Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.
Réf. EBI-RSK
EBIOS Risk Manager - Maîtriser l'analyse des risques SI
Gouvernance & Bonnes pratiques SI
Durée
21 à 28 heures (3 à 4 jours) selon le format
Modalités
Présentiel, Classe à distance
Reconnaissance
Formation non certifiante (attestation de fin de formation)
Format de vente
Intra-entreprise
Délai d’accès
En moyenne 15 jours ouvrés après l’acceptation du devis
Tarif intra
Sur devis
Pourquoi suivre cette formation
La gestion des risques cyber est essentielle à la résilience des organisations. Cette formation vous apprend à maîtriser la méthode EBIOS Risk Manager pour identifier les menaces, analyser les scénarios d'attaque et construire un plan de sécurité.
À l’issue de cette formation, les participants seront capables de
Maîtriser le vocabulaire, les notions et l'enchaînement des 5 ateliers d'EBIOS Risk Manager
Définir le socle de sécurité de l'organisation et repérer les écarts réglementaires
Construire les scénarios stratégiques (parties prenantes, écosystème) et opérationnels (modes opératoires d'attaque)
Évaluer la vraisemblance et la gravité des risques cyber pour prioriser les traitements
Concevoir et piloter un plan d'action d'amélioration de la sécurité et d'acceptation des risques
Formats proposés
ACTIONImmersion21 heures (3 jours)
IMPACTTerrain28 heures (4 jours) · dont une journée en décalé
Chaque format reprend le précédent et y ajoute des journées.
Public visé
Responsables de la Sécurité des Systèmes d'Information (RSSI), directeurs de projets informatiques, gestionnaires de risques (Risk Managers), consultants en cybersécurité, et DSI souhaitant internaliser la compétence d'analyse de risques.
Prérequis
Connaissance générale de l'architecture d'un système d'information et des bases de la sécurité informatique.
Prérequis techniques à distance
La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.
Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.
Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.
Objectifs pédagogiques
Identifier les définitions et les concepts fondamentaux de la méthode EBIOS RM.
Expliquer l'enchaînement logique et les objectifs des 5 ateliers de la méthode.
Réaliser les analyses d'écosystème et de cartographie des menaces sur un périmètre donné.
Modéliser des scénarios d'attaque stratégiques et opérationnels réalistes.
Estimer le niveau de gravité, la vraisemblance, et valider l'acceptabilité des risques résiduels.
Élaborer le plan de traitement des risques et les indicateurs de suivi associés.
Programme détaillé
Jour 1ACTION
Matin
Cadrage et socle de sécurité (atelier 1)
Définir le périmètre de l'analyse, identifier les événements redoutés et évaluer le socle de sécurité.
Introduction à la philosophie EBIOS RM et alignement avec l'ISO 27005.
Cadrage de l'étude : définition des valeurs métiers et des supports associés.
Identification et évaluation des événements redoutés (impacts et niveaux de gravité).
Évaluation de l'état de conformité par rapport au socle de sécurité (ISO 27001, PSSI, exigences légales).
Atelier pratique
Identification des fonctions critiques et définition de l'échelle de gravité des événements redoutés.
Cas métier
Cadrage de l'analyse de risques pour le déploiement d'une application de télémédecine (données de santé hautement sensibles).
Compétence acquise
Savoir délimiter le périmètre d'une étude de risques et structurer le référentiel d'impacts métiers.
Livrable
Fiche de cadrage d'analyse de risques validée (Atelier 1 complété).
Après-midi
Sources de risques et écosystème (atelier 2)
Identifier les sources de risques (SR) et évaluer le niveau de menace lié à l'écosystème de l'organisation.
Identification des Sources de Risques (SR) internes et externes (cybercriminels, concurrents, États, collaborateurs malveillants).
Détermination des objectifs visés par ces sources (espionnage, sabotage, profit financier).
Cartographie de l'écosystème de l'entreprise (partenaires, sous-traitants, hébergeurs).
Évaluation du niveau de menace des tiers (les maillons faibles de la chaîne d'approvisionnement).
Atelier pratique
Cartographie et notation de la menace sur un réseau de sous-traitance industrielle.
Cas métier
Analyse de la menace pesant sur le SI d'un grand équipementier automobile en lien direct avec ses fournisseurs de pièces.
Compétence acquise
Être capable de cartographier et de qualifier les acteurs de menaces et les faiblesses des partenaires externes.
Livrable
Cartographie des sources de risques et évaluation de l'écosystème (Atelier 2 complété).
Jour 2ACTION
Matin
Scénarios stratégiques (atelier 3)
Construire des scénarios stratégiques décrivant les chemins d'attaque macroscopiques empruntés par les agresseurs.
Comprendre le concept de scénario stratégique.
Définition des chemins d'attaque à travers l'écosystème pour atteindre les valeurs métiers.
Utilisation des fiches de menaces et modélisation graphique des attaques.
Évaluation de la vraisemblance globale des scénarios stratégiques.
Atelier pratique
Élaboration graphique d'un scénario de compromission par rebond via un prestataire d'infogérance.
Cas métier
Modélisation d'une tentative de vol de propriété intellectuelle sur un nouveau brevet pour une entreprise de biotechnologie.
Compétence acquise
Savoir scénariser et vulgariser les menaces globales pesant sur l'écosystème de l'entreprise.
