EBIOS Risk Manager - Maîtriser l'analyse des risques SI

Objectif : Définir le périmètre de l'analyse, identifier les événements redoutés et évaluer le socle de sécurité.

• Introduction à la philosophie EBIOS RM et alignement avec l'ISO 27005.
• Cadrage de l'étude : définition des valeurs métiers et des supports associés.
• Identification et évaluation des événements redoutés (impacts et niveaux de gravité).
• Évaluation de l'état de conformité par rapport au socle de sécurité (ISO 27001, PSSI, exigences légales).

Atelier pratique : Identification des fonctions critiques et définition de l'échelle de gravité des événements redoutés.

Cas métier : Cadrage de l'analyse de risques pour le déploiement d'une application de télémédecine (données de santé hautement sensibles).

Compétence acquise : Savoir délimiter le périmètre d'une étude de risques et structurer le référentiel d'impacts métiers.

Livrable : Fiche de cadrage d'analyse de risques validée (Atelier 1 complété).

Objectif : Identifier les sources de risques (SR) et évaluer le niveau de menace lié à l'écosystème de l'organisation.

• Identification des Sources de Risques (SR) internes et externes (cybercriminels, concurrents, États, collaborateurs malveillants).
• Détermination des objectifs visés par ces sources (espionnage, sabotage, profit financier).
• Cartographie de l'écosystème de l'entreprise (partenaires, sous-traitants, hébergeurs).
• Évaluation du niveau de menace des tiers (les maillons faibles de la chaîne d'approvisionnement).

Atelier pratique : Cartographie et notation de la menace sur un réseau de sous-traitance industrielle.

Cas métier : Analyse de la menace pesant sur le SI d'un grand équipementier automobile en lien direct avec ses fournisseurs de pièces.

Compétence acquise : Être capable de cartographier et de qualifier les acteurs de menaces et les faiblesses des partenaires externes.

Livrable : Cartographie des sources de risques et évaluation de l'écosystème (Atelier 2 complété).

Objectif : Construire des scénarios stratégiques décrivant les chemins d'attaque macroscopiques empruntés par les agresseurs.

• Comprendre le concept de scénario stratégique.
• Définition des chemins d'attaque à travers l'écosystème pour atteindre les valeurs métiers.
• Utilisation des fiches de menaces et modélisation graphique des attaques.
• Évaluation de la vraisemblance globale des scénarios stratégiques.

Atelier pratique : Élaboration graphique d'un scénario de compromission par rebond via un prestataire d'infogérance.

Cas métier : Modélisation d'une tentative de vol de propriété intellectuelle sur un nouveau brevet pour une entreprise de biotechnologie.

Compétence acquise : Savoir scénariser et vulgariser les menaces globales pesant sur l'écosystème de l'entreprise.

Livrable : Graphe des scénarios stratégiques de menaces (Atelier 3 complété).

Objectif : Modéliser les scénarios opérationnels décrivant pas à pas les techniques d'attaque concrètes au niveau technique.

• Architecture de la menace technique : du point d'entrée à l'action sur la cible.
• Utilisation des bases de connaissances de cyber-sécurité (MITRE ATT&CK, rapports de Threat Intelligence).
• Analyse de la résistance des mesures de sécurité existantes face aux étapes de l'attaque.
• Évaluation fine de la vraisemblance opérationnelle.

Atelier pratique : Modélisation détaillée d'une attaque par ransomware (phishing, mouvement latéral, chiffrement et demande de rançon) sur un domaine Active Directory.

Cas métier : Analyse opérationnelle d'une attaque par déni de service distribué (DDoS) combinée à une tentative d'intrusion sur le site de vente en ligne d'une enseigne nationale.

Compétence acquise : Être capable de traduire un risque théorique en un chemin technique d'attaque détaillé et évaluable.

Livrable : Fiches de scénarios opérationnels modélisés et évalués (Atelier 4 complété).

Objectif : Définir la stratégie de traitement des risques, concevoir le plan d'action de sécurité et valider les risques résiduels.

• Les 4 stratégies de traitement du risque : réduction, évitement, transfert (cyber-assurance), acceptation.
• Définition des mesures d'amélioration de la sécurité (prévention, protection, détection, réaction).
• Évaluation de l'efficacité attendue des mesures proposées.
• Suivi des risques résiduels et processus d'homologation de sécurité.

Atelier pratique : Rédaction d'un plan d'action de traitement et calcul du niveau de sécurité résiduelle après application des mesures.

Cas métier : Construction du plan de sécurisation pour une entreprise de logistique après constatation d'un risque élevé d'arrêt complet de sa chaîne de dispatching.

Compétence acquise : Savoir structurer et défendre un plan de traitement de risques cyber pragmatique, financièrement viable et planifié.

Livrable : Registre des risques consolidé et plan de traitement associé (Atelier 5 complété).

Objectif : Maîtriser la posture d'animateur d'une étude EBIOS RM et se préparer à valoriser ses compétences.

• La posture du facilitateur : comment animer des ateliers productifs et surmonter les blocages politiques.
• La synthèse managériale : comment résumer une analyse de risques complexe en 3 diapositives percutantes pour un COMEX.
• Quiz blanc global de validation des acquis et correction interactive commentée par l'expert.

Atelier pratique : Jeu de rôle : simulation d'une présentation de synthèse d'analyse de risques face à un faux Conseil d'Administration (gestion des objections).

Cas métier : Soutenance de l'analyse « Le Maillon Faible » travaillée en fil rouge durant la formation.

Compétence acquise : Savoir présenter de manière percutante, synthétique et commerciale les résultats d'une analyse EBIOS RM devant un public non technique.

Livrable : Présentation de synthèse décisionnelle de risques prête pour un COMEX.