EBIOS Risk Manager

Etude de cas fictive « Analytics for Talent Management »

Thierry PERTUS - Consultant Senior (Enterprise Risk Manager - CEFAR, ISO 31000 RM, ISO/IEC 27005 RM, ISO/IEC 27001 LI, CISM)
Afaf FAFI - Consultante Cyber Security & Data Protection (EBIOS RM, ISO/IEC 25005 RM, ISO/IEC 27001 LA, DPO / Privacy Implementer, CISA)

Classification du document : Public (éligible à publication)

Groupe de travail au sein du Club EBIOS : Action 55 - « Outils & Pratiques »

Lien sur le Forum des membres : https://club-ebios.org/forum/viewforum.php?f=55

17/02/2020 - v1.2

Club EBIOS
[email protected]
AP Avant-propos

1 Atelier 1 : Cadrage et socle de sécurité

2 Atelier 2 : Sources de risque
3 Atelier 3 : Scénarios stratégiques

4 Atelier 4 : Scénarios opérationnels

5 Atelier 5 : Traitement du risque

A Annexes : Métriques et catalogues

Club EBIOS 22
Avant-propos

Club EBIOS 33
 Avant-propos : Rappel du contexte

For a smarter future,

more human than ever

La startup française DigiTalents NextGen (*) (désignée par DT-NG), Société par Actions Simplifiée (S.A.S) dont le siège social est basé à Issy-les-
Moulineaux (92), est une startup de services du numérique (ESN) spécialisée dans le domaine du « Talent Management » (gestion des ressources
humaines sous un angle plus valorisant), visant à s’appuyer sur le digital et la collecte massive de données pour optimiser selon un cercle vertueux les
activités de recrutement, de gestion de carrière et de développement des compétences au sein des organisations, de mesure de la e-réputation ou
encore de valorisation de viviers.

En terme de positionnement stratégique sur un marché particulièrement concurrentiel, DT-NG mise sur une approche disruptive en termes de
prospection, de management et d’aide à la décision à l’ère de la data grâce aux dernières avancées technologiques et analytiques liées à la data science,
de façon à proposer à ses clients professionnels (mode B2B) des formules d’abonnement à des services en ligne hébergés en cloud (mode IaaS pour DT-
NG, mode SaaS pour ses clients), le cas échéant (selon la formule choisie) interfacé au SIRH (bases GRH) de l’entreprise cliente.

Pour se faire, après avoir spécifié ses processus métier et support, DT-NG s’est fixé pour premier objectif opérationnel de commencer par se doter d’ici
Septembre 2018 d’une plateforme en ligne hautement efficiente désignée par Smart Analytics for Business Enabling (S.A.B.E.) s’appuyant sur une
architecture de type WOA (Web Oriented Architecture) constituée notamment d’un système big data en capacité de collecter et stocker dans un data
lake (à base de technologies type Hadoop) une certaine volumétrie, vélocité et variété des sources de données, couplé à des modules de traitement
(analytics) pour l’analyse statistique (data mining) et prédictive (machine learning), et en bout de chaîne (business intelligence) à des modules
spécialisés dans la recherche multicritères et la visualisation des résultats en temps réel (data viz), le reporting et la traçabilité (data lineage).

(*) Entité et dénomination fictives visant à illustrer la présente étude de cas, toute ressemblance avec des organismes existants serait purement fortuite.

Club EBIOS 44
 Avant-propos : Rappel du contexte
Création de valeur et objectifs stratégiques affichés vis-à-vis de la clientèle

Mesurez
la e-réputation  Surveiller en continu l’attractivité de l’entreprise cliente
 Constituer et actualiser des viviers de votre et la résonnance avec sa posture et ses valeurs
de compétences (clients actifs inclus) entreprise notamment vis-à-vis des candidats à l’embauche potentiels
par secteur d’activité ou domaine d’expertise
pour les revendre à divers courtiers

Pérennisation
des viviers
de candidats (*) Maintenez Recrutez
vos collaborateur
Talent les meilleurs
à niveau et favorisez Management profils
leur épanouissement (e-services) correspondant
à vos besoins

 Fidéliser et accroître les talents  Prospecter et établir une sélection

au sein de l’entreprise cliente des profils recherchés et à fort potentiel
par un plan de formation susceptibles de rejoindre l’entreprise cliente
ou un accompagnement adaptés
et alignés avec les objectifs opérationnels Optimisez  Détecter et encourager les forces vives
la performance
et talents émergeants au sein de l’entreprise cliente
individuelle et
collective par une gestion de carrière valorisante
(*) renoncement provisoire à cette mener cette activité potentiellement
lucrative mais également sujette à controverse au regard du cadre
règlementaire relatif à la protection des données personnelles

Club EBIOS 55
Avant-propos : Rappel du contexte
Critères différentiant et objectifs opérationnels affichés vis-à-vis de la clientèle

 Etendre les recherches

allant des principales plateformes en ligne spécialisées
et des réseaux sociaux à tout l’Internet
Couverture

Plateforme
Efficience S.A.B.E. Agilité
(Smart Analytics
for Business Enabling)

 Visualiser les résultats d’analyse  Bénéficier de toute la puissance

raffinés, enrichis et consolidés de traitement d’un système d’analyse
au travers d’une interface de navigation big data s’appuyant sur une architecture
conviviale et multi-supports digitale de dernière génération

Pertinence
 Bénéficier des dernières avancées
en matière de data analytics
pour passer du réactif au prédictif en amélioration continue

Club EBIOS 66
 Avant-propos : Rappel du contexte
Compte tenu des points suivants :
✓ caractère relativement critique pour DT-NG de sa future plateforme en ligne S.A.B.E
présentant une dépendance extrême du cœur de métier de DT-NG au « monde digital connecté »
et par conséquent d’une l’exposition intrinsèquement élevée à la cybermenace ;
✓ sensibilité de certaines données RH mises à disposition par les entreprises clientes
amenées à faire l’objet d’un traitement analytique de masse ;
✓ enjeux juridiques majeurs (sanctions pénales pouvant atteindre 4% du CA mondial ou 20 M€ au regard du dispositif RGPD)
liés au renforcement du cadre légal en matière de protection des données personnelles ;
✓ attentes croissantes en termes de pratiques éthiques ou plus largement de « confiance numérique » exprimées par les clients (potentiellement par
clauses contractuelles) et leurs propres parties prenantes ;
la Direction Générale de DT-NG avait décidé en 2017 de commanditer une analyse de risques combinée « Security & Privacy by Design » portant sur
ladite plateforme telle que pressentie à la cible, et ce, en s’appuyant sur la méthode EBIOS 2010, faisant à l’époque référence en matière de
management des risques liés à la sécurité de l’information.

