L’atelier 3 d’EBIOS RM est celui où l’analyse de risque devient lisible pour la direction générale — ou s’effondre en chaos méthodologique. Sur les 17 ateliers 3 que nous avons animés depuis 2023, le même constat : c’est ici que se joue la crédibilité de toute la démarche. Cet article reprend la mécanique exacte, avec des exemples concrets de scénarios stratégiques qui « tiennent ».
Ce qu’on cherche vraiment à produire
L’objectif officiel de l’atelier 3, selon le guide ANSSI : « construire les scénarios stratégiques permettant d’envisager comment une source de risque pourrait atteindre son objectif visé en s’appuyant sur des parties prenantes du système d’information ».
Concrètement, c’est l’atelier qui produit le narratif que vous présenterez au COMEX. Trois propriétés doivent être au rendez-vous :
- Lisible par un dirigeant non-tech en moins de 90 secondes par scénario
- Justifiable face à un commissaire aux comptes, un auditeur ISO ou un magistrat instructeur post-incident
- Actionnable : on doit pouvoir décliner chaque scénario en mesures concrètes à l’atelier 5
Anatomie d’un bon scénario stratégique
La méthode de construction (5 étapes)
Voici le déroulé qu’on suit en mission pour produire des scénarios qui passent l’épreuve du COMEX :
- Reprendre les couples (Source ; Objectif) de l’atelier 2. Limiter à 4-6 couples maximum.
- Pour chaque couple, identifier toutes les parties prenantes qui ont un accès logique ou physique à une valeur métier. Cartographier les relations sur un graphe.
- Construire le chemin le plus court entre la source et son objectif via une ou deux parties prenantes maximum.
- Décrire l’impact métier en termes mesurables : € de CA, jours d’arrêt, nombre de personnes touchées, sanctions probables.
- Coter G et V avec justification écrite (pas une simple note).
Coter la gravité et la vraisemblance sans bidonner
Échelle de gravité (ANSSI 4 niveaux)
| Niveau | Label | Indicateurs concrets |
|---|---|---|
| G1 | Mineur | Gêne ponctuelle, < 1 % du CA annuel, pas de notification réglementaire |
| G2 | Significatif | 1-5 % du CA, communication interne nécessaire, conformité partielle |
| G3 | Grave | 5-15 % du CA, notification CNIL/ANSSI, presse locale |
| G4 | Critique | > 15 % du CA, presse nationale, sanction administrative ou pénale, perte de marché |
Échelle de vraisemblance
| Niveau | Label | Indicateurs concrets |
|---|---|---|
| V1 | Minime | Scénario théorique, source faiblement motivée, défenses solides |
| V2 | Significative | Documenté chez des pairs, défenses moyennes |
| V3 | Forte | Tentatives déjà observées chez nous ou dans notre secteur, défenses partielles |
| V4 | Maximale | Incident probable dans les 12 mois, défenses absentes ou contournables |
3 exemples opérationnels détaillés
Exemple 1 — ETI industrielle, secteur défense
Scénario : Un service de renseignement étranger compromet un sous-traitant de niveau 2 (PME mécanique de précision) pour exfiltrer les plans CAO du composant critique XR-44, livré au programme SCAF.
- Source : APT étatique (Chine ou Russie selon contexte géopolitique)
- Objectif visé : Renseignement industriel — accélération de leur programme défense équivalent
- Partie prenante : Sous-traitant niveau 2 (35 salariés, pas d’EDR, accès VPN au PLM)
- Valeur métier : Données CAO classifiées DR (Diffusion Restreinte)
- Impact : Perte de l’appel d’offres Tranche 2, débauchage d’ingénieurs, sanction DGA
- Cotation : G4 × V3 = risque critique, action prioritaire
Exemple 2 — Établissement de santé public
Scénario : Un groupe cybercriminel chiffre le SI hospitalier via une faille sur le portail patient, forçant le déroutement des urgences vers les CHU voisins pendant 9 jours.
- Source : Cybercriminalité (Vice Society, BlackCat-style)
- Objectif visé : Extorsion financière (ransom 2-4 M€)
- Partie prenante : Éditeur du portail patient (CVE non corrigée pendant 6 mois)
- Valeur métier : SIH (Système d’Information Hospitalier) et DPI
- Impact : Déroutement urgences, surmortalité estimée, sanction ARS, plainte ordre des médecins
- Cotation : G4 × V4 = risque maximal absolu
Exemple 3 — SaaS B2B en hyper-croissance
Scénario : Un ancien développeur licencié 3 mois plus tôt utilise une clé API non révoquée pour extraire la base clients et la revendre sur un forum darkweb.
- Source : Interne malveillant (rancune)
- Objectif visé : Préjudice financier + revente données
- Partie prenante : Aucune (accès direct)
- Valeur métier : Base clients B2B (12 000 entreprises, 380 000 contacts)
- Impact : Notification CNIL massive, perte de confiance, churn 15 % minimum
- Cotation : G3 × V3 = risque élevé
Anti-patterns à éviter
| Anti-pattern | Pourquoi c’est mauvais | Reformulation correcte |
|---|---|---|
| « Un attaquant utilise un ransomware » | Trop générique, pas de source identifiée | « Le groupe affilié BlackCat exploite une faille MOVEit dans la TMA de notre prestataire X » |
| « Risque de fuite de données » | Pas de scénario, c’est une conséquence | « APT28 exfiltre la base RH via compromission Active Directory » |
| « Impact : image dégradée » | Trop vague, non chiffrable | « Couverture presse 48h, churn estimé 8 %, perte 4 marchés en cours » |
| « Vraisemblance : moyenne » | Pas de justification | « V3 : 4 incidents documentés dans le secteur en 2024 (CERT-FR), MFA absent sur 22 % des comptes » |
Un scénario stratégique qui ne désigne ni source nommée, ni partie prenante précise, ni impact chiffré n’est pas un scénario EBIOS RM. C’est un risque générique de gestionnaire de risque, et ça ne sert pas l’arbitrage budgétaire.
Ce qu’on retient
Un atelier 3 réussi tient en une demi-journée, produit 4 à 8 scénarios cotés, et permet de présenter au COMEX une image claire de la menace dans les 30 jours qui suivent. Au-delà, on a soit trop voulu en faire, soit pas assez préparé l’atelier 2. Dans tous les cas, on rejouera mieux au cycle suivant.
