Démystifier la gestion des risques avec EBIOS RM

Dans le vaste domaine de la sécurité des systèmes d'information, la gestion des risques est souvent perçue comme un allié réticent par les professionnels au profil technique. Cette perception n'est pas sans fondement ; l'exercice peut sembler aride, voire fastidieux. Toutefois, la gestion des risques est indiscutablement cruciale pour une gouvernance saine de la sécurité de l'information. Elle offre une vue structurée pour anticiper les menaces potentielles et allouer judicieusement les ressources financières là où elles sont le plus nécessaires.

C'est ici qu'EBIOS Risk Manager (EBIOS RM) entre en jeu. Cette méthode éprouvée se présente comme un outil efficace pour démystifier la gestion des risques, rendant l'exercice moins intimidant et plus productif. Dans cet article, l'objectif est d'aborder la gestion des risques sous un jour nouveau, plus accessible et moins austère. À travers un cas d'usage simple et pédagogique d'une application web traitant des données personnelles, nous explorerons comment, avec un peu de volonté et d'EBIOS RM, une tâche apparemment rébarbative peut se transformer en un exercice enrichissant et agréable.

Présentation de la méthode EBIOS RM

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) se positionne comme l'autorité française de référence en matière de cybersécurité et de défense des systèmes d'information. Elle joue un rôle crucial dans la protection des infrastructures d'information au niveau national. Parallèlement, le Club EBIOS, une association constituée d'experts en gestion des risques, collabore étroitement avec l'ANSSI et d'autres acteurs pour promouvoir les meilleures pratiques dans ce domaine.

Ensemble, l'ANSSI et le Club EBIOS ont uni leurs forces pour développer EBIOS Risk Manager (EBIOS RM), une méthode innovante pour la gestion des risques de sécurité des systèmes d'information. Cette collaboration a donné naissance à une approche considérée comme une évolution majeure dans le secteur, offrant une flexibilité et un pragmatisme accrus dans la gestion des risques. EBIOS RM est ainsi reconnue pour sa capacité à adapter la gestion des risques aux besoins spécifiques des organisations.

La méthode EBIOS RM se décline en cinq ateliers collaboratifs, chacun apportant une valeur ajoutée significative à l'analyse des risques :

• Atelier 1 : établissement du périmètre, des événements les plus redoutés par l'organisation et des mesures de sécurité existantes ;
• Atelier 2 : identification des sources de risque (les attaquants) et de leurs objectifs, qui peuvent impacter la sécurité des systèmes d'information ;
• Atelier 3 : élaboration de scénarios basés sur les sources de risque identifiées et les parties prenantes (fournisseurs, partenaires, clients, etc.), permettant une visualisation stratégique des attaques ;
• Atelier 4 : développement de scénarios plus détaillés et opérationnels, fournissant une analyse du mode opératoire des sources de risque ;
• Atelier 5 : synthèse des analyses précédentes et élaboration d'un plan d'action pour traiter les risques identifiés.

Chaque atelier est conçu pour être compréhensible et applicable par tous les profils et métiers de la cybersécurité, ce qui fait d'EBIOS RM une méthode inclusive et efficace.

De la théorie à la pratique : EBIOS RM appliquée à une application web

Étude de cas : sécuriser une application web de gestion des ressources humaines

Contexte. Une entreprise de taille moyenne nommée ICD-X, opérant dans le secteur des technologies de l'information, a récemment développé une application web interne pour la gestion des ressources humaines. Cette application stocke et gère des données personnelles sensibles, comme les informations de contact des employés, et aide à la gestion des rémunérations et des performances des collaborateurs. Étant donné la nature des données traitées, la sécurité de cette application est une priorité majeure pour l'entreprise.

Mission. Bien que l'entreprise dispose d'une équipe de sécurité des systèmes d'information compétente, elle reconnaît le besoin d'une approche structurée et collaborative pour identifier et gérer les risques associés à l'application. Le défi est de s'assurer que l'application est bien protégée contre les menaces externes et internes, tout en garantissant la conformité avec les réglementations sur la protection des données.