Les objectifs étaient alors multiples : dresser la liste des exigences idoines en matière de conformité légale et plus largement de confiance numérique
dans le cadre d’une démarche d’implémentation certifiable de Système de Management de la Sécurité de l’Information (SMSI) connoté « Cloud
computing » et « Privacy » en vue de les intégrer au cahier des charges de la future plateforme, quitte à revoir au passage certaines lignes stratégiques
du business model établi, tel que le renoncement provisoire à l’activité de pérennisation des viviers de candidats par le biais de la revente de données à
des courtiers spécialisés (data brokers).

Club EBIOS 77
 Avant-propos : Rappel du contexte
Si le plan de traitement du risque résultant de l’analyse EBIOS 2010 réalisée sur la base des éléments communiqués a globalement été suivi, en
donnant lieu à la mise en œuvre de mesures de sécurité organisationnelles et techniques conformément aux recommandations s’appuyant sur le cadre
de référence établi, certaines décisions postérieures à ladite analyse ont été prises. Parmi celles-ci, on notera, compte tenu de la difficulté à recruter et
conserver des profils qualifiés dans le domaine, le recours à une prestation de sous-traitance auprès d’une société indienne basée à Bangalore et
spécialisée en data science.
Par ailleurs, sur le plan de la prospection commerciale, DN-NG a entre temps remporté (en consortium avec un cabinet de conseil réputé) un marché
public initié par une administration gouvernementale de premier plan (*), dans le cadre d’un PoC (Proof of Concept) visant à interfacer la base RH avec
la plateforme S.A.B.E. officiellement dans l’optique de « rationaliser » la gestion de carrière du personnel (fonctionnaires et contractuels) et d’objectiver
la délivrance de promotions pour l’accès aux fonctions clé de l’organisation.

(*) Scénario fictif visant à illustrer la présente étude de cas, toute ressemblance avec des organismes existants serait purement fortuite.

Club EBIOS 88
 Avant-propos : Rappel du contexte

Fin décembre 2018, coup de théâtre, des fuites provenant d’un site d’information indépendant révèlent, éléments de preuve à l’appui, l’existence
d’expérimentations auxquelles se serait livré une administration de l’Etat, consistant à établir, par corrélation et intelligence artificielle (IA), un
profilage du personnel et à établir des grilles de compatibilité et d’incompatibilité avec certaines fonctions, sur la base de critères personnels
« légalement contestables » (pour ne pas dire illicites) telles que les orientations politiques ou encore des accointances avec certaines personnalités
ou courants de pensées, susceptibles d’être collectés et analysés aussi bien à partir de traces laissées sur Internet que de sources internes.

Après investigation et collecte de preuves numériques, les fuites en question tiendraient leur origine d’une exfiltration de données
vraisemblablement opérée par une officine hacktiviste à tendance altermondialiste, qui auraient exploité certaines informations communiquées par
un ex-employé data-scientiste soudoyé, afin de s’introduire dans le système de la plateforme S.A.B.E., par le biais de la connexion VPN, après avoir
compromis par spear phishing un poste de développement localisé en Inde …

Club EBIOS 99
 Avant-propos : Rappel du contexte

So that tomorrow
will never look like before …

Le pic de crise passé, après étouffement de l’affaire par le gouvernement avec la connivence des médias compte tenu des enjeux de réputation et de
l’onde de choc provoqué par ce scandale, et après avoir procédé à un changement tactique de la raison sociale en « WeTalents » (*) (désigné par WT),
les associés/actionnaires de l’ex-société DT-NG ont pris la décision de céder prématurément la société à des acteurs majeurs du numérique toujours
présents sur les rangs.

Néanmoins, dans le cadre de la due diligence, il est demandé aux cadres dirigeants de WT d’apporter une assurance raisonnable sur le fait que
l’exposition de la société au risque cyber est maîtrisé et durablement placé sous contrôle, selon un angle de vision étendu à l’ensemble de l’écosystème
et aux vecteurs de compromission sous-jacents.

Pour se faire, une prestation d’expertise est confiée à une société spécialisée, qui préconise d’emblée de réaliser une analyse de risques cyber
approfondie, assortie d’un audit de sécurité complet (pentest inclus), en s’appuyant cette fois-ci sur la méthode EBIOS Risk Manager, tout en
capitalisant sur les livrables de l’analyse EBIOS 2010 précédemment réalisée sur ce même périmètre.

(*) Entité et dénomination fictives visant à illustrer la présente étude de cas, toute ressemblance avec des organismes existants serait purement fortuite.

Club EBIOS 1010

 Avant-propos : L’approche « par le risque » complémentaire à l’approche « par la conformité »
Démarche hybride EBIOS 2010 / EBIOS RM pour une approche proportionnée du management du risque numérique
Niveau de cybermenace potentiel > Risque cyber
[capacité, ciblage, sophistication des cyberattaques]

Itération 2

Avancé
Avancé
Approche ciblée, (analyse raffinée)
Analyse fine par modélisation de la cybermenace
du risque cyber via des « chemins d’attaque sophistiqués »
considérés comme pertinents

Approche à large spectre,

Risques accidentels et environnementaux par priorisation des mesures de sécurité
issues du « socle de sécurité »
Elaboré Application avec discernement au regard des « risques usuels »
du cadre légal et réglementaire,
voire normatif Itération 1
(analyse initiale)
Ordinaire

Application ad hoc
des règles élémentaires
et recours aux standards
EBIOS 2010
de bonnes pratiques

Sources de risque Appréciation du risque Traitement du risque

numérique numérique numérique
Adhérence normative avec l’ISO 31000:2018
Club EBIOS 1111
Avant-propos : Méthodologie détaillée EBIOS Risk Manager

Club EBIOS 1212

Avant-propos : Modélisation d’un scénario de cyberattaque sous les angles attaque/défense

Vision stratégique
de la cyberattaque
orientée opportunité

Vision stratégique
de la cyberdéfense
orientée risque

Vision opérationnelle
de la cyber-attaque et de la cyberdéfense
orientée moindre effort

(CAS)
(MOD)

Club EBIOS 1313

Atelier 1 : Cadrage et socle de sécurité

Club EBIOS 1414

1a. définir le cadre de l’étude
Rappel du contexte et de l’objet de l’étude (cf. avant-propos ci-avant)

Dans le cadre de la due diligence, il est demandé aux cadres dirigeants de WT d’apporter une assurance raisonnable sur le fait que
l’exposition de la société au risque cyber est maîtrisé et durablement placé sous contrôle, selon un angle de vision étendu à
l’ensemble de l’écosystème et aux vecteurs de compromission sous-jacents.

