EBIOS RM (FR) cheatsheet

Element	Description	Exemples
Objectif	Definir le cadre de l'etude, son périmètre métier et technique, les événements redoutés et le socle de sécurité	-
Entrees	Contexte de l'organisation, missions, politiques existantes, architecture SI, cartographie du SI	Organigrammes, schemas reseau
Sorties	Elements de cadrage (objectifs, roles, calendrier) + valeurs métier + biens supports + événements redoutés (ER) avec gravité + socle de sécurité avec ecarts	Document de contexte du risque
Livrable	Périmètre + VM/BS + ER avec gravité + socle de sécurité (identification des ecarts)	Document de périmètre, référentiel de conformité du socle

Valeurs métier (VM) :

Type	Exemples
Processus métier	Traitement des commandes, comptabilite, production, RH
Informations sensibles	Données clients (RGPD), propriété intellectuelle, secrets commerciaux
Composants numeriques	Logiciels métier critiques, code source, bases de données

Biens supports (BS) :

Categorie	Exemples
Systèmes	Serveurs, postes de travail, IoT, SCADA
Réseaux	LAN, WAN, VPN, cloud, liaisons OT
Logiciels	ERP, CRM, OS, firmware
Personnes	Administrateurs, prestataires, utilisateurs a privileges
Locaux	Datacenter, bureaux, baies reseau

Element	Description
Objectif	Identifier les sources de risque (SR) et leurs objectifs vises (OV), evaluer et selectionner les couples SR/OV les plus pertinents
Entrees	Missions et valeurs métier (A1), renseignement sur les menaces, OSINT
Sorties	Couples SR/OV selectionnes (representatifs, non exhaustifs), cartographie des sources de risque
Livrable	Liste des couples SR/OV prioritaires avec evaluation de la motivation/ressources/activité

Source de risque (SR)	Objectif visé (OV)	Motivation	Ressources
APT etatique	Espionnage stratégique	Geopolitique	Tres élevées
Cybercriminel organise	Ransomware / extorsion	Financiere	Élevées
Concurrent malveillant	Vol de PI / sabotage	Concurrentielle	Moyennes
Initie malveillant	Sabotage / fuite interne	Vengeance / corruption	Faibles a élevées
Hacktiviste	Defacement / DDoS / fuite	Ideologique	Variable
Script kiddie	Opportuniste	Notoriete	Faibles

Evaluation d'un couple SR/OV :

• Motivation de la SR a atteindre l'OV
• Ressources disponibles (financieres, techniques, humaines)
• Activité documentee recente (CTI, incidents passes)
• Ne retenir que les couples pertinents (3 a 6 couples SR/OV suffisent généralement selon le guide ANSSI)

Element	Description
Objectif	Obtenir une vision claire de l'écosystème, identifier les parties prenantes critiques, construire les scénarios stratégiques (chemins d'attaque de la SR aux valeurs métier via les parties prenantes)
Entrees	Couples SR/OV (A2), cartographie de l'écosystème, événements redoutés (A1)
Sorties	Cartographie numerique de l'écosystème vis-a-vis des menaces, scénarios stratégiques avec gravité, mesures de sécurité sur l'écosystème
Livrable	Cartographie de la menace de l'écosystème + scénarios stratégiques (graphes d'attaque) + mesures de sécurité sur l'écosystème

Cartographie de l'écosystème - Parties prenantes :

Partie prenante	Dépendance (0-4)	Confiance (0-4)	Penetration SI
Fournisseurs cloud (AWS, Azure)	4	3	Directe - admin
Prestataires IT / infogérance	4	2	Directe - admin
Clients avec acces portail	3	3	Indirecte
Partenaires (interconnexion reseau)	3	3	Directe
Sous-traitants (acces physique)	2	2	Physique / logique
Editeurs de logiciels (mises a jour)	3	3	Indirecte - chaine d'approvisionnement

Evaluation des parties prenantes (méthode officielle ANSSI) :

