Guide méthodologique EBIOS Risk Manager
Méthode d'analyse de risques publiée par l'ANSSI — 5 ateliers
Principe général
EBIOS RM est une méthode d'analyse de risques qui part des valeurs métier de l'organisation pour identifier les scénarios de risque les plus pertinents et définir un plan de traitement proportionné. Elle se déroule en 5 ateliers séquentiels, chacun alimentant le suivant.
Échelles d'évaluation
| Échelle | Niveaux | Usage |
|---|
| Gravité | 3 à 5 niveaux : Faible, Significatif, Grave, Critique, Extrême (selon l'échelle retenue) | Impact des événements redoutés et des scénarios |
| Vraisemblance | V1 à V4 | Probabilité de succès d'un scénario opérationnel |
| Niveau de risque | Faible / Moyen / Élevé | Croisement Gravité × Vraisemblance dans la matrice de risque |
| Exposition écosystème | Faible / Modérée / Élevée / Critique | Seuils sur le niveau de menace des parties prenantes |
Matrice ajustable : chaque cellule Gravité × Vraisemblance de la matrice peut être requalifiée (Faible / Moyen / Élevé) selon l'appétence au risque de l'organisation. La requalification se répercute sur toute l'analyse.
Atelier 1 — Cadrage et socle de sécurité
Objectif
Définir le périmètre de l'étude, identifier les actifs critiques, les événements redoutés et évaluer le niveau de sécurité existant.
Participants
RSSI, DSI, Direction métier, DPO (si données personnelles)
Étapes
| Étape | Contenu | Guide |
|---|
| Contexte | Périmètre, réglementation, échelle de gravité | Définir l'organisation, l'objet de l'étude, la réglementation applicable et l'échelle de gravité (3 à 5 niveaux) |
| Valeurs métier | Processus et informations essentiels | Identifier 5-10 VM, évaluer les besoins DICT de 1 à N (selon l'échelle) |
| Biens supports | SI qui supporte les VM | Lister les serveurs, applications, réseaux, données et les rattacher aux VM |
| Événements redoutés | Impacts redoutés par VM | Pour chaque VM, identifier les ER et coter leur gravité |
| Socle de sécurité | Conformité aux référentiels | Évaluer chaque mesure (0-100%), identifier les écarts et les prioriser |
Socle et référentiels
Le socle s'évalue par rapport au guide d'hygiène ANSSI (42 mesures) ou à l'ISO 27001 — Annexe A (93 mesures). Les écarts constatés alimentent le plan de traitement de l'atelier 5.
Atelier 2 — Sources de risque et objectifs visés
Objectif
Identifier qui pourrait attaquer (sources de risque) et pourquoi (objectifs visés). Évaluer la pertinence de chaque couple SR/OV.
Participants
RSSI, Analyste CTI (si disponible), Direction
Guide
- Créer les sources de risque (cybercriminels, employés, états, concurrents...)
- Créer les objectifs visés (ransomware, vol de données, sabotage...)
- Combiner en couples et noter Motivation (0-4), Ressources (0-4), Activité (0-4)
- Pertinence = somme /12. Priorité : P1 (>7), P2 (5-7), Non retenu (3-4), Écarté (≤2)
Atelier 3 — Scénarios stratégiques
Objectif
Identifier et évaluer les parties prenantes de l'écosystème, construire les chemins d'attaque stratégiques et définir les mesures de réduction de la menace écosystème.
Participants
RSSI, Direction métier, Responsable des achats/partenariats
Étapes
| Étape | Contenu | Guide |
|---|
| Parties prenantes | Acteurs de l'écosystème | Fournisseurs (prestataires), partenaires, clients — évaluer D/P/M/C (1-4), catégorie |
| Scénarios stratégiques | Chemins d'attaque | Lier SR/OV + PP + BS + ER. La gravité du scénario est le MAX des gravités des ER associés |
| Mesures écosystème | Réduction menace PP | Pour chaque PP, lister les mesures et réévaluer D/P/M/C résiduels. Cartographie de l'écosystème |
Règle PP : si l'objet de l'étude est l'entreprise entière, les collaborateurs internes ne sont PAS des PP. Seuls les acteurs externes sont des PP.
Atelier 4 — Scénarios opérationnels
Objectif
Détailler chaque scénario stratégique en kill chain technique : phases d'attaque, contrôles existants, efficacité. Calculer la vraisemblance opérationnelle et le risque initial.
