit de justifier des investissements sécurité face à un CFO ou d’arbitrer entre deux mesures concurrentes. C’est subjectif et ça dépend grandement de l’implication des parties prenantes.

Les approches quantitatives, on a tous FAIR en tête, répondent à cette limite en traduisant les risques en valeurs chiffrées. L’ALE (Annual Loss Expectancy) estime la perte financière moyenne attendue par an pour un scénario donné, en croisant la fréquence probable des incidents avec les pertes associées. Le truc c’est qu’il est impossible de quantifier précisément. Par exemple comment chiffrer le coût d’une fuite de données clients, entre les amendes potentielles des régulateurs, la perte de clients, l’atteinte à la réputation (réussir à quantifier une baisse de réputation serait un exploit), les couts juridiques, etc. ? Combien coûte la perte de confiance ? Impossible à dire précisément, c’est pourquoi les études de cyber quantifient en donnant des moyennes mais il y a toujours de la subjectivité et des marges d’erreurs d’appréciations.

En pratique, une combinaison est plus utile que le choix entre les deux. EBIOS RM structure les scénarios et implique les parties prenantes. Une couche quantitative appliquée aux scénarios les plus critiques (typiquement ceux de l’atelier 3) permet de prioriser les mesures de traitement avec des arguments budgétaires solides. Ce n’est pas indispensable pour toutes les organisations mais pour celles qui cherchent à convaincre une direction financière ou à calibrer une couverture assurantielle cyber, c’est souvent décisif.

Ce qu’EBIOS RM ne fait pas bien

L’angle mort des risques accidentels

EBIOS RM est construite autour des acteurs malveillants : leurs motivations, leurs capacités, leurs modes opératoires. C’est son point fort quand on cherche à anticiper une attaque ciblée. C’est aussi son angle mort. Une erreur de configuration sur un bucket S3, un prestataire qui expose des données sans intention malveillante, une panne en cascade sur une dépendance cloud non documentée, etc. Ce type d’incident peut causer autant de dégâts qu’une intrusion, et il échappe au périmètre naturel de la méthode. Une organisation qui conduit uniquement EBIOS RM peut avoir une analyse de risques solide sur les menaces intentionnelles et une exposition non documentée sur tout le reste. Ce n’est pas un défaut d’EBIOS RM, mais gardez en tête que c’est une raison de ne pas s’y limiter.

La maintenance : un engagement que la plupart sous-estiment

Une analyse EBIOS RM a une durée de vie. Les sources de risque évoluent, les valeurs métier changent, les mesures de traitement sont (ou ne sont pas) mises en place, l’écosystème de sous-traitance se modifie. Une analyse non révisée depuis 18 mois dans un contexte de transformation numérique active est une image d’une organisation qui n’existe plus.

La maintenance d’une analyse de risque est un exercice plus que compliqué. Il faut reconvoquer les parties prenantes, réinterroger les scénarios, actualiser les évaluations. Sans processus dédié et sans « propriétaire » clairement désigné pour chaque risque, la révision ne se fait pas.

La complexité à grande échelle

Pour des SI très étendus ou des organisations multi-entités, conduire une analyse EBIOS RM de bout en bout sur un périmètre large mobilise des ressources significatives : plusieurs semaines de travail, des profils techniques et métiers, une capacité de documentation et de synthèse. Sans outil adapté ou sans consultant qui structure la démarche, la charge peut décourager le processus avant l’atelier 5.

Ce qu’on conseille : scoper sévèrement. Non c’est vrai, le périmètre de l’analyse de risque est vraiment le nerf de la guerre. Une analyse EBIOS RM sur trois processus critiques bien délimités vaut mieux qu’une tentative exhaustive qui s’étiole après l’atelier 2.

Nos convictions

Sur le terrain, nous avons appris à résister à une tentation récurrente qui est de vouloir tout couvrir. Une analyse EBIOS RM exhaustive qui prend six mois finit souvent dans un tiroir. Nous commençons systématiquement par une question posée aux dirigeants : quels sont les trois scénarios, comme ça de tête, dont la réalisation mettrait en danger la continuité de votre activité ? Ce cadrage évite des semaines de travail inutile et garantit que les parties prenantes restent mobilisées jusqu’au bout.

L’autre conviction que nous défendons : EBIOS RM ne fonctionne que si les métiers sont dans la salle de jeu, pas comme validateurs, mais comme co-auteurs. Un RSSI seul ne peut pas évaluer l’impact d’une compromission sur la chaîne logistique. Le responsable supply chain, si.

Enfin, EBIOS RM seule ne suffit pas. Elle structure l’analyse et produit des scénarios pertinents. Elle ne remplace pas la veille sur les menaces, ne génère pas de métriques de suivi et ne justifie pas seule un budget sécurité face à une direction financière. Les organisations qui en tirent le plus de valeur combinent EBIOS RM avec des indicateurs quantitatifs sur les scénarios critiques et une veille opérationnelle sur les tactiques et techniques adversariales.

Retours d’expérience

Pour un éditeur de logiciels B2B en cours de préparation SOC 2 type II, le défi était double : l’équipe sécurité maîtrisait les contrôles techniques, mais peinait à formaliser les risques dans un langage auditable. La tentation initiale était de produire un document de risques générique, mappé après coup aux critères de confiance SOC 2. Nous avons fait l’inverse : conduire une analyse EBIOS RM ciblée sur trois processus critiques (gestion des accès, disponibilité de la plateforme, sous-traitance cloud) en construisant les scénarios directement à partir des critères de confiance. Le résultat était un dossier que les auditeurs ont pu lire sans traduction. Les findings lors de l’audit étaient significativement réduits, non pas parce que les risques avaient disparu, mais parce que leur traitement était documenté de façon cohérente et traçable.

Ce qui a fonctionné ici, ce n’est pas la méthode en tant que telle mais plus l’idée de partir des scénarios réels plutôt que d’un template. EBIOS RM crée un langage commun entre les équipes techniques et les auditeurs et nous on l’utilise pour communiquer. Encore faut-il décider de l’utiliser dans ce sens, plutôt que de cocher des cases dans l’ordre des ateliers.

En conclusion

« Faire son analyse de risques » n’est pas un point final. C’est vrai. Mais c’est aussi un lieu commun qui permet de ne rien dire de concret.

Ce qui est vrai : une analyse EBIOS RM conduite correctement avec les bons participants, sur un périmètre bien délimité, révisée quand le contexte change, force une organisation à articuler clairement ce qu’elle protège, contre qui, et avec quels moyens. C’est plus rare qu’il n’y paraît.

Mais chez Lovell on peut vous accompagner à réaliser vos analyses de risques basées sur EBIOS RM pour détenir un vrai levier activable pour débloquer des financements en cybersécurité.