Le guide ANSSI distingue deux axes d'evaluation :

Axe	Criteres	Description
Exposition	Dépendance + Penetration	Degre de dépendance de l'organisation vis-a-vis de la partie prenante, et niveau d'acces de la partie prenante au SI
Fiabilite cyber	Maturité + Confiance	Niveau de sécurité de la partie prenante (audits, certifications) et confiance accordee a la partie prenante

Critere	Description	Impact sur le risque
Dépendance	Degre de dépendance de l'organisation vis-a-vis de cette partie prenante	Plus la dépendance est élevée, plus l'impact d'une compromission est important
Penetration	Niveau d'acces de la partie prenante au SI de l'organisation	Plus la penetration est profonde, plus le chemin d'attaque est court
Maturité	Niveau de sécurité de la partie prenante (audits, certifications)	Plus la maturité est faible, plus la partie prenante est susceptible d'etre ciblee
Confiance	Niveau de confiance accorde a la partie prenante	Inversement proportionnelle a la menace : faible confiance = risque élevé

Exposition d'une partie prenante = Dépendance x Penetration / Maturité. Les parties prenantes a forte exposition et faible fiabilite cyber (maturité + confiance) sont les vecteurs stratégiques prioritaires. Le guide ANSSI (fiche methodologique no. 5) recommande de cartographier les parties prenantes en zones : Veille, Controle, Danger.

Construction d'un scénario stratégique :

[Source de risque]
       |
       | via chemin d'attaque stratégique
       v
[Partie prenante de l'écosystème] <-- ou attaque directe
       |
       v
[Valeur métier] --> [Événement redouté]

Exemples :
SR : Cybercriminel  -> PP : Prestataire IT (sécurité faible) -> VM : SI de production -> ER : Indisponibilité (ransomware)
SR : APT etatique   -> PP : Editeur logiciel (chaine d'approvisionnement) -> VM : R&D -> ER : Divulgation de PI
SR : Initie malveillant -> Acces direct -> VM : BDD clients -> ER : Fuite de données (RGPD)

Element	Description
Objectif	Construire les scénarios opérationnels (modes d'attaque sur les biens supports) et evaluer leur vraisemblance. Etablir une synthese de l'ensemble des risques
Entrees	Scénarios stratégiques (A3), architecture SI (cartographie applicative et infrastructure), socle de sécurité (A1), couples SR/OV (A2)
Sorties	Scénarios opérationnels avec evaluation de la vraisemblance globale
Livrable	Schemas des scénarios opérationnels (graphes d'attaque) + evaluation de la vraisemblance par scenario

Decomposition du stratégique a l'opérationnel :

Scénario stratégique (A3) :
  Cybercriminel -> Prestataire IT -> SI de production -> Indisponibilité

Scénarios opérationnels (A4) :
  SO1 : Phishing du prestataire -> vol d'identifiants -> RDP interne -> deploiement ransomware
  SO2 : Exploitation CVE VPN du prestataire -> pivot LAN -> chiffrement des serveurs
  SO3 : Chaine d'approvisionnement : logiciel du prestataire piege -> C2 -> deplacement lateral
  SO4 : Contournement MFA (SIM swap) du prestataire -> acces O365 -> acces cloud prod

Pour chaque SO : sequence d'actions élémentaires + biens supports cibles + vraisemblance

Evaluation de la vraisemblance d'un scénario opérationnel :

Commencer par evaluer la vraisemblance élémentaire de chaque action élémentaire. Puis evaluer la vraisemblance globale du scenario. L'evaluation peut se concentrer sur le mode d'attaque de moindre effort pour la source de risque (selon le guide ANSSI p.63, fiche methodologique no. 8).