Participants
RSSI, Équipe technique/SOC, Architecte sécurité, DevOps/Admin sys
Étapes
| Étape | Contenu | Guide |
|---|
| Scénarios opérationnels | Kill chain par SOP | 4-8 phases par SOP, contrôles, efficacité (Absent/Partiel/Efficace), mesures proposées |
| Risques initiaux | Synthèse des risques | Pour chaque SS : gravité, efficacité des contrôles, taux de faiblesse, V opérationnelle, risque initial |
Formules : Taux de faiblesse = MAX(0, (Absent×2 + Partiel - Efficace×2)) / (Total×2). Chaque phase Efficace compense un Absent dans la kill chain. La vraisemblance opérationnelle en découle : V4 si taux ≥ 70%, V3 si ≥ 40%, V2 si ≥ 20%, V1 sinon.
Atelier 5 — Traitement du risque
Objectif
Définir le plan de traitement : mesures de sécurité, responsables, échéances. Évaluer les risques résiduels et prendre les décisions de traitement.
Participants
RSSI, Direction, DSI, Responsables métier, DPO
Étapes
| Étape | Contenu | Guide |
|---|
| Référentiel mesures | Toutes les mesures | Consolider : socle appliqué (Terminé), socle à renforcer, écosystème, SOP, complémentaires |
| Risques résiduels | Risque après traitement | Pour chaque SS, évaluer la V résiduelle (1-4) et choisir la décision (Accepter / Réduire / Transférer / Éviter) |
Priorité des mesures : proposer d'abord les mesures du socle manquantes, puis les mesures écosystème, puis des mesures complémentaires uniquement si nécessaire.
Glossaire
| Acronyme | Signification | Description |
|---|
| VM | Valeur Métier | Processus ou activité essentielle de l'organisation (ex : gestion des commandes, R&D) |
| BS | Bien Support | Composant du SI qui supporte une VM (serveur, application, réseau, données) |
| PP | Partie Prenante | Acteur externe à l'objet d'étude (fournisseur, prestataire, partenaire, client) |
| SR | Source de Risque | Acteur de menace potentiel (cybercriminel, employé malveillant, concurrent, état) |
| OV | Objectif Visé | But poursuivi par la source de risque (extorsion, vol de données, sabotage) |
| SR/OV | Couple Source/Objectif | Combinaison d'une SR et d'un OV évaluée en pertinence |
| ER | Événement Redouté | Impact métier craint en termes de DICT (ex : fuite de données clients) |
| SS | Scénario Stratégique | Chemin d'attaque : QUI (SR) attaque POURQUOI (OV) VIA QUI (PP) ciblant QUOI (BS) provoquant QUEL impact (ER) |
| SOP | Scénario Opérationnel | Kill chain technique détaillant les phases d'attaque d'un SS |
| DICT | Disponibilité, Intégrité, Confidentialité, Traçabilité | Les 4 critères de sécurité pour évaluer les besoins et les atteintes |
| PACS | Plan d'Amélioration Continue de la Sécurité | Plan de traitement issu de l'analyse EBIOS RM |
Guide d'utilisation
Comment utiliser l'application interactive EBIOS RM
Vue d'ensemble
L'application est organisée en 3 zones : la barre d'application en haut (menu Fichier, langue, thème, réglages), le rail latéral à gauche (navigation par atelier, catalogue d'analyses, annuler/rétablir) et la zone de travail au centre (tableaux éditables).
Toutes les données restent dans votre navigateur : les analyses sont enregistrées automatiquement en local (IndexedDB) après chaque modification. Aucune information n'est envoyée à un serveur (sauf si l'assistant IA est actif). Le menu Fichier permet d'échanger des fichiers locaux (JSON, Excel) et de produire les livrables (PPTX, Word).
Navigation
| Élément | Description |
|---|
| Rail latéral | Une entrée par page, regroupée par atelier. Cliquer sur le titre d'un groupe pour le replier/déplier. Sur mobile, le menu s'ouvre via le bouton ☰. |
| Synthèse | Vue consolidée : indicateurs, cartographies des risques initiaux et résiduels, conformité du socle, distribution et évolution des risques, mesures à mettre en œuvre. Se met à jour automatiquement. |
| Aide | Les entrées Méthodologie et Utilisation ouvrent ce panneau d'aide (fermeture par le × ou un clic en dehors). |
Catalogue d'analyses
La section Analyses en bas du rail latéral gère plusieurs analyses stockées dans votre navigateur (IndexedDB) :
- + : créer une nouvelle analyse
- Recherche : filtrer la liste par nom
- Cliquer sur une carte pour basculer d'une analyse à l'autre
- Boutons de chaque carte : Dupliquer, Renommer, Exporter (téléchargement JSON), Supprimer
L'enregistrement local est automatique quelques instants après chaque modification, mais reste lié au navigateur : si vous videz les données de navigation, les analyses sont perdues. Exportez régulièrement vos analyses importantes en JSON pour disposer d'une copie de sauvegarde.
