Réussir son analyse EBIOS RM : comment définir des scénarios de risque qui parlent vraiment au métier ?

En tant que consultant ou RSSI, vous avez sans doute déjà vécu ce moment de solitude : présenter les conclusions d’une analyse de risques à un comité de direction et voir les regards se perdre dans le vague. Le jargon technique, les catalogues de menaces abstraites et les matrices complexes ont souvent pour effet de distancer les décideurs, alors que l’objectif est précisément de les embarquer. On nous répète d’appliquer scrupuleusement la méthode EBIOS Risk Manager, de dérouler ses cinq ateliers, mais la réalité du terrain est tenace : un rapport techniquement parfait qui ne parle pas le langage du business finit souvent au fond d’un tiroir.

La frustration est légitime. L’augmentation constante de la pression cyber, avec, selon le panorama ANSSI 2024, +15% d’événements de sécurité traités en 2024 en France, nous oblige à être plus pertinents et plus percutants. Mais si la clé n’était pas dans la complexité de l’analyse, mais dans notre capacité à la raconter ? Et si le rôle du RSSI n’était plus seulement celui d’un expert en sécurité, mais celui d’un scénariste stratégique, capable de transformer une menace potentielle en un récit d’impacts tangibles pour l’entreprise ?

Cet article n’est pas un énième guide sur la méthode EBIOS RM. C’est un retour d’expérience de praticien, destiné à vous donner les clés pour animer vos ateliers différemment. Nous allons explorer comment passer d’une posture de gestionnaire de menaces à celle de facilitateur d’un dialogue stratégique, en construisant des scénarios de risque qui, enfin, résonnent avec les enjeux du métier.

Ce guide est structuré pour vous accompagner pas à pas dans cette transformation, depuis l’identification des véritables enjeux de l’entreprise jusqu’à la construction d’un plan de remédiation qui suscite l’adhésion.

Pourquoi identifier les « bijoux de la couronne » est la première étape non négociable ?

Trop d’analyses de risques commencent par un inventaire technique des actifs : serveurs, applications, bases de données. C’est une erreur. Avant de parler technologie, il faut parler métier. Les « bijoux de la couronne » ne sont pas des serveurs, ce sont les processus qui génèrent de la valeur, qui assurent la continuité de l’activité ou qui incarnent la mission de l’organisation. L’atelier 1 d’EBIOS RM doit être un « atelier-dialogue » pour identifier ce qui compte vraiment pour l’entreprise. Posez la question : « Si nous devions tout arrêter sauf trois activités, lesquelles seraient-ce ? »

Pour une entreprise industrielle, ce sera peut-être la chaîne de production. Pour un e-commerçant, le tunnel de commande. Dans le cas d’une collectivité territoriale, par exemple, les bijoux de la couronne ne sont pas les serveurs de la DSI, mais la capacité à gérer le cadastre, à instruire les permis de construire ou à protéger les données personnelles des citoyens. L’analyse de risques doit partir de là, des « événements redoutés » qui impacteraient ces missions fondamentales, comme l’impossibilité de percevoir les impôts locaux ou une fuite des données de l’état civil.

Pour animer cet atelier de priorisation, une méthode efficace est celle du « Tournoi des Actifs ». Elle consiste à :

1. Recenser les missions et valeurs métier essentielles de l’entité étudiée.
2. Identifier pour chaque mission les événements redoutés (ex: « impossibilité de facturer nos clients pendant 5 jours »).
3. Estimer la gravité des impacts de chaque événement redouté selon une échelle métier (perte de CA, impact image, etc.).
4. Confronter ces missions au socle de sécurité existant pour une première évaluation de la vulnérabilité.
5. Prioriser les missions qui présentent le couple gravité/vulnérabilité le plus élevé. Ce sont vos bijoux de la couronne.

Cette approche a le mérite de focaliser immédiatement l’analyse sur ce qui a de la valeur aux yeux des directions métier, et non sur un inventaire technique exhaustif mais déconnecté des réalités.

Comment décrire les conséquences métier d’une attaque sans utiliser de jargon technique ?