Difficulte de l'action	Vraisemblance correspondante
Élémentaire (outils publics, script kiddie)	V4 - Maximale
Moderee (competences techniques, outils specifiques)	V3 - Forte
Difficile (expertise avancee, ressources significatives)	V2 - Significative
Tres difficile (capacites etatiques, 0-day)	V1 - Minime

Sequence d'actions élémentaires (TTPs MITRE ATT&CK) :

Note : Le guide ANSSI EBIOS RM fait reference au modele de kill chain de Lockheed Martin (p.58) mais ne mentionne pas explicitement MITRE ATT&CK. La correspondance ci-dessous est un enrichissement couramment utilise par les praticiens.

Phase Kill Chain	Action	TTPs MITRE
Reconnaissance	OSINT, scan, collecte d'informations	T1598, T1591, T1592
Acces initial	Phishing, exploit public, chaine d'approvisionnement	T1566, T1190, T1195
Execution	Script, macro, interpreteur	T1059, T1204
Persistance	Backdoor, tache planifiee, service	T1053, T1543, T1547
Elevation de privileges	Exploit local, usurpation de jeton	T1068, T1134
Deplacement lateral	Pass-the-hash, RDP, WMI	T1550, T1021, T1047
Collecte	Keylogging, capture d'ecran, mise en scene des données	T1056, T1074
Exfiltration	Vol de données (C2, cloud)	T1041, T1048, T1567
Impact	Chiffrement, sabotage, effacement	T1486, T1485, T1491

Element	Description
Objectif	Etablir une synthese des scénarios de risque, definir une strategie de traitement du risque, identifier les risques residuels, mettre en place un cadre de suivi
Entrees	Socle de sécurité (A1), scénarios stratégiques + mesures sur l'écosystème (A3), scénarios opérationnels (A4)
Sorties	Strategie de traitement du risque, synthese des risques residuels, PACS, cadre de suivi des risques
Livrable	Strategie de traitement du risque + PACS (Plan d'Amélioration Continue de la Sécurité) + synthese des risques residuels + cadre de suivi des risques

Classes d'acceptabilite du risque (ANSSI officiel) :

Niveau de risque	Acceptabilite	Actions
FAIBLE	Acceptable en l'etat	Aucune action n'est a entreprendre
MOYEN	Tolerable sous controle	Suivi dans le cadre de la gestion des risques, actions mises en place dans le cadre de l'amélioration continue a moyen et long terme
ELEVE	Inacceptable	Des mesures de reduction du risque doivent absolument etre prises a court terme. A defaut, tout ou partie de l'activité sera refuse

Strategies de traitement (ISO 27005 / praticien) :

Strategie	Description	Quand l'utiliser
Reduire	Mettre en oeuvre des mesures de sécurité (techniques + organisationnelles)	Risque élevé, ROI acceptable
Eviter (Refuser)	Arreter ou ne pas demarrer l'activité a risque	Risque inacceptable, pas de mesure proportionnee disponible
Transferer	Assurance cyber, externalisation securisee	Risque résiduel financierement transferable
Accepter	Accepter le risque résiduel apres mesures	Risque faible, ou traitement trop couteux par rapport a l'impact

Note : Le guide ANSSI EBIOS RM definit trois classes d'acceptabilite (acceptable, tolerable, inacceptable). Les quatre strategies de traitement (reduire, refuser, transferer, accepter) proviennent de l'ISO 27005 et sont couramment utilisees en complement.

Tableau de bord des risques (exemple) :

Scénario	SR	Gravité	Vraisemblance	Risque brut	Mesures	Risque résiduel	Decision
Ransomware via prestataire	Cybercriminel	4	3	CRITIQUE	EDR, segmentation, MFA, audit tiers	MOYEN	Reduire
Espionnage APT chaine d'approvisionnement	Etatique	4	2	ELEVE	Durcissement ANSSI, SBOM, controles d'intégrité	MOYEN	Reduire
Fuite de données par initie	Interne	3	2	MOYEN	DLP, PAM, journalisation, sensibilisation	FAIBLE	Reduire
Defacement web	Hacktiviste	2	2	FAIBLE	WAF, supervision	FAIBLE	Accepter