Domaine d’application : Cybersécurité > Sécurité des systèmes d’information (SSI) sous l’angle de la cybermalveillance
Nature de l’étude : analyse de risques cyber, basé sur la méthode EBIOS Risk Manager (ANSSI)
Finalité de l’étude : Utilisation des scénarios de risques pour conduire un audit de sécurité complet (pentest inclus)
Eléments d’entrée de l’étude : livrables de l’analyse de risques SSI, basé sur la méthode EBIOS 2010, précédemment réalisée

Sécurité des systèmes d’information

> Critères de sécurité (DIC)

D I C

Disponibilité Intégrité Confidentialité

Club EBIOS 1515

1b. définir le périmètre métier et technique de l’objet étudié
Modélisation des biens essentiels (fonctions essentielles)

Fonctions métier
(activités clé)
> impacts métier potentiels
sur l’organisation et les parties prenantes externes (impacts collatéraux / différenciés)

e-service #1

e-service #X

Fonctions support
Opération Opération
(activités de soutien)
de traitement #1 de traitement #N
> impact DICL potentiels
sur les fonctions métier
Création de valeur
(marge, notoriété, efficience,
innovation, contribution sociétale, …)

Modèle de la chaîne de valeur*

* Source : Modèle de la chaîne de valeur de Mickael Porter

Club EBIOS 1616

1b. définir le périmètre métier et technique de l’objet étudié
Modélisation des biens essentiels (fonctions essentielles)
Sources publiques Fonctions métier (e-services)
(WWW)
e-service de monitoring de la e-réputation de l’entreprise

e-service de sourcing en recrutement

Sources privées
e-service de management de la performance
(entreprises
Objectifs
(WT)
clientes) e-service de développement des compétences stratégiques
et opérationnels
(aide à la décision)
Toutes Sources Pérennisation des viviers de candidats

Fonctions support (opérations de traitement)

Préparation
Acquisition Analyse Restitution
& Stockage
Données Données
brutes Fonctions transverses décisionnelles
(structurées (raffinées, enrichies,
/ non structurées) Orchestration, Supervision, Simulation, Administration & Maintenance, Security & Privacy, Traçabilité consolidées)

Club EBIOS 1717

1b. définir le périmètre métier et technique de l’objet étudié
Modélisation des biens essentiels (informations essentielles liées aux fonctions métier)
Données d’entrée métier Fonctions métier Données de sortie métier
Données brutes
e-service de monitoring Données décisionnelles
liées à la e-réputation
de la e-réputation de l’entreprise liées à la e-réputation
Données brutes
liées à la posture et aux valeurs
Données brutes
liées aux candidats
e-service de sourcing Données décisionnelles
Données brutes en recrutement liées au sourcing en recrutement
liées aux besoins
en recrutement
Données brutes
liées à la rémunération Données décisionnelles
e-service de management
Données brutes liées au management
de la performance de la performance
liées à l’évaluation
individuelle et à la carrière
e-service de développement Données décisionnelles
Données brutes liées au développement
liées aux CV
des compétences
des compétences
Données brutes
liées aux plans de formation
Pérennisation
Données brutes des viviers de candidats
liées au marché de l’emploi

Club EBIOS 1818

1b. définir le périmètre métier et technique de l’objet étudié
Modélisation des biens essentiels (informations essentielles liées aux fonctions support)

metadata, critères, métriques, … Mots-clés, seuils, machine learning, …

Données de paramétrage
Données de paramétrage
liées à la classification,
liées au traitement analytique
à l’évaluation et à la sélection
des données

Fonctions support

Préparation
Acquisition Analyse Restitution
& Stockage

Fonctions transverses

Données de paramétrage Données d’enregistrement Données d’enregistrement

liées au management liées à la traçabilité liées à la traçabilité
des identités et droits d’accès des accès et opérations du cycle de vie des données
Identifiants non nominatifs metadata uniquement (data lineage)

Club EBIOS 1919

1b. définir le périmètre métier et technique de l’objet étudié
Correspondance entre fonctions essentielles et cycle de vie des données
(angle « Traitement DCP »)

Cycle de vie des données*

Collecte Conservation Utilisation Transfert Destruction

Préparation
Acquisition Analyse Restitution
& Stockage
Données Interfaçage Validation Data Mining Extraction en datamarts Données
Collecte multicanaux Epuration Machine learning Exploration par requêtage
brutes Normalisation Profilage
décisionnelles
Metadata tagging Ranking/Statistiques
(structurées Indexation Scoring/Trends Tableaux de bord dynamiques (raffinées, enrichies,
/ non structurées) Corrélation/ Agrégation Navigation temps réel consolidées)
Stockage brut indexé Reporting/Alerting
Purge cyclique

Fonctions support
* Source : CNIL – guide PIA-2

Club EBIOS 2020

1b. définir le périmètre métier et technique de l’objet étudié
Modélisation écosystémique du périmètre support (biens supports et flux de données)

Données brutes Données décisionnelles

Plateformes en ligne
(réseaux sociaux, sites d’emploi, Courtiers
sites institutionnels, open data, Environnement de production (data brokers, …)
presse en ligne, forum, …) (instances clients et démonstrateurs)

Utilisateurs finaux Utilisateurs finaux

des entreprises clientes Plateforme S.A.B.E en SaaS des entreprises clientes
(chargés de recrutement, (Smart Analytics for Business Enabling) (chargés de recrutement,
managers, chargé de com., …) managers, chargé de com., …)

Systèmes en interface Environnements hors production

des entreprises clientes Services d’hébergement d’infrastructure (développement, qualification)
(SIRH, …) et de gestion de nom de domaine

Plateforme « S.A.B.E » et son écosystème

Périmètre d’étude IaaS : Infrastructure as a Service

Légende SaaS : Software as a Service
Interfaces externes

Club EBIOS 2121

1b. définir le périmètre métier et technique de l’objet étudié
Modélisation fonctionnelle du périmètre support (biens supports et flux de données)