Une fois les bijoux de la couronne identifiés, l’étape suivante consiste à scénariser ce qui pourrait leur arriver. C’est ici que l’art de la « traduction cyber-métier » prend tout son sens. Personne au CODIR ne s’émeut d’une « attaque par déni de service distribué (DDoS) ». En revanche, tout le monde comprend une « indisponibilité totale du site e-commerce pendant les soldes, représentant une perte de 200 000 € par heure ». Votre rôle de facilitateur est de systématiquement traduire la menace technique en conséquences opérationnelles, financières, légales et réputationnelles.

Pour y parvenir, il faut construire des ponts sémantiques clairs entre le monde de la cyber et celui du business. Le tableau suivant, basé sur des données réelles, est un outil puissant à utiliser en atelier pour illustrer concrètement les impacts. Il est essentiel de s’appuyer sur des chiffres concrets, comme le montre le bilan des cyberattaques en France pour 2024.

L’impact ne se limite jamais à un seul axe. Une attaque réussie est un séisme dont les répliques se font sentir sur tous les plans : financier, légal, opérationnel, humain et réputationnel. Visualiser cette interconnexion est fondamental pour une prise de conscience complète.

Cette approche à 360 degrés permet de sortir d’une vision purement financière du risque. La perte de confiance des clients, la démotivation des équipes ou les sanctions réglementaires peuvent avoir des conséquences bien plus durables et dévastatrices qu’une simple perte de chiffre d’affaires à court terme.

Attaquant étatique ou script kiddie : comment adapter la vraisemblance du scénario à votre réalité ?

Un bon scénario de risque n’est pas seulement impactant, il est aussi vraisemblable. L’erreur commune est de se concentrer sur des menaces spectaculaires mais peu probables, comme l’espionnage par un acteur étatique, alors que le risque le plus pressant vient peut-être d’un ancien employé mécontent ou d’un simple hameçonnage. L’atelier 2 d’EBIOS RM, centré sur les sources de risque (SR) et les objectifs visés (OV), doit servir à contextualiser la menace.

Plutôt que de partir d’une liste générique, partez de votre secteur d’activité, de votre positionnement et de vos données. Êtes-vous une PME sous-traitante d’un grand groupe de défense ? La menace étatique devient pertinente. Êtes-vous une clinique régionale ? La cybercriminalité opportuniste (ransomware) et les erreurs humaines sont probablement plus en tête de liste. L’ANSSI estime que les 3 principales menaces identifiées par l’ANSSI sont l’écosystème cybercriminel et les acteurs liés à certains États, mais il faut pondérer cela avec votre propre contexte.

Le but est de définir un ou deux « profils d’attaquant type » réalistes pour votre organisation, en évaluant leur motivation, leurs ressources et leur niveau de détermination.

Cette démarche de personnalisation de la source de risque est cruciale. Elle évite de gaspiller des ressources à se protéger contre des fantômes et permet de concentrer les efforts de sécurité là où la menace est la plus tangible et la plus probable pour votre organisation spécifique.

L’erreur de laisser le vote à main levée décider de la gravité d’un impact financier

L’un des moments les plus critiques d’un atelier de risques est l’évaluation de la gravité. La méthode la plus répandue, mais aussi la plus dangereuse, est le « vote à main levée » ou le consensus mou autour d’une table. Cette approche est sujette à tous les biais cognitifs : l’influence de la personne la plus gradée, la peur de paraître alarmiste, ou au contraire, la dramatisation excessive. Or, une évaluation de risque qui n’est pas basée sur des critères objectifs est une analyse sans valeur. En France, 81% des attaques ayant eu un impact direct sur l’activité des ETI, l’enjeu est trop important pour être laissé à la subjectivité.

Pour objectiver la discussion, il faut remplacer les opinions par des faits. La méthode FAIR (Factor Analysis of Information Risk), bien que complexe dans son intégralité, offre une approche simplifiée très puissante. Elle consiste à décomposer l’impact financier en posant des questions concrètes aux responsables métier. L’objectif n’est pas d’obtenir un chiffre exact, mais une fourchette crédible (minimale, maximale, la plus probable) basée sur des données tangibles.

Votre rôle de facilitateur est de guider cette quantification en utilisant une checklist de questions précises. C’est le passage d’une évaluation qualitative (« c’est grave ») à une estimation quantitative (« on parle d’un impact entre 500k€ et 1.5M€ »).

