Chapitre 419 minIntermédiaire
EBIOS Risk Manager simplifié : les 5 ateliers
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- dire ce que produit chacun des cinq ateliers d'EBIOS RM ;
- compléter un tableau d'événements redoutés et de sources de risque ;
- calculer le niveau de menace d'une partie prenante ;
- décrire un scénario opérationnel en quatre phases.
5 exercices corrigés2 schémas
EBIOS Risk Manager (EBIOS RM) est la méthode d'analyse des risques cyber publiée par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information. Elle se déroule en cinq ateliers, du cadrage au traitement du risque, et part de deux questions : qu'est-ce que l'organisation veut protéger, et qu'est-ce que les attaquants veulent obtenir ? Ce chapitre présente chaque atelier avec ses mots-clés et l'applique pas à pas à Rhône Analyses, dans une version simplifiée qui correspond à ce qu'on attend d'un technicien supérieur.
EBIOS RM en bref
EBIOS signifie « Expression des besoins et identification des objectifs de sécurité ». La méthode existe depuis les années 1990 ; sa version actuelle, EBIOS Risk Manager, date de 2018, et l'ANSSI en a publié une version 1.5 en 2024 pour l'aligner sur la norme ISO/IEC 27005:2022. Le guide, les fiches méthodes et des supports de formation sont gratuits sur le site de l'ANSSI, cyber.gouv.fr. Des logiciels labellisés par l'ANSSI permettent de mener une étude, mais un tableur suffit pour une petite organisation.
Trois idées distinguent EBIOS RM :
- Partir du métier. L'étude commence par les valeurs métier et les événements redoutés, exprimés avec la direction et les responsables d'activité, pas par la liste des serveurs.
- Penser comme l'attaquant. On identifie qui pourrait attaquer, dans quel but, et par quel chemin, y compris en passant par un prestataire ou un partenaire.
- Combiner conformité et scénarios. Un socle de sécurité (les règles d'hygiène de base) traite les menaces courantes et les accidents ; les scénarios se concentrent sur les attaques ciblées les plus graves.
Atelier 1 : cadrage et socle de sécurité
Le premier atelier fixe le cadre de l'étude et ce qu'il faut protéger.
1. Le cadre. On définit le périmètre (ici : la production et la transmission des résultats), les participants (la directrice biologiste, un responsable qualité, Claire Fabre, Nathan et Inès) et la durée de validité de l'étude.
2. Les valeurs métier et leurs biens supports. On les recense comme au chapitre 1, en indiquant pour chaque valeur métier le responsable côté métier.
3. Les événements redoutés et leur gravité. Pour chaque valeur métier, on formule ce qu'on redoute, le critère DICP touché, les impacts, puis la gravité sur l'échelle choisie (chapitre 3).
| Valeur métier | Événement redouté | Critère | Impacts | Gravité |
|---|---|---|---|---|
| Réaliser les analyses et valider les résultats | ER1. La production des résultats est interrompue plus de 24 heures | D | Patients hospitalisés sans résultats, urgences réorientées, chiffre d'affaires perdu, reconstruction coûteuse | G4 |
| Réaliser les analyses et valider les résultats | ER2. Un résultat validé est modifié | I | Mauvaise décision médicale, mise en cause de la responsabilité du laboratoire | G4 |
| Les dossiers des patients | ER3. Les résultats et dossiers de patients sont divulgués | C | Atteinte à la vie privée, violation de données à notifier, sanction, perte de confiance | G3 |
| Réaliser les analyses et valider les résultats | ER4. On ne peut pas prouver qui a validé un résultat | P | Litige impossible à trancher, non-conformité aux exigences d'accréditation | G2 |
| Transmettre les résultats | ER5. Le portail MonRésultat est indisponible une journée | D | Appels en masse à l'accueil, retard pour quelques patients | G2 |
4. Le socle de sécurité. On liste les référentiels qui s'appliquent et on mesure les écarts : le RGPD et le guide de la CNIL sur la sécurité des données personnelles, le guide d'hygiène informatique de l'ANSSI, la certification HDS (hébergeur de données de santé) exigée de l'hébergeur du portail, les règles internes de la PSSI. Chaque écart (« pas de second facteur sur les accès distants », « sauvegardes non testées ») devient une mesure à planifier, indépendamment des scénarios.