Application Connecteurs Données

Business Intelligence & Data Viz
mobile (Customer/User Interface & Data Discovery)
de sortie décisionnelles
(App Stores) (Data Access) ▪ Mobile App
▪ Web Portal
Postes & outils ▪ Web Services
Big Data Analytics ▪ Email notification
Dev./Adm. (Data Analysis & Computing) ▪ Files download
(RLE WT) ▪ Streaming (API)
▪ Batches (ETL)
Connecteurs ▪ …
Données et flux Big Data Storage
brutes d’entrée (NoSQL Data Lake & NewSQL Data Warehouse)
(Data Hub)
Internet :
▪ Web crawling (bots) System Orchestrator
▪ Streaming (API)
▪ … (DG, BPO, BAM, IAM, RCM, …)
Clients : Hosting System
▪ Mobile App (OS, Network & Transport services, Middleware, …)
▪ Web Portal
▪ Web Services
▪ Batches (ETL) Services d’hébergement d’infrastructure en Cloud (mode IaaS) / DN Registrar
▪ Files upload (Web Portal) (Internet, Networking & Security, Storage, Virtualization, Computing, Supervision, …)
▪ …
Plateforme « S.A.B.E. » et ses composantes
DG : Data Governance (*) (*) Source Selection, Metadata Categories,
Périmètre d’étude BPO : Busines Process Orchestration Data Quality & Conistency,
Légende BAM : Business Activity Monitoring Data Scrubbing & Protection, Data Lineage,
Interfaces externes IAM : Identity & Access Management Data Persistence, Data Ownership,
RCM : Release & Change Management Policy Compliance, …

Club EBIOS 2222

1b. définir le périmètre métier et technique de l’objet étudié
Rappel des biens essentiels et des dépendances établis lors de l’étude EBIOS 2010

PM01

PM02

PM03

PM04

PM05

PS01

PS02

PS03

PS04
Label Désignation Fonctions dépendantes
Label [PM] Processus Métier / Désignation
Données décisionnelles
PM01 [REP] e-service de monitoring de la e-réputation de l’entreprise DMD01 [REP]
liées à la e-réputation
X
Données décisionnelles
PM02 [REC] e-service de sourcing en recrutement DMD02 [REC] X X
liées au sourcing en recrutement
Données décisionnelles
PM03 [PRF] e-service de management de la performance DMD03 [PRF] X X
liées au management de la performance
Données décisionnelles
PM04 [CPT] e-service de développement des compétences DMD04 [CPT] X X
liées au développement des compétences

PM05 [VIV] e-service de pérennisation des viviers de candidats Données brutes

DMB01 [REP] X
Label [PS] Processus Support / Désignation liées à la e-réputation
Données brutes
DMB02 [POS] X
PS01 [ACQ] Acquisition liées à la posture et aux valeurs
Données brutes
DMB03 [CAN] X
PS02 [P&S] Préparation & Stockage liées aux candidats
Données brutes
DMB04 [BES] X
PS03 [ANL] Analyse liées aux besoins en recrutement
Données brutes
DMB05 [REM] X
PS04 [RST] Restitution liées à la rémunération
Données brutes
DMB06 [EVA] X X
liées à l’évaluation individuelle et à la carrière
Données brutes
DMB07 [CUR] X
liées aux cursus et aptitudes
Données brutes
DMB08 [FOR] X
liées aux plans de formation
Données brutes
DMB09 [MAR] X X X
liées au marché de l’emploi

Données de paramétrage
DST01 [CLA] liées à la classification, à l’évaluation et à la X X X
sélection
Données de paramétrage
DST02 [ANL] X X
liées au traitement analytique des données
Données de paramétrage
DST03 [IAM] X X X X
liées au management des identités et droits d’accès
Données d’enregistrement
DST04 [TAO] X X X X
liées à la traçabilité des accès et opérations
Données d’enregistrement
DST05 [TCD] X X X X
liées à la traçabilité du cycle de vie des données

Club EBIOS 2323

1b. définir le périmètre métier et technique de l’objet étudié
Rappel des biens supports et des dépendances établis lors de l’étude EBIOS 2010

Club EBIOS 2424

1c. identifier les événements redoutés et évaluer leur niveau de gravité
Factorisation des évènements redoutés établi lors de l’étude EBIOS 2010 en tenant compte de l’évolution du contexte

Valeur Métier (VM) Évènement redouté (ER) EBIOS 2010 Évènement redouté (ER) DIC Gravité (G)

DMB05, DMB06, DMD03, DMD04 ER09, ER10, ER13, ER14 ER101 - Divulgation de données décisionnelles liées au management des ressources humaines C 4

DST01, DST02, DST03 ER22 ER102 - Divulgation de données techniques de paramétrage C 4

PM03, PM04 ER02, ER03 ER103 - Altération des données brutes clients liées au management des ressources humaines I 3

Club EBIOS 2525

1d. déterminer le socle de sécurité
DP : Données Personnelles

Sigle Type de référentiel Emetteur Titre Champ d’application Application

Sécurité et Protection DP
CSA-BD-S&P Guide méthodologique CSA Big Data - Security and Privacy Handbook Ecarts majeurs
de systèmes Big Data
Information technology - Security techniques
Protection DP
ISO-27018 Norme internationale ISO/IEC - Code of practice for protection of personally identifiable information (PII) Ecarts majeurs
en Cloud
in public clouds acting as PII processors
Information technology - Security techniques
Sécurité de l’information
ISO-27017 Norme internationale ISO/IEC - Code of practice for information security controls based on ISO/IEC 27002 Ecarts majeurs
en Cloud
for cloud services
Systèmes de management de la sécurité de l’information
SMSI (DdA) Norme internationale ISO/IEC Sécurité de l’information Ecarts majeurs
[ISO/IEC 27001:2013] - Annexe A / Déclaration d’Applicabilité (DdA)
Référentiel relatif aux traitements de données a caractère personnel
mis en œuvre par des organismes prives ou publics
aux fins de gestion du personnel (version projet)
CNIL-GRH Référentiel CNIL Note : Référentiel adossé aux dispositions du règlement général sur la Protection DP Ecarts majeurs
protection des données (RGPD - UE/2016/679 ),
à la loi « Informatique et Libertés » (LIL - n° 78-17 modifiée),
ainsi qu’au code du travail.
Application
WT-BCR Référentiel interne WT Code de conduite relatif à la protection des données personnelles Protection DP Complète
Complète
WT-PSSI Référentiel interne WT Politique de Sécurité des Systèmes d’Information (PSSI) Sécurité de l’information Complète
Ecarts mineurs
SEC-DP Guide CNIL La sécurité des données personnelles (v2018) Protection DP Complète Ecarts majeurs
HYG-INF Guide ANSSI Hygiène informatique (v2.0) – règles de niveau standard Sécurité informatique Complète Non-effective
N/A
Note : Le focus est fait ici par rapport aux référentiels directement applicables (normes et guides), le cadre de référence ayant déjà été spécifié lors de la première itération sous EBIOS 2010.