En posant ces questions, vous forcez vos interlocuteurs à se baser sur des contrats, des bilans comptables et des plans opérationnels. L’évaluation de la gravité devient un exercice de due diligence, et non plus un sondage d’opinion.

Refus, transfert ou atténuation : comment choisir la bonne stratégie pour chaque risque résiduel ?

Après avoir identifié les scénarios, estimé leur vraisemblance et leur gravité, il reste la question la plus importante : qu’est-ce qu’on en fait ? La finalité d’EBIOS RM est d’aboutir à un plan de traitement des risques. Toutes les mesures de sécurité ne se valent pas et n’ont pas le même objectif. L’atelier 5 doit permettre de choisir, pour chaque risque jugé inacceptable, la stratégie de traitement la plus pertinente parmi trois grandes options.

Ces stratégies sont :

• L’atténuation (ou réduction) : C’est la stratégie la plus courante. Elle consiste à mettre en place des mesures de sécurité (techniques, organisationnelles, humaines) pour réduire soit la vraisemblance du scénario, soit son impact. Exemple : installer un EDR pour réduire la probabilité qu’un malware s’exécute.
• Le transfert : Cette stratégie consiste à déplacer tout ou partie de l’impact financier du risque vers un tiers. L’exemple le plus classique est la souscription d’une assurance cyber, qui ne réduit pas la probabilité de l’attaque mais couvre les frais en cas d’incident.
• Le refus (ou l’acceptation) : Pour les risques dont la gravité et/ou la vraisemblance sont très faibles (en dessous d’un seuil d’acceptation défini par l’entreprise), ou dont le coût de traitement serait démesurément élevé par rapport à l’enjeu, l’entreprise peut décider en toute conscience de ne rien faire et d’accepter le risque résiduel.

Le choix de la stratégie dépend entièrement du contexte et de l’appétence au risque de l’entreprise. Il n’y a pas de bonne ou de mauvaise réponse, seulement une décision stratégique à documenter.

Dans certains cas, une première passe de mesures peut déjà faire changer un risque de catégorie. Par exemple, lors d’une analyse pour une collectivité, le simple fait d’imposer de nouvelles exigences de sécurité à un fournisseur informatique a permis de réduire son niveau de menace perçu. Ce traitement préliminaire a déplacé le risque associé de la « zone de danger » à une « zone de contrôle », rendant son acceptation possible.

Alignement business : comment intégrer le risque cyber dans la stratégie globale de gestion des risques de l’entreprise ?

Une analyse EBIOS RM, aussi bien menée soit-elle, n’atteint son plein potentiel que si elle sort du silo de la DSI pour s’intégrer dans la gouvernance globale de l’entreprise. Le risque cyber n’est pas un risque à part ; c’est une composante du risque opérationnel, financier et stratégique. Le plus grand succès d’un RSSI est lorsque le risque de ransomware est discuté au même titre que le risque de change ou le risque de rupture d’approvisionnement. Comme le souligne l’ANSSI dans son guide officiel :

L’objectif est de permettre aux dirigeants d’appréhender correctement ces risques, au même titre que d’autres de nature stratégique, financière, juridique, d’image, de ressources humaines.

– ANSSI, Guide officiel EBIOS Risk Manager

Pour réussir cet alignement, l’analyse ponctuelle ne suffit pas. Il faut industrialiser la démarche et l’ancrer dans les processus de décision de l’entreprise. Cela passe par plusieurs étapes concrètes :

• Établir une taxonomie des risques : Définir quand une analyse EBIOS RM est requise (nouveau projet majeur, ouverture d’une filiale, externalisation critique…).
• Documenter la méthode : Créer des guides internes et des modèles pour que les analyses soient menées de manière homogène dans toute l’organisation.
• Former des facilitateurs : Identifier et former des relais dans les équipes métier ou IT pour qu’ils puissent animer des ateliers sur des périmètres plus restreints.
• Créer un score de risque agrégé : Développer un indicateur synthétique (un score ou un code couleur) qui peut être présenté simplement au conseil d’administration pour suivre l’évolution de l’exposition au risque cyber.
• Intégrer les conclusions aux rapports officiels : Pour les sociétés concernées, s’assurer que les risques cyber majeurs identifiés sont bien retranscrits dans le Document d’Enregistrement Universel.