Atelier 2 : sources de risque
Le deuxième atelier identifie qui pourrait attaquer et pour quoi faire. On raisonne en couples source de risque / objectif visé (SR/OV) :
- la source de risque est l'attaquant possible (cybercriminel, salarié malveillant, concurrent, hacktiviste, État) ;
- l'objectif visé est ce qu'il cherche à obtenir (extorquer de l'argent, revendre des données, se venger, espionner, saboter, faire parler de lui).
On évalue chaque couple selon la motivation de la source pour cet objectif, ses ressources (compétences, moyens, temps) et son activité (attaque-t-elle déjà ce secteur ?). On retient les plus pertinents.
| Source de risque | Objectif visé | Motivation | Ressources | Retenu ? |
|---|---|---|---|---|
| Groupe cybercriminel | Extorquer une rançon en bloquant l'activité | Forte : la santé paie souvent vite pour reprendre | Importantes : rançongiciels « clés en main » | Oui |
| Groupe cybercriminel | Revendre des données de santé | Forte : ces données se revendent bien | Importantes | Oui |
| Salarié ou prestataire mécontent | Se venger en sabotant ou en divulguant | Moyenne | Faibles techniquement, mais des accès légitimes | Oui |
| Concurrent | Récupérer les tarifs négociés avec les cliniques | Faible | Moyennes | Non |
| Hacktiviste | Défigurer le portail pour un message politique | Faible | Faibles | Non (traité par le socle) |
Atelier 3 : scénarios stratégiques
Le troisième atelier regarde l'écosystème : les parties prenantes (prestataires, partenaires, clients) par lesquelles un attaquant pourrait passer, parce qu'elles ont un accès au système ou des données. C'est souvent par là qu'arrivent les attaques les plus graves : l'éditeur qui télémaintient un logiciel, l'infogérant qui administre les serveurs.
Pour chaque partie prenante, le guide propose d'évaluer quatre critères : la dépendance de l'organisation envers elle, sa pénétration (ses accès au système), sa maturité cyber et la confiance qu'on peut lui accorder. Il en déduit un niveau de menace :
Niveau de menace = (dépendance × pénétration) / (maturité cyber × confiance)
Plus une partie prenante est indispensable et dispose d'accès étendus, plus elle est dangereuse ; plus elle est mûre en sécurité et digne de confiance, moins elle l'est. Les parties prenantes au-dessus d'un seuil sont dites critiques.
| Partie prenante de Rhône Analyses | Dépendance | Pénétration | Maturité | Confiance | Niveau de menace |
|---|---|---|---|---|---|
| Éditeur du SIL (télémaintenance) | 4 | 4 | 2 | 3 | (4 × 4) / (2 × 3) = 2,7 |
| Hébergeur du portail, certifié HDS | 3 | 2 | 4 | 3 | (3 × 2) / (4 × 3) = 0,5 |
| Prestataire de maintenance des automates | 3 | 3 | 1 | 2 | (3 × 3) / (1 × 2) = 4,5 |
Avec un seuil de 2, l'éditeur du SIL et le prestataire de maintenance des automates sont des parties prenantes critiques ; l'hébergeur, certifié et peu intrusif, ne l'est pas.
On construit ensuite les scénarios stratégiques : le chemin qu'une source de risque peut emprunter pour atteindre son objectif, en passant éventuellement par une partie prenante, jusqu'à une valeur métier, ce qui provoque un événement redouté. La gravité du scénario est celle de l'événement redouté.
L'atelier se termine par des mesures sur l'écosystème : clauses de sécurité dans les contrats, accès de télémaintenance ouverts uniquement à la demande, audit du prestataire, exigence d'un second facteur pour tout accès distant.
