EBIOS Risk Manager“EBIOS Risk Manager 1 (EBIOS RM) est la méthode d’appréciation et de traitement des risques numériques publiée par l’Agence nationale de la sécurité et des systèmes d’information (ANSSI) avec le soutien du Club EBIOS 2 . Elle propose une boite à outils adaptable, dont l’utilisation varie selon l’objectif du projet et est compatible avec les référentiels normatifs en vigueur, en matière de gestion des risques comme en matière de sécurité du numérique.” - Guide officie... est une méthode de gestion des risques"Possibilité qu’un événement redouté survienne et que ses effets impactent les missions de l’objet de l’étude." - Guide officiel de la méthode EBIOS Risk Manager - formidable et, surtout, très flexible.

Sauf que, quand on débute avec, on a souvent tendance à trop se focaliser sur le déroulé de la méthode ⚠️.

On reste par exemple coincé dans des situations particulières parce que le  guide de la méthode ne dit pas explicitement quoi faire.

Ou iI arrive même d’omettre un risque déjà identifié parce que, soi-disant, il ne rentre pas dans le “moule” de la méthode 😨.

… oubliant l’objectif premier de l’étude, qui est … 

👉 l’Analyse des Risques de Cybersécurité 👈

C’est pourquoi, pour une pratique saine de la méthode, il est important de : 

1. Connaître l’esprit de la méthode et le “pourquoi” de chacune de ses activités;
2. Maintenir le focus sur les attendus de l’étude : 👉 Que dois-je protéger ? Pourquoi ? Contre qui ? et Comment ?
3. Maintenir un recul par rapport à la méthode et faire constamment appel au bon sens.

Ces principes seront traités en détails dans les prochains articles de la série.

Mais pour illustrer la problématique, voici un exemple concret tiré de la pratique :

Je suis dans l’atelier 3 et j’évalue le niveau de menace induit par les parties prenantes au travers des 4 métriques “dépendance”, “pénétration”, “maturité” et “confiance”. 

⚠️ Il arrive que le calcul ne mette pas en avant les parties prenantes que je juge comme les plus critiques (avec du bon sens)

💡 Si mon jugement a des fondements rationnels, je devrais revoir les valeurs renseignées ou adapter la formule de calcul.
Il se pourrait qu’une des métriques soit particulièrement critique (exemple : “pénétration » plus critique que “dépendance” ou l’inverse), auquel cas il conviendrait de l’appuyer dans la formule de calcul.

---

✅ “EBIOS-RM dans la pratique” est une série qui a pour objectif de partager une longue expérience terrain avec la méthode EBIOS (2010 et Risk Manager)

✅ Un résumé de la méthode EBIOS Risk Manager“EBIOS Risk Manager 1 (EBIOS RM) est la méthode d’appréciation et de traitement des risques numériques publiée par l’Agence nationale de la sécurité et des systèmes d’information (ANSSI) avec le soutien du Club EBIOS 2 . Elle propose une boite à outils adaptable, dont l’utilisation varie selon l’objectif du projet et est compatible avec les référentiels normatifs en vigueur, en matière de gestion des risques comme en matière de sécurité du numérique.” - Guide officie... est disponible dans cet article

✅  L’intégralité des articles de la série est disponible par 👉 ici

✅ Si souhaitez vous former à EBIOS RM“EBIOS Risk Manager 1 (EBIOS RM) est la méthode d’appréciation et de traitement des risques numériques publiée par l’Agence nationale de la sécurité et des systèmes d’information (ANSSI) avec le soutien du Club EBIOS 2 . Elle propose une boite à outils adaptable, dont l’utilisation varie selon l’objectif du projet et est compatible avec les référentiels normatifs en vigueur, en matière de gestion des risques comme en matière de sécurité du numérique.” - Guide officie..., nous proposons une formation pour apprendre la méthode par la pratique 👉 Cliquer ici pour en savoir plus