Édition des tableaux
Modifier une cellule
Les cellules éditables contiennent un champ de saisie (texte ou nombre) ou une liste déroulante. Les modifications sont prises en compte dès que vous quittez le champ (tab, clic ailleurs).
Ajouter une ligne
Cliquer sur le bouton + Ajouter en bas du tableau. L'identifiant (VM-XX, BS-XX, etc.) est généré automatiquement.
Supprimer une ligne
Cliquer sur le bouton X à droite de la ligne. Une confirmation est demandée si la ligne contient des données.
Valeurs calculées
Les colonnes sur fond gris sont calculées automatiquement et ne sont pas éditables :
- Menace PP = (Pénétration × Dépendance) / (Maturité × Confiance)
- Exposition PP = seuils sur la menace (≥4 Critique, ≥2 Élevée, ≥1 Modérée, <1 Faible)
- Pertinence SR/OV = (Motivation + Ressources + Activité) / 12
- Gravité SS = maximum des gravités des ER associés
- Taux de faiblesse SOP = MAX(0, (Absent×2 + Partiel - Efficace×2)) / (Total×2)
- Vraisemblance SOP = dérivée du taux de faiblesse (V1 à V4)
- Risque initial/résiduel = croisement Gravité × Vraisemblance dans la matrice (Faible / Moyen / Élevé)
Gestion des colonnes
| Action | Comment |
|---|
| Masquer une colonne | Cliquer sur le × à droite du nom de la colonne dans l'en-tête du tableau |
| Restaurer une colonne | Un bouton Colonnes masquées (N) apparaît au-dessus du tableau — cliquer pour choisir les colonnes à restaurer |
| Redimensionner | Glisser le bord droit d'un en-tête de colonne |
Références entre éléments
Les champs qui référencent d'autres éléments (VM dans les BS, PP dans les SS, ER dans les SS, etc.) utilisent un sélecteur avec recherche :
- Cliquer sur le champ pour ouvrir le sélecteur
- Taper pour filtrer les éléments disponibles
- Cocher/décocher pour sélectionner (multi-sélection possible)
- Cliquer en dehors pour fermer
Quand vous renommez un élément (VM, BS, PP, ER...), toutes les références dans les autres tableaux sont mises à jour automatiquement.
Menu Fichier
Le menu Fichier en haut de l'écran gère les fichiers locaux et les livrables :
| Action | Format | Description |
|---|
| Ouvrir | .json / .enc | Charge un fichier JSON (ou chiffré) depuis le disque et remplace les données de l'analyse en cours. Validation automatique du format. |
| Enregistrer | .json / .enc | Sauvegarde rapide dans le fichier ouvert. Nécessite un navigateur compatible File System Access (l'entrée est masquée sinon). |
| Enregistrer sous | .json / .enc | Sauvegarde en JSON avec option de chiffrement AES-256 par mot de passe (extension .enc). |
| Import Excel | .xlsx | Lit un fichier Excel EBIOS RM existant et charge les données. Compatible avec les fichiers générés par l'application. |
| Export Excel | .xlsx | Génère un classeur complet : feuilles par atelier, formules et mise en forme conditionnelle. Nécessite une connexion internet (chargement ExcelJS). |
| Synthèse managériale | .pptx | Génère une présentation de synthèse : indicateurs, matrices des risques initiaux et résiduels, tableaux clés — prête pour une restitution direction. |
| Export rapport | .docx | Génère le rapport d'analyse complet à partir d'un modèle Word (français ou anglais selon la langue active), cartographies incluses. |
| Nouvelle analyse | — | Crée une nouvelle analyse vierge dans le catalogue. |
Les moteurs d'export PPTX et Word sont embarqués dans l'application ; seul l'export Excel charge ExcelJS depuis un CDN (connexion internet nécessaire).
Import depuis Vendor
Sur la page Parties prenantes, le bouton Importer depuis Vendor charge un fichier JSON exporté depuis le module Vendor de la CISO Toolbox (export « PP » ou fichier de sauvegarde complet). Les fournisseurs sont créés comme parties prenantes avec leurs cotations D/P/M/C, leurs mesures de sécurité sont ajoutées au référentiel des mesures (avec la mention du fournisseur d'origine), et les doublons sont ignorés.