Atelier 4 : scénarios opérationnels
Le quatrième atelier descend dans la technique : pour chaque scénario stratégique retenu, on décrit le mode opératoire sur les biens supports, puis on estime sa vraisemblance. L'ANSSI propose de découper l'attaque en quatre phases :
| Phase | Ce que fait l'attaquant | Scénario opérationnel de R1 chez Rhône Analyses |
|---|---|---|
| Connaître | Il se renseigne sur sa cible | Il repère sur les réseaux professionnels les techniciens de l'éditeur du SIL et le nom du logiciel utilisé par le laboratoire |
| Rentrer | Il obtient un premier accès | Il achète des identifiants volés d'un technicien de l'éditeur et se connecte au VPN de télémaintenance, protégé par un simple mot de passe |
| Trouver | Il se déplace et élève ses privilèges | Depuis le serveur du SIL, il récupère un compte administrateur du domaine et cartographie le réseau, qui n'est pas segmenté |
| Exploiter | Il atteint son objectif | Il copie des données, détruit les sauvegardes accessibles, puis chiffre les serveurs et affiche la demande de rançon |
La fiche méthode de l'ANSSI propose trois façons de coter la vraisemblance : la méthode expresse (on cote directement le scénario dans son ensemble), la méthode standard (on cote la probabilité de succès de chaque action élémentaire) et la méthode avancée (on y ajoute la difficulté technique de chaque action). Au BTS, la méthode expresse suffit : on donne un niveau de V1 à V4 et on le justifie par des faits.
Vraisemblance de R1 : V3 (très vraisemblable). Le groupe est motivé et outillé ; des identifiants de prestataires se revendent couramment ; l'accès distant n'exige pas de second facteur ; le réseau plat facilite la propagation. Ce mode opératoire a déjà frappé des établissements de santé.
Atelier 5 : traitement du risque
Le dernier atelier rassemble les scénarios dans une synthèse des risques (la matrice et la liste du chapitre 3), puis décide pour chacun d'une stratégie de traitement : réduire, transférer, éviter ou accepter (chapitre 5).
Les mesures retenues forment le PACS, le plan d'amélioration continue de la sécurité : chaque mesure a un responsable, une échéance, un coût estimé et un indicateur de suivi. On évalue enfin les risques résiduels, que la direction accepte, et on fixe un cadre de suivi : indicateurs, revue des risques, dates de mise à jour de l'étude.
| Mesure du PACS | Risques traités | Responsable | Échéance | Indicateur |
|---|---|---|---|---|
| Second facteur obligatoire et ouverture à la demande de la télémaintenance | R1 | Inès | 1 mois | 100 % des accès distants avec second facteur |
| Sauvegarde déconnectée du SIL, restauration testée chaque trimestre | R1 | Inès | 2 mois | Durée de la dernière restauration testée |
| Segmentation du réseau : automates, serveurs, postes, administration | R1 | Inès et un prestataire | 6 mois | Flux entre zones conformes à la matrice de flux |
| Contrôle d'appartenance du dossier à chaque requête du portail | R2 | Nathan | 2 semaines | Tests automatisés d'accès croisé au vert |
| Clause de sécurité dans le contrat de l'éditeur (second facteur, notification d'incident sous 24 h) | R1, R3 | Claire Fabre | Au renouvellement | Clause signée |
Les cycles stratégique et opérationnel
Une analyse de risques n'est jamais terminée. EBIOS RM distingue deux rythmes de mise à jour :
- le cycle stratégique (ateliers 1 à 3, et la synthèse) se revoit sur plusieurs années, ou quand l'organisation change profondément : nouvelle activité, fusion, nouveau partenaire critique ;
- le cycle opérationnel (atelier 4, et le suivi du plan) se revoit plus souvent, par exemple chaque année, ou quand une nouvelle vulnérabilité, un nouveau mode d'attaque ou un incident le justifie.
Chez Rhône Analyses, l'ouverture du portail aux pharmacies partenaires déclenchera une mise à jour du cycle stratégique : une nouvelle partie prenante, de nouveaux accès, de nouveaux événements redoutés.