Atelier 1 : cadrage et socle de sécurité

Quelques définitions avant de commencer l'atelier :

• Valeur métier : toute ressource qui a de la valeur pour l'organisme et qui est nécessaire à la réalisation de ses objectifs (données, processus, fonctions) ;
• Bien support : composante du système d'information sur laquelle reposent une ou plusieurs valeurs métier. Un bien support peut être un logiciel, un matériel, un réseau, des personnes, etc. ;
• Événement redouté : situation défavorable qui affecte une ou plusieurs valeurs métier : interruption d'un service, divulgation non autorisée d'informations sensibles, altération indésirable d'une base de données ;
• Manager du risque : il guide les différents intervenants à travers la méthode. Chef d'orchestre, il coordonne les parties prenantes dans l'identification, l'évaluation et la gestion des risques, et garantit une approche cohérente, systématique et adaptée à l'organisation.

1. Qui sont les intervenants nécessaires pour chaque atelier, et quel cadre temporel pour l'étude ?

Commentaire : Quatre réunions sont programmées pour couvrir l'intégralité de l'analyse. La première, destinée à l'atelier 1, se tiendra en présence du dirigeant. Une seconde réunion englobera les ateliers 2, 3 et 4, et est estimée à une demi-journée environ. La dernière réunira l'ensemble de l'équipe pour finaliser l'analyse.

2. Qu'est-ce que l'organisation veut protéger (processus, données, fonctions) ?

Commentaire : La direction accorde une importance particulière à la gestion des données personnelles, consciente des enjeux juridiques associés, ainsi qu'aux dossiers de performance, car ce processus est indispensable au métier de l'entreprise.

3. Quels sont les scénarios que l'entreprise redoute (événements redoutés) ?

Commentaire : Les événements les plus redoutés par l'entreprise sont la divulgation des données personnelles ou l'altération des processus de performance et de rémunération.

4. Quel est l'existant en matière de sécurité de l'information (socle de sécurité) ?

Commentaire : L'entreprise reconnaît le manque de conformité et de sécurité concernant ses actifs. Le responsable IT, Alain, espère que l'étude mettra en lumière les risques, en vue d'obtenir un budget pour y remédier.

Atelier 2 : sources de risque

Quelques définitions avant de commencer l'atelier :

• Source de risque : élément, personne, groupe de personnes ou organisation susceptible d'engendrer un risque. Exemple : services étatiques, hacktivistes, concurrents, employés vengeurs ;
• Objectif visé : finalité visée par une source de risque, selon ses motivations. Exemple : voler des informations à des fins lucratives ou d'espionnage industriel, diffuser un message idéologique, se venger d'un organisme ;
• Motivation : motivation de la source de risque à atteindre son objectif ;
• Ressources : ressources financières, compétences, infrastructures d'attaque.

Quelles sont les sources de risque et leurs objectifs visés ? Quelle est la pertinence de chaque couple source de risque / objectif visé ?

Commentaire : Les sources de risque et leurs motivations sont clairement identifiées par les participants. La société a déjà fait face à des incidents de sécurité liés à ces deux sources. La pertinence donne une vue d'ensemble des sources de risque les plus dangereuses.

Les sources de risque sont-elles intéressées par les valeurs métier et les événements redoutés ?

Commentaire : Le cybercriminel serait plutôt intéressé par les données personnelles, alors que l'employé malintentionné viserait l'ensemble des valeurs métier pour du sabotage.

Atelier 3 : scénarios stratégiques

Quelques définitions avant de commencer l'atelier :

• Partie prenante : élément (personne, système d'information, organisation) en interaction directe ou indirecte avec l'objet de l'étude : partenaire, prestataire, client, fournisseur, etc. ;
• Écosystème : ensemble des parties prenantes en interaction avec l'objet de l'étude ;
• Scénario stratégique : ensemble des chemins d'attaque qu'une source de risque pourrait suivre pour atteindre un objectif, en passant par l'écosystème ou en ciblant directement les valeurs métier ;
• Dépendance : importance vitale de la relation avec une partie prenante pour le succès de l'activité ;
• Pénétration : mesure dans laquelle une partie prenante a accès aux ressources internes de l'organisation ;
• Maturité cyber : capacités de la partie prenante en matière de sécurité des systèmes d'information ;
• Confiance : alignement des intentions ou des intérêts de la partie prenante avec les objectifs de l'organisation.

Quelles sont les parties prenantes de notre écosystème, et sont-elles menaçantes pour l'organisation ?

Commentaire : Le niveau de menace se calcule ainsi : (dépendance × pénétration) / (maturité cyber × confiance), à partir des informations disponibles sur chaque partie prenante. L'hébergeur est renommé et détient une expertise significative en sécurité, et ses contrats de service garantissent la sécurité. Les freelances qui collaborent avec ICD-X changent trop souvent selon les participants, et leur maturité en cybersécurité n'est pas démontrée. Clairement, les freelances sont des parties prenantes à surveiller.

