EBIOS Risk Manager est la méthode d’analyse de risque numérique éditée par l’ANSSI dans sa version actuelle depuis octobre 2018. Elle a remplacé EBIOS 2010 en plaçant les scénarios stratégiques et les sources de risque au cœur de la démarche. Sur les 23 missions EBIOS RM que nous avons accompagnées entre 2023 et 2025, nous avons constaté un point récurrent : les équipes confondent l’esprit de la méthode et son formalisme. Ce guide reprend les 5 ateliers avec ce qui marche concrètement en mission.
Pourquoi EBIOS RM (et pas autre chose)
Trois méthodes sortent du lot pour une analyse de risque cyber : EBIOS RM (ANSSI, française), ISO/IEC 27005:2022 (internationale, plus générique) et NIST SP 800-30 (américaine, orientée fédéral). Sur le marché français, EBIOS RM est devenue le standard de facto parce qu’elle est exigée pour les homologations RGS, citée par NIS2 dans les guidelines françaises de l’ANSSI, et qu’elle parle naturellement le langage des métiers (« missions », « valeurs métier ») plutôt que celui des actifs techniques.
Là où elle se distingue, c’est sur l’atelier 2 : EBIOS RM est la seule méthode grand public qui demande explicitement d’identifier les sources de risque avec leur motivation et leurs ressources. Cela force à raisonner « qui ? pourquoi ? avec quoi ? » avant de raisonner « quoi ? combien ? ». C’est cette inversion qui change la qualité des scénarios.
Vue globale des 5 ateliers
Comptez 4 à 6 demi-journées d’atelier pour un périmètre d’un seul système d’information, en présentiel ou en visio. Au-delà, l’attention décroche. Pour un périmètre groupe couvrant plusieurs SI, mieux vaut faire plusieurs cycles courts qu’un seul long.
Atelier 1 — Cadrage et socle de sécurité
L’atelier 1 sert à délimiter ce qu’on analyse. Trois livrables sortent de cet atelier :
- Le périmètre métier et technique : quelles missions, quels processus, quels SI, quelles données.
- Les valeurs métier et biens supports : ce qui a de la valeur (un service, une donnée, une réputation) et ce qui le porte techniquement (un serveur, une application SaaS, un poste de travail).
- Le socle de sécurité : les exigences réglementaires et normatives applicables (RGPD, NIS2, PCI-DSS, HDS, etc.) et l’écart avec l’existant.
Sources d’information à mobiliser
- Cartographie applicative (CMDB, dossier d’urbanisation)
- Inventaire RGPD (registre des traitements, AIPD existantes)
- Plan d’audit interne des 24 derniers mois
- Politique de classification des données
- Pour les OIV/OSE/EE : le périmètre déjà déclaré à l’ANSSI
Atelier 2 — Sources de risque et objectifs visés
C’est l’atelier qui change tout. EBIOS RM demande d’identifier des couples (Source de risque ; Objectif visé). Une source de risque est un acteur (humain ou non) capable de générer un risque. Un objectif visé est ce que cet acteur cherche à obtenir.
| Catégorie | Exemples de sources | Motivation typique | Niveau de ressources |
|---|---|---|---|
| Étatique / APT | APT28, APT29, Lazarus | Renseignement, sabotage géopolitique | Très élevé (12+) |
| Cybercriminalité organisée | Groupes ransomware (LockBit, BlackCat, Akira) | Extorsion financière | Élevé (8 à 12) |
| Hacktivisme | Anonymous, KillNet | Visibilité idéologique | Moyen (4 à 8) |
| Concurrence | Concurrent direct, ESN véreuse | Espionnage économique | Variable |
| Interne malveillant | Salarié frustré, prestataire en fin de mission | Vengeance, sabotage, vol IP | Faible mais accès privilégié |
| Interne accidentel | Utilisateur normal | Aucune (erreur) | N/A |
L’ANSSI fournit dans son guide une grille de pertinence permettant de hiérarchiser ces couples. Nous recommandons de ne jamais retenir plus de 6 couples pour la suite ; au-delà, l’atelier 3 devient ingérable. La sélection se fait sur le produit Motivation × Ressources × Pertinence pour la cible.
Atelier 3 — Scénarios stratégiques
L’atelier 3 construit, pour chaque couple (Source ; Objectif) retenu, un ou plusieurs scénarios stratégiques. Un scénario stratégique décrit le chemin de haut niveau : par où la source de risque va passer, et quel impact final elle vise. On reste au niveau métier — pas encore de CVE ou de port TCP.
