L’analyse de risques identifie les menaces réelles sur vos processus métiers critiques, mesure leur impact et permet d’arbitrer entre des investissements concurrents en s’appuyant sur des faits.
Faut-il sécuriser d’abord la messagerie ou les accès distants ? Investir dans un SOC ou dans de la segmentation ? Sans cartographie des risques, ces arbitrages se font à l’intuition du RSSI. Une analyse formelle produit un classement objectif des risques et justifie les priorités face à la direction avec des critères mesurables : vraisemblance, gravité, impact métier.
ISO 27001, NIS2, DORA, l’homologation de sécurité RGS ou IGI 1300 : toutes exigent une analyse de risques formelle et documentée. C’est la pièce centrale du dossier d’audit : sans elle, pas de Déclaration d’Applicabilité défendable, pas de plan de traitement justifié, pas de certification.
Une analyse réalisée il y a 3 ans est obsolète. Le ransomware-as-a-service, les attaques supply chain, la généralisation du cloud : le panorama des menaces évolue vite. Nous ancrons chaque analyse dans la threat intelligence actuelle : groupes APT actifs sur votre secteur, modes opératoires récents, vulnérabilités exploitées dans des organisations comparables.
EBIOS Risk Manager est la méthode de référence de l’ANSSI. Elle structure l’analyse autour de scénarios de menace réalistes : qui veut vous attaquer, pourquoi, comment, et avec quelle capacité ? Nos experts animent les 5 ateliers en associant votre connaissance métier à leur expertise des modes opératoires des attaquants.
Le choix de la méthode dépend de votre contexte réglementaire et de l’objectif de l’analyse. Quelle que soit la méthode retenue, notre démarche suit le même rythme : des ateliers de travail conduits avec vos équipes métiers et techniques, associées à chaque étape.
Approche orientée scénarios de menace : on part des attaquants réels pour identifier les risques, plutôt que de dresser une liste exhaustive de vulnérabilités. Très adaptée aux environnements sensibles.
Cadre normatif générique pour la gestion des risques SSI, compatible avec ISO 31000. Approche plus flexible, applicable à toute organisation indépendamment de son secteur ou de sa réglementation spécifique.
Périmètre, enjeux, objectif et choix de la méthode.
Documentation, cartographie des actifs et entretiens métiers.
3 à 5 ateliers animés avec vos équipes.
Niveaux de risque et plan de traitement priorisé.
Présentation à la direction et arbitrages.