Club EBIOS 2626

1d. déterminer le socle de sécurité
Structure et thématiques du guide ANSSI | Hygiène informatique [HYG-INF]

I - Sensibiliser et former

II - Connaitre le système d’information

III - Authentifier et contrôler les accès

IV - Sécuriser les postes

V - Sécuriser le réseau

VI - Sécuriser l’administration

VII - gérer le nomadisme

VIII - Maintenir à jour le système d’information

IX - Superviser, auditer, réagir

Application
X - Pour aller plus loin
Complète
Ecarts mineurs
Ecarts majeurs
Non-effective
N/A

Club EBIOS 2727

1d. déterminer le socle de sécurité
Structure et thématiques du guide CNIL | Sécurité des données personnelles [SEC-DP]

1. Sensibiliser les utilisateurs

2. Authentifier les utilisateurs
3. Gérer les habilitations
4. Tracer les accès et gérer les incidents
5. Sécuriser les postes de travail
6. Sécuriser l'informatique mobile
7. Protéger le réseau informatique interne
8. Sécuriser les serveurs
9. Sécuriser les sites web
10. Sauvegarder et prévoir la continuité d'activité
11. Archiver de manière sécurisée
12. Encadrer la maintenance et la destruction des données
13. Gérer la sous-traitance
14. Sécuriser les échanges avec d'autres organismes Application
Complète
15. Protéger les locaux
Ecarts mineurs
16. Encadrer les développements informatiques
Ecarts majeurs
17. Chiffrer, garantir l’intégrité ou signer
Non-effective
N/A

Club EBIOS 2828

 1d. déterminer le socle de sécurité
Structure et thématiques de la norme ISO/IEC 27001:2013 - Annexe A SMSI (DdA) étendue ISO/IEC 27017 et 27018

A5. Politiques de sécurité de l’information

A6. Organisation de la sécurité de l’information

A7. Sécurité des ressources humaines

A8. Gestion des actifs

A9. Contrôle d’accès

A10. Cryptographie

A11. Sécurité physique et environnementale

A12. Sécurité liée à l’exploitation

A13. Sécurité des communications

A14. Acquisition, développement et maintenance des systèmes d’information

Application
A15. Relations avec les fournisseurs
Complète
A16. Gestion des incidents liés à la sécurité de l’information Ecarts mineurs

A17. Continuité de la sécurité de l’information Ecarts majeurs

Non-effective
A18. Conformité
* Système de Management de la Sécurité de l’Information N/A
/ Déclaration d’Applicabilité (DdA)

Club EBIOS 2929

1d. déterminer le socle de sécurité
Structure et thématiques du guide Cloud Security Alliance | Big Data - Security and Privacy Handbook [CSA-BD-S&P]

1. Secure Computations in Distributed Programming Frameworks

2. Security Best Practices for Non-Relational Data Stores

3. Secure Data Storage and Transaction Logs

4. Endpoint Input Validation / Filtering

5. Real-Time Security / Compliance Monitoring

6. Scalable and Composable Privacy-Preserving Analytics

7. Cryptographic Technologies for Big Data

8. Granular Access Control

Application
9. Granular Audits Complète
Ecarts mineurs
10. Data Provenance
Ecarts majeurs
Non-effective
N/A

Club EBIOS 3030

Atelier 2 : Sources de risque

Club EBIOS 3131

2a. Identifier les sources de risque et les objectifs visés
Catégorisation Catégorisation Types d’impact

Caractère ciblé / non-ciblé SR App. Motivation prédominante OV OPE FIN JUR REP

SR1 - Code malveillant ✓ OV1 - Fraude financière ⚫

Sources de risques
liées aux attaques SR2 - Botnet ✓ OV2 - Rançonnage ⚫
opportunistes (non-ciblées) Gain financier
pour l’attaquant (SR)
SR3 - Hacker isolé ✓ OV3 - Vol de données ⚫

SR4 - Organisation cybercriminelle ✓ OV4 - Exploitation illégitime de données ⚫

SR5 - Organisation hacktiviste ✓ OV5 - Divulgation de données ⚫

SR6 - Organisation cyberterroriste  OV6 - Altération / Détournement de données ⚫

Sources de risques
liées aux attaques SR7 - Utilisateur client malhonnête  OV7 - Entrave au fonctionnement ⚫
ciblées
Préjudices
SR8 - Employé / Prestataire pour la victime OV8 - Atteinte à la trésorerie ⚫
✓
corrompu ou négligent ou son écosystème
SR9 - Ex-partie prenante en quête OV9 - Poursuites judiciaires ⚫
de vengeance ou de profit ✓
(Employé / Prestataire / Utilisateur / Client) OV10 - Atteinte à l’image ⚫

✓ Retenu OV11 - Désordre sociétal ⚫

 Non retenu
Types d’impact : OPE : Opérationnel; FIN : Financier; JUR : Juridique; REP : Réputation

Club EBIOS 3232

2b. évaluer les couples SR/OV

SR OV Motivation Ressources Activité Pertinence

SR1- Code malveillant OV6, OV7 ** ** * 5 Moyenne

SR2 - Botnet OV7 ** ** * 5 Moyenne

SR3 - Hacker isolé OV1, OV3, OV10 * * * 3 Faible

SR4 - Organisation cybercriminelle OV1, OV2, OV3, OV4, OV6, OV7 ** *** * 6 Moyenne
Proposition d’échelle de cotation
de la pertinence :
SR5 - Organisation hacktiviste OV5, OV7, OV8, OV9, OV10 ** ** ** 6 Moyenne ▪ Ʃ(Mot,Res,Act) = 3 à 4 : Faible
▪ Ʃ(Mot,Res,Act) = 5 à 6 : Moyenne
SR8 - Employé / Prestataire ▪ Ʃ(Mot,Res,Act) = 7 à 9 : Elevé
OV1, OV3, OV4 * ** *** 6 Moyenne
corrompu ou négligent
SR9 - Ex-partie prenante en quête de
OV5, OV6, OV7, OV8, OV9, OV10 *** ** *** 8 Elevé
vengeance ou de profit

Sélection des couples SR/OV dont la pertinence est > 5

(parti pris au regard de la distribution des estimations)