Livrable
Graphe des scénarios stratégiques de menaces (Atelier 3 complété).
Après-midi
Scénarios opérationnels (atelier 4)
Modéliser les scénarios opérationnels décrivant pas à pas les techniques d'attaque concrètes au niveau technique.
Architecture de la menace technique : du point d'entrée à l'action sur la cible.
Utilisation des bases de connaissances de cyber-sécurité (MITRE ATT&CK, rapports de Threat Intelligence).
Analyse de la résistance des mesures de sécurité existantes face aux étapes de l'attaque.
Évaluation fine de la vraisemblance opérationnelle.
Atelier pratique
Modélisation détaillée d'une attaque par ransomware (phishing, mouvement latéral, chiffrement et demande de rançon) sur un domaine Active Directory.
Cas métier
Analyse opérationnelle d'une attaque par déni de service distribué (DDoS) combinée à une tentative d'intrusion sur le site de vente en ligne d'une enseigne nationale.
Compétence acquise
Être capable de traduire un risque théorique en un chemin technique d'attaque détaillé et évaluable.
Livrable
Fiches de scénarios opérationnels modélisés et évalués (Atelier 4 complété).
Jour 3ACTION
Matin
Traitement des risques (atelier 5)
Définir la stratégie de traitement des risques, concevoir le plan d'action de sécurité et valider les risques résiduels.
Les 4 stratégies de traitement du risque : réduction, évitement, transfert (cyber-assurance), acceptation.
Définition des mesures d'amélioration de la sécurité (prévention, protection, détection, réaction).
Évaluation de l'efficacité attendue des mesures proposées.
Suivi des risques résiduels et processus d'homologation de sécurité.
Atelier pratique
Rédaction d'un plan d'action de traitement et calcul du niveau de sécurité résiduelle après application des mesures.
Cas métier
Construction du plan de sécurisation pour une entreprise de logistique après constatation d'un risque élevé d'arrêt complet de sa chaîne de dispatching.
Compétence acquise
Savoir structurer et défendre un plan de traitement de risques cyber pragmatique, financièrement viable et planifié.
Livrable
Registre des risques consolidé et plan de traitement associé (Atelier 5 complété).
Après-midi
Synthèse, animation des ateliers et préparation de la certification
Maîtriser la posture d'animateur d'une étude EBIOS RM et se préparer à valoriser ses compétences.
La posture du facilitateur : comment animer des ateliers productifs et surmonter les blocages politiques.
La synthèse managériale : comment résumer une analyse de risques complexe en 3 diapositives percutantes pour un COMEX.
Quiz blanc global de validation des acquis et correction interactive commentée par l'expert.
Atelier pratique
Jeu de rôle : simulation d'une présentation de synthèse d'analyse de risques face à un faux Conseil d'Administration (gestion des objections).
Cas métier
Soutenance de l'analyse « Le Maillon Faible » travaillée en fil rouge durant la formation.
Compétence acquise
Savoir présenter de manière percutante, synthétique et commerciale les résultats d'une analyse EBIOS RM devant un public non technique.
Livrable
Présentation de synthèse décisionnelle de risques prête pour un COMEX.
Jour 4 · en décaléIMPACT
Matin
Diagnostic individuel de vos analyses de risques
Vérifier avec l'expert l'enchaînement des ateliers, corriger la modélisation des chemins d'attaque et supprimer les biais d'évaluation de la vraisemblance.
Chaque participant présente l'analyse de risques qu'il a commencée pour un projet en cours de son entreprise (migration SAP, nouvel ERP, sécurisation d'une usine).
Après-midi
Construire le référentiel de menaces de l'entreprise
Construire ensemble le référentiel de menaces de l'entreprise.
Réorganisation des fiches de menaces de l'entreprise et harmonisation des grilles d'impact financier et d'image, pour créer un référentiel d'analyse des risques commun à toute l'organisation.
Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.
Méthodes et moyens pédagogiques
Méthodes mobilisées
Pédagogie active et immersive basée sur des simulations métiers complexes. Alternance de présentation des concepts ANSSI, de phases de manipulation en sous-groupes (facilitation), et de revues critiques collectives des livrables de sécurité.
Moyens techniques
Un poste informatique individuel par participant, environnement de travail collaboratif en ligne (type Miro/Klaxoon pour la cartographie des menaces), accès aux modèles de fiches EBT/EBO AMBIA, vidéoprojecteur.
Moyens humains
Formation animée par un consultant-formateur expert senior certifié en cybersécurité, pratiquant régulièrement des analyses EBIOS RM pour de grands comptes ou des administrations publiques.
Modalités d’évaluation
Évaluation diagnostique
Questionnaire d'évaluation des compétences initiales envoyé 15 jours avant la formation.
Évaluation formative
Évaluation continue à travers les livrables produits par sous-groupe lors de la simulation fil rouge des 5 ateliers.
Évaluation sommative
Questionnaire de validation des acquis sous forme de QCM en fin de formation et soutenance orale du plan de traitement de risques devant le formateur.
Suivi
Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.
Délai d’accès
Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.
Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.
Accessibilité handicap
Nos parcours sont adaptables aux personnes en situation de handicap. Contactez notre référent dédié pour l'étude des aménagements nécessaires.
Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.
Indicateurs de résultats
Indicateurs publiés à partir de 3 avis.
Mode de calcul : www.ambia-skills.fr/notre-approche#notes
