Chargement en cours
Initialisation de la plateforme sécurisée
Sentinel-GRC • ISO 27001/27005
Analyse de risques

EBIOS Risk Manager et ISO 27005 : l’analyse de risques cyber outillée

L’analyse de risques est le point de départ de toute démarche de conformité : ISO 27001 l’exige, NIS 2 en fait la première mesure de son article 21, DORA la place au cœur du cadre de gestion des risques TIC. Sentinel-GRC outille les deux approches de référence en France : la norme ISO/IEC 27005 et la méthode EBIOS Risk Manager de l’ANSSI.

Essayer gratuitementParler à un expert

Mis à jour le · Cyber Threat Consulting

ateliers EBIOS RM guidés
5
registre et plans de traitement
ISO/IEC 27005
pour les scénarios opérationnels
MITRE ATT&CK
pertes annuelles estimées par Monte-Carlo
FAIR

ISO 27005 : le cadre de gestion des risques

ISO/IEC 27005, dont la version actuelle date de 2022, donne les lignes directrices de la gestion des risques de sécurité de l’information. Elle soutient directement les exigences d’ISO 27001 sur l’appréciation et le traitement des risques, et s’aligne sur ISO 31000.

Le processus suit un cycle continu : établissement du contexte et des critères de risque, identification, analyse et évaluation des risques, choix du traitement (réduire, conserver, éviter ou partager), acceptation du risque résiduel par les propriétaires, puis communication, surveillance et revue. La version 2022 reconnaît deux approches d’identification, par les actifs ou par les événements.

EBIOS Risk Manager : la méthode de l’ANSSI

EBIOS Risk Manager est la méthode d’analyse de risques publiée par l’ANSSI avec le Club EBIOS. Compatible avec ISO 27005 et ISO 31000, elle part des menaces : qui pourrait attaquer, pour quoi faire, et par quels chemins. Elle s’articule en cinq ateliers.

  1. 1Cadrage et socle de sécurité

    Périmètre, valeurs métier, biens supports, événements redoutés et état du socle de sécurité.

  2. 2Sources de risque

    Les sources de risque et leurs objectifs visés, retenus selon leur pertinence.

  3. 3Scénarios stratégiques

    Les chemins d’attaque passant par l’écosystème : partenaires, prestataires, clients.

  4. 4Scénarios opérationnels

    Les modes opératoires techniques, évalués en vraisemblance.

  5. 5Traitement du risque

    La stratégie de traitement, les mesures de sécurité et le suivi du risque résiduel.

ISO 27005 ou EBIOS RM ?

Les deux se complètent plus qu’elles ne s’opposent. ISO 27005 convient au registre courant du SMSI, tenu à jour en continu. EBIOS RM est privilégiée pour les périmètres sensibles, face à des attaquants déterminés, et pour l’homologation de sécurité des systèmes d’information publics. Une pratique courante consiste à conduire EBIOS RM sur les systèmes critiques et à reporter ses scénarios dans le registre ISO 27005.

Chiffrer le risque en euros avec FAIR

Les matrices qualitatives (faible, moyen, élevé) parlent aux équipes sécurité, moins à un comité exécutif. FAIR (Factor Analysis of Information Risk), standard de l’Open Group, décompose le risque en fréquence et en ampleur des pertes. Une simulation de Monte-Carlo en tire une distribution des pertes annuelles, qui permet de comparer le coût d’une mesure à la perte qu’elle évite.

Comment Sentinel-GRC outille vos analyses de risques

Une analyse de risques reliée aux actifs, aux contrôles et aux référentiels, et non un document figé.

  • Registre ISO 27005

    Matrice probabilité × impact, propriétaires, plans de traitement et surveillance continue.

  • EBIOS Risk Manager

    Les cinq ateliers guidés, les sources de risque de l’ANSSI et des scénarios reliés à MITRE ATT&CK.

  • Quantification FAIR

    Pertes annuelles estimées par simulation Monte-Carlo, en tableau de bord COMEX.

  • Bibliothèque de menaces

    Gabarits de scénarios de risque, du référentiel standard à vos propres modèles.

  • Risques vivants

    Une vulnérabilité détectée par l’agent, ou corrigée, met à jour les risques concernés.

  • Homologation

    Dossiers d’homologation ANSSI, décisions et actions correctives.

  • Assistant IA EBIOS

    Un assistant dédié pour accélérer la rédaction des ateliers.

  • Rapports

    Rapports EBIOS et de risques, exports et envois planifiés.

Pour aller plus loin

Questions fréquentes

Quelle différence entre EBIOS RM et ISO 27005 ?

ISO 27005 est une norme internationale qui décrit le processus de gestion des risques sans imposer de méthode. EBIOS Risk Manager est une méthode française de l’ANSSI, compatible avec ISO 27005, qui part des sources de menace et des scénarios d’attaque.

EBIOS Risk Manager est-elle obligatoire ?

Elle n’est pas imposée par la loi de façon générale, mais l’ANSSI la recommande, notamment pour l’homologation de sécurité des systèmes d’information de l’administration et pour les opérateurs les plus sensibles.

À quelle fréquence mettre à jour l’analyse de risques ?

ISO 27001 demande de la réaliser à intervalles planifiés et à chaque changement significatif. EBIOS RM distingue un cycle stratégique, revu sur plusieurs années, et un cycle opérationnel, revu plus souvent. Un registre relié au système d’information se met aussi à jour au fil des vulnérabilités.

Peut-on reprendre une analyse de risques réalisée sous Excel ?

Oui. Les matrices de risques au format CSV ou XLSX s’importent dans Sentinel-GRC et sont rattachées aux actifs et aux contrôles existants.

Textes de référence

Les autres référentiels pilotés par Sentinel-GRC

Testez Sentinel-GRC sur votre périmètre

En SaaS hébergé en France, ou installé chez vous avec la licence Discovery gratuite.

Créer un compteInstaller on-premise