Club EBIOS 3333

2c. sélectionner les couples SR/OV jugés prioritaires pour poursuivre l’analyse

SR OV Pertinence Radar de pertinence raffinée (point de vue SR) Radar de pertinence raffinée (point de vue OV)
Attaque Préjudice
OV1 - Fraude financière opportuniste SR1 OV1
recherché OV10
SR9
OV2 - Rançonnage OV8
OV6
OV3 - Vol de données SR2 OV7 OV2
SR4 - Organisation cybercriminelle Moyenne OV9 SR8 OV9
OV4 - Exploitation illégitime de données OV5 OV3 OV1 SR5
OV6 - Altération / Détournement de données OV10 OV4 SR4 SR9
OV7 - Entrave au fonctionnement SR3 4 3 2 1 OV3 4 3 2 1
OV2
OV5 - Divulgation de données OV6 OV10 OV8
OV3
OV7 - Entrave au fonctionnement OV1 OV4 OV5
SR5 - Organisation hacktiviste OV8 - Atteinte à la trésorerie Moyenne SR4 SR9
OV7 OV9 OV4 SR4
OV9 - Poursuites judiciaires OV7 SR5 OV7
OV8
OV10 - Atteinte à l’image SR5 OV5
Attaque OV6
Gain financier
OV1 - Fraude financière ciblée recherché
SR8 - Employé / Prestataire
OV3 - Vol de données Moyenne
corrompu ou négligent
OV4 - Exploitation illégitime de données Couple SR/OV retenu
OV5 - Divulgation de données Concept
Couple SR/OV intermédiaire retenu expérimental
OV6 - Altération / Détournement de données
SR9 - Ex-partie prenante en quête OV7 - Entrave au fonctionnement Couple SR/OV non retenu
Elevée
de vengeance ou de profit OV8 - Atteinte à la trésorerie
OV9 - Poursuites judiciaires
OV10 - Atteinte à l’image

SR Objectif Visé intermédiaire (OVi) Objectif Visé (OV) Pertinence raffinée

SR9 - Ex-partie prenante en quête
OV5 - Divulgation de données OV10 - Atteinte à l’image Elevée
de vengeance ou de profit
SR5 - Organisation hacktiviste OV5 - Divulgation de données OV10 - Atteinte à l’image Moyenne
SR4 - Organisation cybercriminelle OV6 - Altération / Détournement de données OV2 - Rançonnage Moyenne

Club EBIOS 3434

Atelier 3 : Scénarios stratégiques

Club EBIOS 3535

 3a. construire la cartographie de menace numérique de l’écosystème […]
Recensement des parties prenantes (acteurs internes et externes)
Organisation interne interfaces clients Tiers

WT Entreprises clientes Hébergement Cloud

Direction Générale (DG) Direction Générale Plateformes en ligne

Direction Commerciale & Marketing (DCM) Direction RH Courtiers (data brokers)

FO
Ingénieurs commerciaux Chargés de recrutement Candidats potentiels
et réseaux de contacts
Direction Métier (DM) Responsables/chargés RH
CNIL
MO Chargés de clientèle Responsable formations FO : Front-Office
MO : Middle-Office
Analystes métier Direction Com / Marketing Prestataire BOD BOD : Back-Office Digital
RH : Ressources Humaines
Direction Technique (DT) Chargé de Com (CM) Com : Communication
CM : Community Manager
CISO : Chief Information Security Officer
Analystes de données Directions opérationnelles DPO : Data Protection Officer
BOD
Développeurs Managers opérationnels
Légende
Administrateurs Collaborateurs opérationnels
Périmètre d’étude
… DPD (DPO) Prestataires de sous-traitance

RSSI (CISO) Utilisateurs finaux

potentiels/pressentis
Délégués du personnel de la plateforme S.A.B.E.

Club EBIOS 3636

 3a. construire la cartographie de menace numérique de l’écosystème […]
Modification de la modélisation des biens supports antérieurement réalisée sous EBIOS 2010, comme suit :

X : Support à la production
(X) : Support à l'intégration ou l'administration
U : Support à l'utilisation

Club EBIOS 3737

 3a. évaluer le niveau de menace des parties prenantes
Exposition / Fiabilité Cyber = Niveau de menace

Catégorie Index Partie prenante Dépendance Pénétration Exposition Maturité Confiance Fiabilité niv. de
fonctionnelle x = x = cyber Menace

C1 Prospects (Démo) 1 1 1 1 1 1 1

Client C2 Clients SaaS 2 3 6 1 3 3 2

C3 Client avec SIRH interfacé 2 3 6 2 3 6 1

Prestataires
P1 Plateforme d’hébergement 4 4 16 3 2 6 2,7 ≥ 2,5
infrastructures

E1 Employés MO 4 3 12 2 4 8 1,5

Experts métiers E2 Prestataires de sous-traitance BOD 3 4 12 1 3 3 4 ≥ 2,5

Plateformes tiers de confiance

E3 3 1 3 2 2 4 0,8 < 0,9
& référentiels open-data

Club EBIOS 3838

3a. sélectionner les parties prenantes critiques

Experts
métier
E1: Employés MO

E2 : Prestataire de sous-traitance BOD

E3 : Plateformes tiers de confiance & référentiels open-data

P1 : Infrastructure d’hébergement C1 : Prospects (démo)

C2: Clients SaaS

C3 : Client avec SIRH interfacé

Prestataires
infrastructure Clients

Club EBIOS 3939

 3b. élaborer des scénarios stratégiques (SR/OV/CAS)
Index Source de Risque (SR) Objectif Visé intermédiaire (OVi) Objectif Visé (OV) Scénario | Chemin d’Attaque Stratégique (CAS) ER DIC G
Divulgation de données décisionnelles clients
ou de données analytiques après exfiltration
SR9 - Ex-partie prenante en quête
• 1. suite à une cyber-attaque ciblée indirecte ER101,
SST1 de vengeance ou de profit OV5 - Divulgation de données OV10 - Atteinte à l’image C 4
via le sous-traitant BOD (E2) ER102
SR5 - Organisation hacktiviste
• 2. suite à une cyber-attaque ciblée directe
via usurpation de comptes d’accès clients (C2 / C3)

Exfiltration
2. Canal d’exfiltration de données
direct
SR9 Contrôle à distance
1. Canal d’exfiltration
d’un poste administrateur
indirect

Sous-traitant BOD Données Données

(E2) décisionnelles analytiques
SR5
clients

Ecosystème de parties prenantes critiques Plateforme S.A.B.E.

Club EBIOS 4040

 3b. élaborer des scénarios stratégiques (SR/OV/CAS)
Index Source de Risque (SR) Objectif Visé intermédiaire (OVi) Objectif Visé (OV) Scénario | Chemin d’Attaque Stratégique (CAS) ER DIC G
Entrave au fonctionnement des e-services
OV6 - Altération / Détournement par cryptage de données brutes clients
SST2 SR4 - Organisation cybercriminelle OV2 - Rançonnage ER103 DI 3
de données • 1. suite à une cyber-attaque opportuniste indirecte
via l’infrastructure d’hébergement (P1)

Cryptage
de données
SR4 Intrusion sur l’infrastructure 1. Canal de compromission
Cloud indirect
Données
Infrastructure brutes clients
d’hébergement
(P1)

Ecosystème de parties prenantes critiques Plateforme S.A.B.E.