English Term (abbrev.)	Terme FR (abrev.)	Definition
Business asset	Valeur métier (VM)	Composante importante pour l'organisation dans l'accomplissement de sa mission (processus, information, savoir-faire)
Supporting asset	Bien support (BS)	Composante du systeme d'information sur laquelle reposent une ou plusieurs valeurs métier (numerique, physique ou organisationnelle)
Feared event (FE)	Événement redouté (ER)	Événement associe a une valeur métier portant atteinte a un besoin de sécurité (disponibilité, intégrité, confidentialité, traçabilité)
Risk origin (RO)	Source de risque (SR)	Element, personne, groupe de personnes ou organisation susceptible d'engendrer un risque, caracterise par sa motivation, ses ressources et ses competences
Target objective (TO)	Objectif visé (OV)	Finalite visee par une source de risque, selon ses motivations
RO/TO pair	Couple SR/OV	Association d'une source de risque avec son objectif visé specifique
Strategic scénario	Scénario stratégique	Chemins d'attaque allant d'une source de risque a un objectif visé, incluant l'écosystème et les valeurs métier. Evalue en termes de gravité
Operational scénario	Scénario opérationnel (SO)	Enchainement d'actions élémentaires sur les biens supports. Evalue en termes de vraisemblance
Attack path	Chemin d'attaque	Sequence d'actions élémentaires pour atteindre un objectif visé
Likelihood	Vraisemblance	Estimation de la faisabilite ou probabilite qu'un risque se realise (echelle V1-V4)
Severity	Gravité	Estimation de l'ampleur et de l'intensite des effets d'un risque (echelle G1-G4)
Security baseline	Socle de sécurité	Etat de mise en oeuvre des référentiels applicables, avec identification des ecarts
Risk treatment strategy	Plan de traitement du risque (PTR)	Formalise les seuils d'acceptation et le niveau de sécurité a atteindre pour chaque risque
Security continuous improvement plan (SCIP)	PACS (Plan d'Amélioration Continue de la Sécurité)	Formalise l'ensemble des mesures de traitement du risque, planifiees dans le temps. Favorise l'elevation du niveau de maturité de la sécurité du SI
Stakeholder	Partie prenante	Element en interaction directe ou indirecte avec l'objet de l'etude (interne ou externe)
Residual risk	Risque résiduel	Scénario de risque subsistant apres application de la strategie de traitement du risque
Risk level	Niveau de risque	Mesure de l'importance du risque, exprimee par combinaison de la gravité et de la vraisemblance
Studied object	Objet de l'étude	Organisation, systeme d'information ou produit faisant l'objet de l'appreciation du risque

Le socle de sécurité (A1) compare l'etat actuel de la sécurité aux référentiels applicables. Le guide ANSSI (p.28) mentionne trois categories generiques : bonnes pratiques/guides ANSSI, famille ISO 27000 et reglementations applicables.

Référentiel	Applicabilite	Description
Guide d'hygiene informatique ANSSI	Toute organisation	42 mesures essentielles de sécurité - le socle minimum pour toute etude EBIOS RM
Guides de durcissement ANSSI	Par technologie	Durcissement AD, Linux, Windows, cloud, DNS, TLS, Wi-Fi, etc.
Guide Active Directory ANSSI	Environnements AD	Recommandations specifiques de durcissement Active Directory (tiering, postes d'administration, GPO)
ISO 27002:2022	International	93 mesures organisationnelles et techniques - couramment utilise pour l'analyse d'ecarts
RGS (Référentiel Général de Sécurité)	Administrations publiques francaises	Regles de sécurité obligatoires pour les SI de l'Etat
PSSIE	Entites de l'Etat francais	Politique de sécurité des systèmes d'information de l'Etat
NIS2 / LPM	Entites essentielles et importantes (UE)	Obligations reglementaires pour les operateurs d'infrastructures critiques
SecNumCloud	Fournisseurs cloud en France	Qualification de sécurité ANSSI pour les services cloud
II 901	Informations classifiees (France)	Protection des SI sensibles et classifies
HDS (Hebergement de Données de Sante)	Secteur de la sante	Certification pour l'hebergement de données de sante a caractere personnel

Note : Le guide ANSSI ne prescrit pas de référentiels specifiques. Le tableau ci-dessus liste les référentiels couramment utilises dans les etudes EBIOS RM francaises. Adaptez a votre secteur et contexte reglementaire.

