EBIOS RM et IA : ce qui change vraiment
La méthode EBIOS RM de l'ANSSI est la référence française pour l'analyse de risque cybersécurité. Sa mise en œuvre prend du temps : rassembler la documentation, animer cinq ateliers, rédiger les livrables. L'intelligence artificielle ne change pas la méthode. Elle réduit le temps passé à collecter et à rédiger, pour que les ateliers servent à décider. C'est l'approche de Vailor : l'IA propose, vos experts décident.
Ateliers 1 et 2 : cadrage et sources de risque assistés par IA
Les premiers ateliers EBIOS RM fixent le périmètre et identifient les sources de risque. L'IA de Vailor lit les documents de projet que vous chargez (dossiers d'architecture, cartographies, spécifications) et préremplit valeurs métier et biens supports à partir d'extraits cités. Sans documents, Vailor organise la collecte auprès des équipes métier avec des questions simples. Les sources de risque proposées tiennent compte de votre contexte, et vos experts retiennent ou écartent chacune.
Ateliers 3 et 4 : scénarios stratégiques et opérationnels proposés par l'IA
Les ateliers de scénarios sont les plus longs d'une analyse EBIOS RM. L'IA de Vailor propose des scénarios stratégiques à partir des couples source de risque et objectif visé retenus, puis des chemins d'attaque pour les scénarios opérationnels, en s'appuyant sur ce que vos documents disent de l'architecture et de l'écosystème. Ces propositions sont un point de départ : vos architectes les corrigent et les complètent en atelier.
Atelier 5 : traitement du risque assisté par IA
Le dernier atelier définit la stratégie de traitement. Vailor relie le registre des risques aux mesures du plan d'action. Chaque mesure porte un effort en jours-homme et un coût, préremplis par l'IA et validés par vos équipes, ainsi qu'une priorité de P1 à P4. Les livrables s'exportent en PDF, Word et PowerPoint, avec une synthèse décideur pour la direction. Chaque décision est tracée dans un journal d'audit dont aucune fonction de l'application ne permet d'effacer une ligne.
Les erreurs qui font dérailler une analyse EBIOS RM assistée par IA
La première erreur est un périmètre trop large : vouloir couvrir tout le système d'information en une seule étude produit des scénarios génériques que personne ne saura traiter. L'atelier 1 gagne à cadrer un objet précis, une activité métier ou un service critique. La deuxième erreur consiste à confondre valeurs métier et biens supports : quand cette distinction reste floue, tout l'enchaînement des ateliers suivants perd sa logique. La troisième est de traiter l'analyse d'écart au socle de sécurité comme une formalité administrative, alors que c'est elle qui rend les scénarios opérationnels crédibles. L'IA n'efface aucune de ces erreurs, elle les amplifie : un cadrage bancal produit très vite un grand volume de scénarios plausibles mais inexploitables. Le bon réflexe est d'utiliser les propositions générées comme une matière à contester en atelier, jamais comme un résultat à valider en bloc.
Ce qu'il faut avoir préparé avant le premier atelier
Une analyse EBIOS RM ne démarre pas sur une page blanche. Avant le premier atelier, réunissez la cartographie du système concerné, l'inventaire des biens supports et de leurs responsables, la liste des parties prenantes de l'écosystème (fournisseurs, prestataires d'infogérance, partenaires d'échange de données), les mesures de sécurité déjà en place et les constats des audits ou incidents passés. C'est exactement le matériau qu'une IA peut lire et structurer en amont : plus le fonds documentaire est complet, plus les propositions soumises aux participants sont contextualisées. Le deuxième point de blocage n'est pas documentaire : il est humain. Les ateliers 1, 3 et 5 appellent les métiers et la direction autour de la table, pas seulement l'équipe sécurité : sans arbitrage métier sur la gravité des événements redoutés, l'étude reste un exercice technique. La préparation assistée par IA change surtout la nature de la réunion, puisque les participants arrivent devant un matériau déjà rédigé et passent leur temps à décider plutôt qu'à produire.
Mesurer que l'accélération produit vraiment des décisions
Aller plus vite n'a de valeur que si cela se transforme en décisions. Les indicateurs utiles ne portent donc pas sur le nombre de pages produites : part des scénarios de risque dotés d'un responsable nommé et d'une échéance, délai entre la fin de l'atelier 5 et l'entrée des mesures dans la feuille de route, proportion des valeurs métier critiques couvertes par une étude à jour, capacité à rejouer l'analyse après un changement d'architecture ou un incident. EBIOS RM étant conçue comme une démarche itérative, une étude que l'on ne reprend jamais perd sa valeur en quelques mois. L'échelle déplace ensuite les priorités : une ETI dont le RSSI est à temps partagé cherche d'abord une première étude défendable, un groupe multi-entités cherche la comparabilité entre filiales et la consolidation des risques. Pour une organisation concernée par NIS2 ou par DORA, l'étude alimente un dossier que l'autorité peut demander, et la traçabilité de chaque décision compte alors autant que le résultat.
Conclusion : passez à l'EBIOS RM assisté par IA
L'EBIOS RM assisté par IA ne simplifie pas la méthode : il réduit le temps de collecte et de rédaction et préserve la rigueur des ateliers. Vos experts gardent la main sur chaque arbitrage. Réservez 30 minutes : on écoute votre contexte, on vous dit concrètement comment Vailor y répond, et si c'est pertinent, on cadre un pilote.