Comment EBIOS RM tombe à l'E7
Les sujets ne demandent pas de dérouler la méthode : ils te placent dans un « atelier d'analyse des risques » et te font compléter une étape. Sur la période 2022-2025, en option SLAM :
- le sujet 2022 était construit comme un atelier : besoins de sécurité des cas d'utilisation, puis un tableau des événements redoutés et de leurs impacts (avec une gravité) à compléter, puis un tableau de scénarios de risques pour lesquels il fallait proposer des mesures ; une question demandait aussi ce qui pouvait motiver certains clients à réaliser deux scénarios, ce qui revient à analyser la source de risque et son objectif ;
- le sujet 2023 fournissait une « matrice d'analyse de risques de la méthode EBIOS » avec deux risques placés et demandait de justifier leur gravité ;
- le sujet 2024 a repris la matrice et les scénarios de risques, le sujet 2025 les besoins de sécurité et ce qu'il appelait un « événement redouté », l'attaque par rançongiciel (au sens strict d'EBIOS RM, l'événement redouté serait l'arrêt de l'activité ou la divulgation des données ; l'attaque est le scénario), sans dérouler les ateliers.
Retiens donc surtout les mots (valeur métier, bien support, événement redouté, source de risque, objectif visé, partie prenante, scénario stratégique, scénario opérationnel, PACS, risque résiduel) et la logique d'ensemble.
Exercices
Exercice 1 sur 5 Quel atelier ? Réussi À revoir
Indique dans quel atelier d'EBIOS RM est produit chacun de ces éléments.
- « Groupe cybercriminel / revendre des données de santé ».
- Le niveau de menace de l'infogérant qui administre les serveurs.
- « Le portail est indisponible plus de deux jours », gravité G3.
- Le mode opératoire en quatre phases d'une attaque par hameçonnage.
- La liste des mesures avec leur responsable, leur échéance et leur indicateur.
- Les écarts entre la configuration actuelle et le guide d'hygiène de l'ANSSI.
Voir la réponseMasquer la réponse de l'exercice 1
- Atelier 2 : un couple source de risque / objectif visé.
- Atelier 3 : l'évaluation des parties prenantes de l'écosystème.
- Atelier 1 : un événement redouté et sa gravité.
- Atelier 4 : un scénario opérationnel (connaître, rentrer, trouver, exploiter).
- Atelier 5 : le plan d'amélioration continue de la sécurité (PACS).
- Atelier 1 : le socle de sécurité.
Tu avais trouvé ?
Exercice 2 sur 5 Compléter un tableau d'événements redoutés (SLAM) Réussi À revoir
Une boutique en ligne de pièces de vélo (12 salariés, 80 % du chiffre d'affaires sur le site) mène un atelier d'analyse de risques. Complète l'impact et propose une gravité de G1 à G4 pour chaque événement redouté, en justifiant en une phrase.
- Le site de vente est indisponible pendant trois jours en pleine saison.
- Les adresses et numéros de téléphone des clients sont divulgués.
- Les prix affichés sur le site sont modifiés à l'insu de la boutique.
- Le blog de conseils d'entretien est indisponible une semaine.
Voir la réponseMasquer la réponse de l'exercice 2
Plusieurs gravités sont défendables si la justification tient. Une proposition :
- Impact : trois jours sans ventes en pleine saison, des clients qui achètent chez un concurrent et peuvent ne pas revenir. G3 ou G4 : 80 % du chiffre d'affaires passe par le site ; pour une entreprise de 12 salariés, la perte peut menacer sa trésorerie (G4 si la saison représente l'essentiel de l'année).
- Impact : violation de données personnelles à notifier à la CNIL, risque d'hameçonnage ciblé des clients, perte de confiance. G2 ou G3 : les données ne sont pas sensibles au sens du RGPD et l'activité continue, mais l'image en souffre et une sanction est possible.
- Impact : ventes à perte si les prix baissent, ou commandes annulées et litiges s'ils montent, avec l'obligation de gérer les commandes passées. G3 : préjudice financier direct, potentiellement important avant détection.
- Impact : quelques visites en moins, pas de vente perdue directement. G1 : aucun effet sur l'activité principale.
Tu avais trouvé ?