Cette intégration transforme la gestion du risque cyber d’une activité de conformité subie à un véritable outil de pilotage stratégique, éclairant les décisions d’investissement et de développement de l’entreprise.

Comment garantir la survie de l’entreprise si le système d’information est hors service pendant 72h ?

Le scénario ultime, celui de la paralysie totale. Les écrans sont noirs, les téléphones sont muets, la production est à l’arrêt. Ce n’est plus une fiction. L’objectif d’un Plan de Continuité d’Activité (PCA) et d’un Plan de Reprise d’Activité (PRA) n’est pas d’empêcher ce scénario, mais d’y survivre. L’analyse de risques EBIOS RM est l’outil parfait pour identifier les processus critiques à secourir en priorité et définir les objectifs de temps de reprise (RTO) et de perte de données maximale admissible (RPO).

La distinction est simple :

• Le PCA définit les procédures dégradées pour que l’entreprise continue de fonctionner *sans* informatique. Qui prend les commandes par téléphone ? Comment facture-t-on sur papier ? Quelles sont les tâches vitales à maintenir manuellement ?
• Le PRA définit la stratégie technique pour reconstruire et redémarrer le système d’information le plus vite possible. Quelles sauvegardes restaurer ? Dans quel ordre ? Sur quelle infrastructure (site de secours, cloud) ?

La préparation est la seule réponse viable face à un incident majeur. L’exemple de la gestion des cybermenaces lors des JO de Paris 2024 est à ce titre éclairant. Face à un volume d’attaques sans précédent, avec 141 événements de sécurité signalés, aucune n’a réussi à perturber le déroulement des épreuves. Ce succès n’est pas dû à une technologie miracle, mais à une mobilisation et une préparation exceptionnelles de tout l’écosystème, piloté par l’ANSSI. Cela démontre qu’un plan de crise structuré, testé et maîtrisé est l’assurance-vie la plus efficace.

L’analyse EBIOS RM nourrit directement ce plan en répondant à la question : « Pour nos bijoux de la couronne, quel est le délai maximal d’indisponibilité que nous pouvons tolérer avant une faillite ou un impact irréversible ? ». La réponse à cette question dictera l’ambition, et donc le coût, de votre stratégie de continuité et de reprise.

Transformer un rapport d’audit accablant en plan de remédiation réalisable sur 12 mois

L’analyse EBIOS RM est terminée. Le rapport est là, souvent dense, parfois accablant. Le risque le plus grand à ce stade n’est plus une cyberattaque, mais l’inertie. Face à une montagne de recommandations, le découragement peut vite s’installer. Le rôle du RSSI est alors de se muer en chef de projet, en transformant cette liste de vulnérabilités en un plan de remédiation réalisable, financé et suivi. La clé du succès : la priorisation et la communication.

Toutes les mesures ne se valent pas. Une matrice effort/impact est l’outil le plus efficace pour définir les priorités. Elle permet de classer les actions en quatre catégories pour construire une feuille de route sur 12 à 24 mois. Cette approche permet d’obtenir des victoires rapides (« Quick Wins ») qui démontrent l’efficacité de la démarche et maintiennent le sponsorship de la direction, tout en engageant les chantiers de fond.

Un plan technique solide ne suffit pas. Il faut le « vendre » et le faire vivre. La communication autour du plan de remédiation est aussi importante que le plan lui-même. Il s’agit de maintenir la dynamique et de rendre visible les progrès réalisés.

• Créez un reporting mensuel visuel et simple (un thermomètre d’avancement, des codes couleurs) pour le COMEX.
• Regroupez les vulnérabilités techniques en « chantiers » orientés métier (ex: « Projet de sécurisation de la facturation en ligne »).
• Documentez et célébrez les « quick wins » pour créer un cercle vertueux et prouver le retour sur investissement.
• Établissez des points de réévaluation trimestriels pour ajuster les priorités en fonction de l’évolution des menaces et des succès obtenus.

En adoptant cette double approche de priorisation rigoureuse et de communication proactive, vous transformez un audit potentiellement paralysant en un moteur de transformation positive pour la sécurité de l’entreprise.

Pour transformer ces principes en actions concrètes et adaptées à votre contexte, l’étape suivante consiste à lancer votre premier « atelier-dialogue » avec une direction métier pilote pour co-construire un scénario de risque qui parle vraiment son langage.