Quels scénarios d'attaque sont envisageables ? Quels chemins peuvent emprunter les sources de risque ?

Les intervenants s'accordent sur quatre chemins d'attaque les plus probables :

1. le cybercriminel attaque l'hébergeur pour obtenir les données personnelles et les dossiers de performance et de rémunération ;
2. le cybercriminel attaque en direct les systèmes d'ICD-X pour obtenir ces mêmes données ;
3. un employé malintentionné, déjà à l'intérieur de l'entreprise, attaque les données personnelles et les dossiers de performance et de rémunération ;
4. un employé malintentionné passe par les postes des développeurs freelances pour attaquer ces mêmes données.

Existe-t-il des mesures à ajouter pour se protéger des parties prenantes menaçantes ?

Commentaire : Les intervenants estiment qu'il est difficile de challenger l'hébergeur, dont les conditions de service prévoient déjà des mesures de sécurité (WAF, anti-DDoS, sauvegardes). Pour les développeurs freelances, les chemins d'attaque paraissent plus réalisables : une gestion des accès plus stricte et des contrats durcis permettraient de réduire le niveau de menace.

Atelier 4 : scénarios opérationnels

• Scénario opérationnel : enchaînement d'actions malveillantes portées sur les biens supports de l'objet étudié ou de son écosystème.

Quels sont les scénarios techniques (modes opératoires) possibles sur les chemins d'attaque de l'atelier 3 ?

Commentaire : Le prestataire en cybersécurité signale que les modes opératoires présentent une vraisemblance entre 2 et 3, selon le mode d'action des sources de risque. Lors de l'atelier 2, les participants avaient jugé assez élevée la pertinence (motivation, ressources) d'un employé malveillant : ce facteur a été pris en compte dans l'évaluation de la vraisemblance, tout comme le socle de sécurité existant.

Atelier 5 : traitement du risque

• Risque initial : scénario de risque évalué avant application de la stratégie de traitement, selon sa gravité et sa vraisemblance ;
• Risque résiduel : scénario de risque subsistant après application de la stratégie de traitement, selon sa gravité et sa vraisemblance.

Quels sont les scénarios de risque (récapitulatif) ?

Deux scénarios de risque majeurs ont été identifiés :

• Risque 1 : un cybercriminel, dans un but lucratif ou d'espionnage, prend possession de l'application hébergée via une faille dans le code ou une mauvaise configuration, et atteint les données personnelles (gravité 3, vraisemblance 3).
• Risque 2 : un employé malveillant sabote l'application en passant par le poste d'un développeur interne ou d'un freelance (gravité 3, vraisemblance 3).

ICD-X a retenu la vraisemblance la plus haute parmi les scénarios opérationnels étudiés pour chaque risque.

Comment réduire les risques ?

Quels sont les risques résiduels estimés ?

Commentaire : Les participants s'accordent : les mesures prévues réduiraient d'un point la vraisemblance des risques 1 et 2, ce qui les sort de la zone de danger sans pour autant couvrir confortablement les scénarios. L'analyse montre qu'il faut investir dans le socle de sécurité, appliquer au mieux les référentiels déjà utilisés par ICD-X, voire viser d'autres référentiels pour toute l'organisation : guide d'hygiène de l'ANSSI, CIS, ISO/IEC 27001, etc.

Conclusion

Le but de cet article était de démystifier la gestion des risques en cybersécurité, un domaine souvent perçu comme intimidant, en particulier pour les profils techniques. Grâce à l'étude de cas d'ICD-X, nous avons illustré comment EBIOS RM peut servir de boîte à outils agile pour adapter la gestion des risques aux besoins de votre organisation.

Cette version simplifiée de la méthode peut être adaptée et réutilisée librement. Pour une approche plus conventionnelle, le guide de l'ANSSI est une excellente ressource, et il existe des logiciels labellisés par le Club EBIOS. Vous pouvez même partir d'un simple tableur et vous inspirer de cet article pour commencer. Cet article se veut un guide pratique pour quiconque souhaite intégrer une gestion des risques structurée et efficace dans son organisation, sans se laisser décourager par la complexité apparente du sujet.

Référence : ANSSI, « La méthode EBIOS Risk Manager – Le guide », cyber.gouv.fr