Club EBIOS 4141

 3c. définir des mesures de sécurité sur l’écosystème

niv. de niv. de
Catégorie Index Partie prenante Scénario | Chemin d’Attaque Stratégique (CAS) Mesure de sécurité stratégique Menace Menace
initial résiduel
SST1. Entrave au fonctionnement des e-services Augmentation de la fiabilité cyber de la sous-traitance BOD en
par cryptage de données brutes clients optant pour un contrat de service auprès d’une société
localisée en zone UE (de facto soumise au RGPD) s’appuyant
• 1. suite à une cyber-attaque ciblée indirecte
sur une due diligence en matière de sécurité de l’information
via le sous-traitant BOD (E2)
au titre de l’auditabilité et intégrant des clauses de sécurité des
Prestataires développements et de protection des données applicable aux
Experts métiers E2 4 0,75
de sous-traitance BOD intervenants sur l’affaire

Souscrire parallèlement à un contrat de cyberassurance

en cas de cyber-attaque impactant les données clients de façon
à couvrir les frais d’expertise et de défense en cas de
procédure judicaire
SST2. Divulgation de données décisionnelles clients
Augmentation de la fiabilité cyber de l’hébergeur Cloud
ou de données analytiques après exfiltration
Prestataires en optant pour un contrat de service auprès d’une société
P1 Plateforme d’hébergement 2,7 2
infrastructures • 1. suite à une cyber-attaque opportuniste certifiée ISO/IEC 27001 et CSA STAR et toujours localisée en
indirecte via l’infrastructure d’hébergement (P1) zone UE

niv. de
Dépendance Fiabilité
Index
fonctionnelle
x Pénétration = Exposition Maturité x Confiance = cyber
Menace
résiduel
P1 4 4 16 4 2 8 2 < 2,5
E2 3 4 12 4 4 16 0,75 < 0,9

Exposition inchangée

Club EBIOS 4242

Atelier 4 : Scénarios opérationnels

Club EBIOS 4343

 4a. élaborer les scénarios opérationnels
Index Source de Risque (SR) Objectif Visé intermédiaire (OVi) Objectif Visé (OV) Chemin d’Attaque Stratégique (CAS)
SR9 - Ex-partie prenante en quête Divulgation de données décisionnelles clients
SST1 de vengeance ou de profit OV5 - Divulgation de données OV10 - Atteinte à l’image ou de données analytiques après exfiltration
SR5 - Organisation hacktiviste

CONNAITRE RENTRER TROUVER EXPLOITER

Action frauduleuse Usurpation de compte client

d’authentifiants clients récupérés sur la plateforme applicative
par un ex-prestataire BOD S.A.B.E.

PS : 3 | DT : 2 PS : 4 | DT : 0

Entrée en contact
d’un ex-prestataire BOD avec
une organisation hacktiviste

PS : N/A | DT : N/A

Identification Envoi d’un email ciblé Installation d’un spyware Espionnage à distance Exfiltration de preuves
d’un intervenant cible comportant une charge sur le poste administrateur local de traitements compromettantes et
chez le sous-traitant BOD malveillante en pièce jointe après ouverture de la pièce jointe de données sensibles publication sur Internet

PS : N/A | DT : N/A PS : 2 | DT : 1 PS : 2 | DT : 1 PS : 3 | DT : 2 PS : 2 | DT : 1

Modes opératoires considérés (MO) Probabilité de succès Min (PS) Difficulté technique Max (DT) Vraisemblance (V)
SST1 - MO1 3 - Très élevé 2 - Modéré 3 - Très vraisemblable
SST1 - MO2 2 - Significative 3 - Elevé 2 - Vraisemblable
Scénario global (Max) 3 - Très vraisemblable

Club EBIOS 4444

 4a. élaborer les scénarios opérationnels
Index Source de Risque (SR) Objectif Visé intermédiaire (OVi) Objectif Visé (OV) Chemin d’Attaque Stratégique (CAS)
OV6 - Altération / Détournement Entrave au fonctionnement des e-services
SST2 SR4 - Organisation cybercriminelle OV2 - Rançonnage
de données par cryptage de données brutes clients

CONNAITRE RENTRER TROUVER EXPLOITER

Scan de ports Attaque brute force Usurpation de compte et Propagation furtive du Cryptage à la volée
sur les services réseau sur le service bureau installation d’un ransomware cryptovirus via des données
en écoute sur Internet d’accès à distance sur le serveur d’accès les partages réseau systèmes et métier

PS : 4 | DT : 1 PS : 3 | DT : 2 PS : 3 | DT : 1 PS : 3 | DT : 2 PS : 4 | DT : 2

Modes opératoires considérés (MO) Probabilité de succès Min (PS) Difficulté technique Max (DT) Vraisemblance (V)
SST2 - MO1 3 - Très élevé 2 - Modéré 3 - Très vraisemblable
Scénario global (Max) 3 - Très vraisemblable

Club EBIOS 4545

4b. évaluer leur vraisemblance
Index Source de Risque (SR) Scénario | Chemin d’Attaque Stratégique (CAS) V
Divulgation de données décisionnelles clients 3
ou de données analytiques après exfiltration
SR9 - Ex-partie prenante en quête
• 1. suite à une cyber-attaque ciblée indirecte 3
SST1 de vengeance ou de profit
via le sous-traitant BOD (E2)
SR5 - Organisation hacktiviste
• 2. suite à une cyber-attaque ciblée directe 2
via usurpation de comptes d’accès clients (C2 / C3)
Entrave au fonctionnement des e-services 3
par cryptage de données brutes clients
SST2 SR4 - Organisation cybercriminelle
• 1. suite à une cyber-attaque opportuniste 3
indirecte via l’infrastructure d’hébergement (P1)

Club EBIOS 4646

Atelier 5 : Traitement du risque

Club EBIOS 4747

5a. réaliser la synthèse des scénarios de risque
Index Descriptif SST | CAS V G R

R101 Divulgation de données décisionnelles clients ou de données analytiques après exfiltration suite à une cyber-attaque ciblée indirecte SST1 | 1 3 4 4
menée par une organisation hacktiviste en lien avec un ex-prestataire, via le sous-traitant BOD
R102 Entrave au fonctionnement des e-services par cryptage de données brutes clients suite à une cyber-attaque opportuniste indirecte SST2 | 1 3 3 4
menée par une organisation cybercriminelle via l’infrastructure d’hébergement
R103 Divulgation de données décisionnelles clients ou de données analytiques après exfiltration suite à une cyber-attaque ciblée directe SST1 | 2 2 4 3
menée par un ex-prestataire via usurpation de comptes d’accès clients