EBIOS RM produit des mesures de sécurité a trois niveaux distincts :

Source	Type de mesures	Exemples
A1 - Socle de sécurité	Mesures de conformité (ecarts au référentiel)	Mise en conformité RGS, durcissement selon les guides ANSSI, politique de mots de passe, chiffrement des flux
A3 - Écosystème	Mesures sur les parties prenantes	Clauses contractuelles de sécurité, audits fournisseurs, segmentation des acces tiers, plan d'assurance sécurité des prestataires
A5 - Traitement	Mesures specifiques aux risques identifies	EDR/XDR contre le ransomware, DLP contre les fuites de données, PAM contre le deplacement lateral, SBOM contre la chaine d'approvisionnement

Important : Les mesures du socle de sécurité (A1) sont des prerequis independants de l'analyse de risques. Les mesures A3 et A5 sont specifiques aux risques identifies par l'etude.

Role	Responsabilite	Presence aux ateliers
Commanditaire / Direction générale	Valide le périmètre, definit l'appetence au risque, accepte les risques residuels	A1 (lancement), A5 (validation)
RSSI / Responsable des risques	Pilote l'etude, coordonne les ateliers, consolide les livrables	A1-A5 (tous)
Animateur EBIOS RM	Anime les ateliers, maitrise la methodologie, guide les participants	A1-A5 (tous)
Metiers / Proprietaires de processus	Identifient les valeurs métier, evaluent la gravité des événements redoutés, valident les scénarios stratégiques	A1, A3, A5
DSI / Architectes SI	Fournissent la cartographie des biens supports, valident la faisabilite technique des mesures	A1, A3, A4, A5
Equipe CTI / SOC	Alimentent le renseignement sur les menaces, valident les couples SR/OV et les scénarios opérationnels	A2, A4
DPO	Identifie les contraintes RGPD, valide les événements redoutés sur les données personnelles	A1, A5
Proprietaires de risques	Acceptent formellement les risques residuels attribues a leur périmètre	A5

Le socle de sécurité est evalue par rapport aux référentiels applicables au contexte de l'organisation. Le guide ANSSI (p.28) cite trois categories generiques : regles et bonnes pratiques ANSSI, normes ISO 27000 et reglementations applicables. Les référentiels specifiques ci-dessous sont des exemples courants :

Référentiel	Applicabilite	Description
RGS (Référentiel Général de Sécurité)	Administrations francaises, operateurs de service public	Regles de sécurité pour les systèmes d'information des autorites administratives
PSSIE	Administrations de l'Etat	Politique de sécurité des systèmes d'information de l'Etat
NIS2 / LPM	OIV, OSE, entites essentielles et importantes	Obligations de sécurité et notification d'incidents
SecNumCloud	Fournisseurs cloud traitant des données sensibles	Qualification ANSSI pour les prestataires de services cloud
II 901	Systèmes traitant des informations classifiees (DR, SD, CD)	Instruction interministerielle no. 901
ISO 27002:2022	Toute organisation	93 mesures de sécurité de reference
Guides de durcissement ANSSI	Toute organisation	Recommandations techniques pour AD, Linux, cloud, postes de travail, teletravail
HDS	Hebergeurs de données de sante	Certification pour le traitement de données de sante

Méthode d'evaluation du socle : Pour chaque exigence du référentiel applicable, evaluer le niveau de conformité (conforme / partiellement conforme / non conforme / non applicable) et documenter les ecarts. Les ecarts alimentent directement les mesures de sécurité a mettre en oeuvre.