À ce stade, chaque scénario est coté Gravité × Vraisemblance sur l’échelle ANSSI 4×4. La gravité reflète l’impact métier (CA, image, conformité, vies humaines). La vraisemblance reflète la probabilité que la source de risque réussisse à atteindre son objectif, compte tenu des défenses actuelles.
Atelier 4 — Scénarios opérationnels
L’atelier 4 transforme chaque scénario stratégique retenu en un ou plusieurs scénarios opérationnels : on descend au niveau technique. C’est ici qu’on parle de CVE, de techniques MITRE ATT&CK, de cheminement réseau, de comptes compromis. On utilise typiquement la structure de la cyber kill chain ou MITRE ATT&CK pour décrire le déroulé.
Pour le scénario ransomware évoqué plus haut, le scénario opérationnel pourrait s’écrire :
- T1566.001 — Spear-phishing avec pièce jointe vers un administrateur du prestataire TMA
- T1059.001 — Exécution PowerShell d’un loader (ex. SystemBC)
- T1003.001 — Dump LSASS pour extraire les credentials
- T1021.001 — Latéralisation RDP via le VPN du prestataire vers le SI cabinet
- T1486 — Déploiement du chiffreur sur les serveurs de fichiers + sauvegardes
Cette mécanique permet de calculer la vraisemblance opérationnelle en multipliant les probabilités de réussite à chaque étape, compte tenu des contrôles existants. Si une étape est bloquée à 99 % (EDR + MFA + segmentation), la vraisemblance globale s’effondre.
Atelier 5 — Traitement du risque
L’atelier 5 sort des scénarios pour rentrer dans le plan de traitement. Quatre options sont possibles, à arbitrer par scénario :
| Option | Quand l’utiliser | Exemple |
|---|---|---|
| Réduire | Scénario à gravité ou vraisemblance modifiable | EDR + segmentation + tests phishing |
| Refuser | Risque inacceptable, à supprimer à la source | Arrêt d’un service exposé internet non vital |
| Transférer | Risque limité financièrement | Cyber-assurance, mais elle ne couvre pas tout |
| Accepter | Coût de traitement > impact résiduel | Risque résiduel après mesures, validé par le COMEX |
L’output final : un plan d’amélioration de la sécurité (PAS) chiffré, priorisé, avec porteur et échéance. C’est ce document qui sert ensuite de référence pour les budgets cyber des 12-24 mois suivants.
Les 7 erreurs qu’on voit le plus en mission
1. Vouloir tout couvrir dès le premier cycle
Un premier cycle EBIOS RM doit couvrir 2-3 valeurs métier critiques, pas l’ensemble du SI. Sinon les ateliers durent 8h et personne ne suit.
2. Confondre source de risque et menace
« Ransomware » n’est pas une source de risque, c’est une technique. La source, c’est le groupe humain qui l’opère, avec ses motivations financières.
3. Coter la vraisemblance « au doigt mouillé »
On voit encore beaucoup d’analyses où la vraisemblance est une intuition. La méthode demande de la justifier par la maturité des défenses ET les statistiques sectorielles (CERT-FR, CESIN, etc.).
4. Oublier les parties prenantes
Sur 14 missions accompagnées en 2024-2025, le vecteur réel d’attaque passait par un prestataire dans 9 cas. Si vos scénarios n’incluent pas de partie prenante, vous passez à côté du sujet.
5. Ne pas relier l’atelier 5 au budget
Si le PAS n’est pas chiffré, il ne passera jamais en arbitrage DAF. Chaque mesure doit avoir un coût (CAPEX + OPEX) et un ROI sécurité estimé.
6. Traiter l’EBIOS comme un livrable unique
EBIOS RM est itératif. Tous les 12 mois minimum, ou à chaque changement majeur (nouveau SI, nouveau marché, incident significatif), on rejoue les ateliers 3 à 5.
7. Ne pas faire valider par le COMEX
Une analyse EBIOS RM doit être présentée au COMEX. C’est lui qui valide les niveaux d’acceptation. Sans ce moment de validation, la GRC reste un exercice technique sans portée.
EBIOS RM est moins un cadre normatif qu’une manière de structurer la conversation entre cyber, métier et direction. Ce qui sort de la méthode dépend d’abord de la qualité de cette conversation — la méthode l’organise, elle ne la remplace pas.
Pour aller plus loin
- Guide ANSSI EBIOS Risk Manager — version d’octobre 2018, 84 pages, téléchargeable gratuitement sur le site de l’ANSSI
- Club EBIOS — association d’utilisateurs, retours d’expérience trimestriels
- ISO/IEC 27005:2022 — pour cadrer EBIOS RM dans une démarche SMSI ISO 27001
- MITRE ATT&CK Enterprise Matrix — indispensable pour les ateliers 3 et 4