Exercice 3 sur 5 Sources de risque et objectifs visés Réussi À revoir
Pour une mairie de 15 000 habitants, propose trois couples source de risque / objectif visé pertinents, et un couple que tu ne retiendrais pas, en justifiant.
Voir la réponseMasquer la réponse de l'exercice 3
Exemples de couples retenus :
- Groupe cybercriminel / extorquer une rançon en bloquant les services municipaux : les collectivités sont des cibles fréquentes, souvent moins protégées que les grandes entreprises.
- Hacktiviste / défigurer le site ou bloquer les services pour protester contre une décision municipale : motivation ponctuelle, mais réelle lors d'un projet contesté.
- Agent ou ancien agent mécontent / se venger en supprimant des données ou en divulguant des documents internes : il dispose ou a disposé d'accès légitimes.
Couple non retenu, par exemple : État étranger / espionner les décisions municipales : une mairie de cette taille détient peu d'informations stratégiques pour un État ; la motivation est faible au regard des ressources à engager. Le risque résiduel de ce type de menace est couvert par le socle de sécurité.
Tu avais trouvé ?
Exercice 4 sur 5 Niveau de menace d'une partie prenante Réussi À revoir
Calcule le niveau de menace de chaque partie prenante avec la formule du guide, puis indique lesquelles sont critiques avec un seuil de 2.
| Partie prenante | Dépendance | Pénétration | Maturité cyber | Confiance |
|---|---|---|---|---|
| Infogérant qui administre tous les serveurs | 4 | 4 | 3 | 2 |
| Cabinet comptable qui reçoit un export mensuel | 2 | 1 | 2 | 3 |
| Prestataire de vidéoprotection avec un accès distant aux caméras | 2 | 3 | 1 | 1 |
Voir la réponseMasquer la réponse de l'exercice 4
- Infogérant : (4 × 4) / (3 × 2) = 16 / 6 ≈ 2,7 → critique.
- Cabinet comptable : (2 × 1) / (2 × 3) = 2 / 6 ≈ 0,3 → non critique.
- Prestataire de vidéoprotection : (2 × 3) / (1 × 1) = 6 → critique, et de loin le plus préoccupant : une maturité cyber faible et une confiance faible avec un accès distant au réseau. Une mesure sur l'écosystème s'impose (accès à la demande, cloisonnement des caméras dans un VLAN dédié, clause contractuelle).
Tu avais trouvé ?
Exercice 5 sur 5 Décrire un scénario opérationnel (SISR) Réussi À revoir
Un groupe cybercriminel vise une PME industrielle pour obtenir une rançon. La PME expose un serveur de bureau à distance (RDP) directement sur Internet ; les mots de passe des comptes ne sont pas soumis à une politique de complexité ; les postes et les serveurs sont sur le même réseau ; les sauvegardes sont sur un NAS du même réseau. Décris le mode opératoire en quatre phases, puis propose une vraisemblance justifiée.
Voir la réponseMasquer la réponse de l'exercice 5
- Connaître : l'attaquant balaie Internet à la recherche de services RDP ouverts (port 3389) et trouve celui de la PME.
- Rentrer : il tente des milliers de mots de passe courants sur les comptes (attaque par force brute ou par pulvérisation de mots de passe) et finit par se connecter avec un compte au mot de passe faible.
- Trouver : depuis le serveur, il récupère des identifiants d'administrateur et parcourt le réseau plat, où il trouve les serveurs et le NAS des sauvegardes.
- Exploiter : il supprime ou chiffre les sauvegardes, puis chiffre les serveurs et les postes, et demande une rançon.
Vraisemblance : V4 (quasi certain) ou V3 (très vraisemblable). Un service RDP exposé sur Internet est balayé en permanence par des outils automatiques ; sans politique de mot de passe ni second facteur, la force brute aboutit tôt ou tard ; aucune segmentation ne freine la propagation. Les mesures évidentes : fermer le RDP sur Internet (accès via un VPN avec second facteur), politique de mots de passe, segmentation, sauvegardes déconnectées.
Tu avais trouvé ?