Le logiciel EBIOS RM accéléré par l'intelligence artificielle

Vailor est en cours de labellisation. Le dossier de labellisation EBIOS Risk Manager de Vailor est déposé auprès de l'ANSSI. Il s'appuie sur le cahier des charges du label en version 3.1 (1er octobre 2024) et sur le guide EBIOS Risk Manager en version 1.5. La demande porte sur la version installée chez le client (on-premise). La liste officielle des solutions labellisées est publiée par l'ANSSI sur cyber.gouv.fr : c'est elle qui fait foi.

Ce n'est pas un exercice réservé aux spécialistes du risque. L'atelier 1 a besoin des métiers pour identifier les valeurs métier et calibrer les échelles de gravité, et de la DSI pour les biens supports associés. L'atelier 3 mobilise les achats et les responsables de contrats, puisqu'il faut évaluer l'écosystème : fournisseurs, prestataires, partenaires. Les ateliers 4 et 5 relèvent surtout de la sécurité opérationnelle et de la direction, qui arbitre le traitement et accepte les risques résiduels. Sans sponsor au niveau direction, l'atelier 5 reste un exercice théorique.

Le guide EBIOS Risk Manager publié par l'ANSSI est en accès libre et illustré par un cas d'étude fictif qui déroule les cinq ateliers de bout en bout. C'est le meilleur point de départ pour comprendre l'enchaînement des objets et des livrables. En revanche, un cas d'étude ne remplace pas votre cadrage : les valeurs métier, les échelles de gravité et les sources de risque pertinentes dépendent de votre activité et de votre écosystème. Reprenez la structure du cas d'étude, pas son contenu.

L'ISO/IEC 27005 est un texte de lignes directrices : il décrit ce qu'un processus de gestion des risques doit couvrir, sans imposer de déroulé. EBIOS RM est une méthode : elle fixe une séquence d'ateliers, des objets manipulés (valeurs métier, sources de risque, scénarios stratégiques, chemins d'attaque) et des livrables attendus. La méthode de l'ANSSI a été conçue pour rester alignée avec l'ISO/IEC 27005 et l'ISO 31000. Elle permet donc de couvrir l'appréciation du risque exigée par l'ISO/IEC 27001 sans créer de conflit méthodologique.

EBIOS RM est une méthode, pas un référentiel d'exigences : aucune organisation n'est certifiée EBIOS RM. Ce sont les personnes qui se forment à la méthode, pas l'entreprise qui est auditée dessus. Elle n'est pas obligatoire en tant que telle, mais l'ANSSI la recommande, notamment dans les démarches d'homologation de sécurité, et de nombreux donneurs d'ordre publics l'attendent de fait. Elle sert aussi de preuve : un auditeur ISO 27001 vérifiera la cohérence entre vos scénarios, vos mesures et vos risques résiduels.

Sur un périmètre étroit et réellement critique : une application métier structurante, un processus sensible, un service exposé. Viser l'ensemble du système d'information dès la première itération fait exploser le nombre de valeurs métier et de biens supports dès l'atelier 1, et rend les ateliers suivants ingérables. Mieux vaut terminer les cinq ateliers sur un périmètre limité, produire un plan de traitement exploitable, puis élargir. Une analyse achevée vaut mieux qu'une analyse abandonnée à l'atelier 3.

C'est possible et beaucoup d'équipes commencent ainsi, mais le tableur atteint vite sa limite. EBIOS RM manipule des objets liés entre eux : une valeur métier porte des biens supports, un couple source de risque et objectif visé alimente un scénario stratégique, qui se décline en chemins d'attaque puis en mesures de traitement. Dans un classeur, ces liens sont tenus à la main et se cassent à la première mise à jour. Un outil dédié conserve la traçabilité, permet le travail à plusieurs et régénère les livrables sans ressaisie.

EBIOS RM se conduit comme un cycle, pas comme un rapport ponctuel. Le socle de sécurité défini à l'atelier 1 et le plan d'amélioration continue issu de l'atelier 5 sont faits pour être revus, et une analyse doit être reprise dès qu'un événement la rend fausse : nouveau fournisseur critique, refonte d'architecture, incident significatif, évolution de la menace. Le frein n'est presque jamais la méthode, c'est le coût de reprise des livrables. Plus la mise à jour est automatisée, plus la révision annuelle redevient tenable.