EBIOS Risk Manager

EBIOS Risk Manager est la méthode d'appréciation des risques numériques publiée par l'ANSSI avec le Club EBIOS. Sa version « Risk Manager », parue en 2018, succède à l'EBIOS de 2010 et change d'approche : au lieu de dérouler un inventaire de vulnérabilités, elle part des objectifs d'un attaquant et remonte vers les chemins qu'il emprunterait.

Elle se déroule en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Le premier atelier suppose un socle d'hygiène déjà en place — c'est explicitement une méthode pour organisations qui ont fait le travail de base, pas un substitut à ce travail. Les ateliers se conduisent en groupe, avec les métiers, et pas seulement avec la DSI.

Plusieurs référentiels demandent une démarche d'appréciation des risques sans imposer EBIOS : ISO 27001 à sa clause 6.1, le référentiel ReCyF à son objectif 16 — l'un des cinq réservés aux entités essentielles — et le guide d'hygiène de l'ANSSI à sa mesure 41, qui fait partie de ses trois mesures renforcées. Toute méthode documentée et reproductible convient ; EBIOS RM a l'avantage d'être reconnue par l'autorité française.