Clarifier
Identifier les actifs, processus, données, comptes, prestataires et dépendances qui conditionnent réellement l’activité.
Analyse de risques & EBIOS RM
Transformer l’incertitude cyber en décisions défendables.
Une analyse de risques sérieuse ne sert pas à produire une matrice abstraite. Elle sert à relier les scénarios crédibles aux impacts métier, aux mesures existantes, aux écarts résiduels et aux arbitrages de direction.
Forterys structure la démarche autour des biens essentiels, des dépendances critiques, des événements redoutés, des chemins d’attaque, des parties prenantes et des décisions à prendre : réduire, accepter, transférer ou traiter en priorité.
EBIOS RM adapté Scénarios métier Arbitrages direction
Pourquoi
L’analyse de risques doit précéder les achats, les projets et les arbitrages.
Sans lecture structurée du risque, l’organisation investit souvent dans ce qui rassure visuellement, pas dans ce qui protège réellement l’activité. L’analyse permet de mettre le risque cyber au niveau du langage direction : impact, continuité, responsabilité, conformité, budget et trajectoire.
Qualifier
Relier les événements redoutés à des scénarios crédibles : fraude, indisponibilité, fuite, altération, extorsion, compromission ou rupture de service.
Arbitrer
Prioriser les traitements selon l’impact métier, la vraisemblance, les mesures existantes, le coût, le délai et le risque résiduel accepté.
Déclencheurs
Quand lancer une analyse de risques ?
La démarche est utile dès qu’une décision cyber doit être justifiée, financée, défendue ou alignée avec un enjeu métier.
Prioriser les dépenses : IAM, sauvegardes, EDR, supervision, durcissement, sensibilisation, PCA/PRA ou accompagnement RSSI.
Cloud, ERP, externalisation, fusion, nouveau prestataire, ouverture d’accès, traitement de données sensibles ou changement d’organisation.
Transformer des constats techniques en scénarios métiers, risques résiduels et décisions suivies.
Documenter la maîtrise du risque, les mesures en place, les écarts connus et la trajectoire de traitement.
Identifier les événements qui menacent la continuité, les dépendances critiques et les priorités de reprise.
Donner au comité, au DPO, au juridique et aux métiers une base commune pour décider.
Méthode
Une démarche inspirée d’EBIOS RM, adaptée au contexte réel.
La méthode est cadrée pour rester exploitable. Elle peut être complète pour un périmètre stratégique ou allégée lorsque l’objectif est de produire rapidement une lecture de décision.
Parcours EBIOS Risk Manager simplifié : de la compréhension à la décision, en cinq étapes.
- 1. Cadrage — Définir les objectifs de l’analyse, délimiter le périmètre et les actifs essentiels, comprendre l’organisation et les enjeux.
- 2. Sources de risque — Identifier les familles de menaces, analyser les vulnérabilités, prendre en compte les facteurs aggravants.
- 3. Scénarios de risque — Construire des scénarios crédibles, évaluer vraisemblance et impact, cartographier les risques principaux.
- 4. Traitement des risques — Choisir les options de traitement (éviter, réduire, transférer, accepter), définir les mesures de sécurité, planifier et assigner les actions.
- 5. Risque résiduel — Évaluer le risque résiduel, valider l’acceptabilité, mettre en place le suivi et la revue.
Cadrage métier
Définir les objectifs, le périmètre, les actifs essentiels, les processus critiques, les parties prenantes et les décisions attendues.
Sources de risque
Identifier les menaces internes, externes, humaines, techniques, physiques, réglementaires et liées aux prestataires.
Scénarios de risque
Relier événements redoutés, chemins d’attaque plausibles, vulnérabilités, mesures existantes, vraisemblance et impacts métier.
Traitement des risques
Décider d’éviter, réduire, transférer ou accepter, puis prioriser les mesures, responsables, budgets, délais et preuves attendues.
Risque résiduel
Évaluer ce qui subsiste après traitement, valider son acceptabilité et organiser le suivi, la revue et les nouveaux arbitrages.