Historique et annulation
Annuler / Rétablir
Chaque modification est enregistrée dans l'historique (50 niveaux maximum). Utilisez les boutons en bas du rail latéral ou les raccourcis :
- Ctrl+Z (ou Cmd+Z sur Mac) : annuler la dernière modification
- Ctrl+Y ou Ctrl+Maj+Z : rétablir la modification annulée
Snapshots
Les snapshots sont des points de sauvegarde nommés stockés dans le navigateur :
- Créer un snapshot : cliquer sur "+ Créer un point de sauvegarde" dans la page Snapshots
- Restaurer : revenir à l'état exact du snapshot (l'état actuel est sauvegardé dans l'undo)
- Exporter : télécharger un snapshot en fichier JSON indépendant
- Chiffrer : activer le chiffrement de tous les snapshots dans le navigateur
Attention : les snapshots sont stockés dans localStorage. Si vous videz les données du navigateur, ils seront perdus. Exportez régulièrement vos snapshots importants en fichier.
Réglages
La barre d'application propose trois boutons : globe (basculer français/anglais), lune (thème clair/sombre) et roue crantée (⚙) pour les réglages :
- Langue : choix français / anglais
- Assistant IA : activer/désactiver, choisir le fournisseur (Anthropic ou OpenAI), le modèle et la clé API
- Instructions méthodologiques : charger un fichier Markdown pour guider les suggestions de l'IA
Assistant IA
L'assistant IA est un module optionnel qui propose des suggestions contextualisées à chaque étape de l'analyse. Il est désactivé par défaut.
Utilisation
Une fois activé dans les Réglages, un bouton ✨ IA apparaît sur chaque page (Valeurs métier, Biens supports, Événements redoutés, Sources de risque, Parties prenantes, Scénarios, Socle, Mesures, Risques résiduels...). En cliquant dessus :
- L'assistant analyse les données déjà saisies dans l'analyse en cours
- Il propose des éléments supplémentaires (VM, BS, SR/OV, scénarios, mesures, kill chains...) ou la mise à jour d'éléments existants
- Chaque suggestion peut être acceptée (ajoutée à l'analyse) ou ignorée
- Vous pouvez aussi donner vos propres instructions (ex : « propose des scénarios liés au ransomware »)
Instructions méthodologiques
Un fichier Markdown peut être chargé dans les Réglages pour enrichir le contexte de l'IA :
- Référentiel interne de l'organisation
- Consignes de rédaction ou de nommage
- Méthodologie spécifique ou compléments à EBIOS RM
- Politique de sécurité ou charte applicable
Ce fichier est ajouté au prompt système de chaque requête IA.
Risques et précautions
- Partage de données : les données de l'analyse sont envoyées au fournisseur IA pour générer les suggestions. Vérifiez que votre politique de confidentialité et vos engagements contractuels le permettent.
- Clé API dans les headers HTTP : l'application fonctionne sans serveur backend — la clé API est transmise dans les en-têtes HTTP depuis le navigateur. Elle est visible dans les DevTools, capturable par les extensions navigateur, et peut être journalisée par un proxy d'entreprise. Utilisez un profil navigateur dédié, sans extensions. La clé est stockée dans localStorage, jamais dans les fichiers sauvegardés.
- Suggestions non garanties : les propositions de l'IA sont à valider par l'analyste.
Sécurité des données
- Aucun envoi serveur : toutes les données restent dans votre navigateur (sauf si l'assistant IA est actif)
- Chiffrement des exports JSON : AES-256-GCM avec clé dérivée par PBKDF2 (250 000 itérations)
- Chiffrement snapshots : option de chiffrement des données localStorage
- Validation import : chaque fichier JSON importé est validé avant chargement (structure, types, bornes)
- Clés API : stockées uniquement dans localStorage, jamais dans les fichiers sauvegardés
Raccourcis clavier
| Raccourci | Action |
|---|
| Ctrl+S / Cmd+S | Enregistrer (fichier local) |
| Ctrl+Z / Cmd+Z | Annuler |
| Ctrl+Y ou Ctrl+Maj+Z | Rétablir |
| Tab | Passer au champ suivant dans un tableau |
| Échap | Fermer le panneau d'aide ou un sélecteur ouvert |
Bonnes pratiques
- Exporter régulièrement : l'enregistrement local est automatique, mais exportez vos analyses importantes en JSON (catalogue → Exporter ou Fichier → Enregistrer sous) pour disposer de copies hors navigateur
- Utiliser les snapshots : créez un snapshot avant chaque session de travail ou modification importante
- Suivre l'ordre des ateliers : les données des ateliers suivants dépendent des précédents (VM → BS → ER → SR/OV → PP → SS → SOP → Mesures)
- Vérifier la synthèse : la page Synthèse donne une vue globale — les indicateurs et matrices se mettent à jour automatiquement
- Livrables : Export Excel pour le classeur détaillé, Synthèse managériale (PPTX) pour la restitution direction, Export rapport (Word) pour le rapport formel