Décision
La sortie n’est pas un tableau : c’est une trajectoire arbitrable.
Le résultat doit permettre à la direction de comprendre ce qui menace l’activité, ce qui est déjà maîtrisé, ce qui reste exposé et ce qui nécessite un budget, une décision ou un renoncement assumé.
Impact métier
Ce que l’événement changerait concrètement : arrêt, fraude, perte de données, incapacité à servir, obligation de notification, rupture contractuelle.
Risque résiduel
Ce qui subsiste après les mesures existantes et ce que l’organisation accepte, réduit ou reporte temporairement.
Arbitrage priorisé
Des actions classées selon urgence, faisabilité, coût, dépendance, effet protecteur et responsabilité.
Livrables
Des supports exploitables par le comité, l’IT, le DPO et les métiers.
Les livrables sont conçus pour ne pas rester dans un classeur : ils doivent soutenir les décisions, les budgets, les plans d’action et le suivi.
Synthèse exécutive
Messages clés, risques majeurs, décisions attendues, écarts critiques et trajectoire proposée.
Cartographie actifs / dépendances
Biens essentiels, supports, flux, prestataires, comptes, données et processus critiques.
Scénarios de risque
Scénarios stratégiques et opérationnels, conditions de réalisation, impacts et mesures existantes.
Matrice de priorisation
Classement par impact, vraisemblance, maîtrise, urgence, effort, délai et risque résiduel.
Plan de traitement
Mesures 30/60/90 jours, responsables, preuves attendues, critères de clôture et dépendances.
Support comité
Version courte pour direction, comité cyber, assurance, client stratégique, DPO ou juridique.
Avant l’échange
Ce qu’il est utile de préparer.
Le cadrage peut commencer avec peu d’éléments, mais certaines informations accélèrent fortement la lecture du risque.
OrganisationActivités critiques, sites, métiers, prestataires, gouvernance, responsabilités.
Système d’informationApplications clés, cloud, messagerie, accès distants, sauvegardes, postes, comptes administrateurs.
ContexteIncident récent, audit, exigence client, assurance, projet SI, données sensibles, contraintes réglementaires.
Décision attendueBudget, arbitrage, priorité, réduction d’exposition, plan de traitement, support comité.
Limites
Ce que l’analyse de risques ne doit pas prétendre.
Une analyse de risques ne garantit ni l’absence de vulnérabilité, ni l’absence de compromission, ni la suppression totale du risque. Elle produit une lecture structurée, argumentée et actionnable à un instant donné. Elle doit être révisée lorsqu’un incident, un changement SI, une nouvelle dépendance ou un nouvel enjeu métier modifie l’exposition.
Questions fréquentes
Avant de lancer une analyse de risques.
Faut-il faire une analyse EBIOS RM complète ?
Pas toujours. Une démarche complète est utile sur un périmètre stratégique. Pour une PME ou un arbitrage rapide, une analyse proportionnée peut suffire si elle reste structurée et défendable.
Quelle différence avec un audit cyber ?
L’audit observe l’état de maîtrise et les écarts. L’analyse de risques relie ces écarts à des scénarios, des impacts métier, des décisions et des risques résiduels.
Peut-on partir d’un simple doute ?
Oui. Un doute sur un prestataire, un accès, une activité critique, un nouveau projet ou une exposition externe peut justifier un cadrage court avant d’engager des actions lourdes.
Qui doit participer ?
La direction, l’IT, les métiers concernés, le DPO ou juridique selon les données, et parfois finance, assurance ou prestataires clés. Le risque cyber n’est pas uniquement technique.
Que reçoit la direction ?
Une synthèse claire, des scénarios prioritaires, une matrice de décision, un plan de traitement et une lecture des risques résiduels acceptables ou non.
Est-ce compatible avec PCA / PRA ?
Oui. L’analyse de risques alimente directement les priorités de continuité, les scénarios de crise, les dépendances critiques, les RTO/RPO et les mesures de résilience.