Gravité (G)
R103 R101
4

R102
3

1
Vraisemblance (V)
1 2 3 4
Club EBIOS 4848
5b. définir la stratégie de traitement du risque et les mesures de sécurité

Scénarios de Freins / difficultés Coût /

Index Mesure de sécurité Responsable Échéance Statut
risques associés de mise en œuvre Complexité
Gouvernance
Choisir un contrat de service pour la sous-traitance
BOD auprès d’une société localisée en zone UE.
Anticiper la fin de contrat avec le
MSG1 Formaliser un plan assurance sécurité précisant les R101, R103 DM, DPO, RSSI ++ 12 mois A planifier
sous-traitant actuel
règles de sécurité organisationnelles et techniques
appliquées
Pour le choix de l’hébergeur Cloud, exiger la
Anticiper la fin de contrat avec
MSG2 certification ISO/IEC 27001, voire CSA STAR et que les R101, R103 DT, RSSI, DPO ++ 9 mois En cours
l’hébergeur actuel
données traitées soient toujours localisées en zone UE
Intégrer des clauses de sécurité dans les contrats avec
R101, R102, Effectué au fil de l’eau à la
MSG3 l’ensemble des prestataires (auditabilité, DM, DT, RSSI ++ 12 mois A planifier
R103 renégociation des contrats
confidentialité, incidents de sécurité, etc.)
Souscrire à un contrat de cyberassurance R101, R102, Faire une étude de marché pour
MSG4 DG, RSSI ++ 6 mois En cours
en cas de cyber-attaque impactant les données clients R103 évaluer les différentes solutions
Mise en place de CGU (Conditions Générales Faire valider la licéité du contenu
MSG5 d’Utilisation) applicables aux utilisateurs clients et R101, R103 DM, DT, RSSI, DPO auprès d’un cabinet d’avocat + 6 mois En cours
d’une charte administrateur opposables spécialisé
Mise en place d’une procédure de notification R101, R102, A intégrer dans la gestion des
MSG6 DPO, RSSI ++ 6 mois En cours
d’incident de sécurité vers les entreprises clientes R103 incidents de sécurité (MSG3)
Audit de sécurité organisationnel des prestataires Acceptation de la démarche par
R101, R102,
MSG7 assurant l’hébergement cloud et le BOD. Mise en RSSI les prestataires (MSG1, MSG2 et +++ 18 mois A planifier
R103
place et suivi des plans d’action correctifs MSG3)

Club EBIOS 4949

5b. définir la stratégie de traitement du risque et les mesures de sécurité

Scénarios de Freins / difficultés Coût /

Index Mesure de sécurité Responsable Échéance Statut
risques associés de mise en œuvre Complexité
Protection
Chiffrer en natif les mots de passe clients stockés et
MSP1 R103 DT Gestion des clés de chiffrement ++ 3 mois Implémenté
lors de l’authentification
Définir une politique de gestion des mots de passe
MSP2 R102, R103 DM, DT, RSSI Réticence des clients + 6 mois A planifier
utilisateurs (complexité, renouvellement, …)
Mettre en place une notification d’alerte (email) vers Mettre en place un système de
MSP3 l’utilisateur légitime si une connexion est établie R102 DM gestion des évènements de ++ 9 mois En cours
avec son compte depuis une nouvelle adresse P sécurité (MSD2)
Mettre en place une solution de Sandboxing pour Etude de faisabilité à diligenter
MSP4 R101 DT ++ 6 mois En cours
analyser préventivement les emails entrants et PJ auprès de l’hébergeur cloud
Défense
Souscrire à un service SOC pour la surveillance des
R101, R102, Etude de faisabilité à diligenter
MSD1 flux par une sonde IDS, l’analyse et la corrélation des DM, DT, RSSI +++ 18 mois A planifier
R103 auprès de l’hébergeur cloud
journaux d’évènements par un SIEM
Mettre en place un bastion d’administration avec
MSD2 authentification forte (OTP, certificats, …) pour R102, R103 DT Réticence des administrateurs ++ 9 mois A planifier
sécuriser les accès à distance
Résilience
Mettre en place un dispositif de sauvegarde cloisonné
A intégrer dans le contrat
MSR1 par rapport au réseau de production, avec tests de R102 DT ++ 9 mois En cours
d’hébergement (MSG2)
restauration réguliers

Club EBIOS 5050

5b. définir la stratégie de traitement du risque et les mesures de sécurité
R101 - Divulgation de données décisionnelles clients ou de données analytiques après exfiltration
suite à une cyber-attaque ciblée indirecte (via le sous-traitant BOD)
Description et analyse du risque résiduel :
◼ Sans objet
Évènements redoutés concernés :
◼ ER101 : Divulgation de données décisionnelles liées au management des ressources humaines
◼ ER102 : Divulgation de données techniques de paramétrage
Mesures de traitement du risques complémentaires :
◼ Gouvernance : MSG1, MSG2, MSG3, MSG4, MSG5, MSG6, MSG7
◼ Protection : MSP4
◼ Détection : MSD1
◼ Résilience : N/A
Évaluation du risque résiduel :
Gravité Vraisemblance Niveau de risque
Initial 4 3 3

Résiduel 4 2 2
Gestion du risque résiduel :
◼ Sans objet

Club EBIOS 5151

5b. définir la stratégie de traitement du risque et les mesures de sécurité
R102 - Entrave au fonctionnement des e-services par cryptage de données brutes clients
suite à une cyber-attaque opportuniste indirecte (via l’infrastructure d’hébergement)
Description et analyse du risque résiduel :
◼ Sans objet
Évènements redoutés concernés :
◼ ER103 : Altération des données brutes clients liées au management des ressources humaines

Mesures de traitement du risques complémentaires :

◼ Gouvernance : MSG3, MSG4, MSG6, MSG7
◼ Protection : MSP3, MSP4
◼ Détection : MSD1, MSD2
◼ Résilience : MSR1
Évaluation du risque résiduel :
Gravité Vraisemblance Niveau de risque
Initial 3 3 3

Résiduel 2 2 1
Gestion du risque résiduel :
◼ Sans objet

Club EBIOS 5252

5b. définir la stratégie de traitement du risque et les mesures de sécurité
R103 - Divulgation de données décisionnelles clients ou de données analytiques après exfiltration
suite à une cyber-attaque ciblée directe (par un ex-prestataire via usurpation de comptes d’accès clients)
Description et analyse du risque résiduel :
◼ Sans objet
Évènements redoutés concernés :
◼ ER101 : Divulgation de données décisionnelles liées au management des ressources humaines
◼ ER102 : Divulgation de données techniques de paramétrage
Mesures de traitement du risques complémentaires :
◼ Gouvernance : MSG1, MSG2, MSG3, MSG4, MSG5, MSG6, MSG7
◼ Protection : MSP1, MSP2
◼ Détection : MSD1, MSD2
◼ Résilience : N/A
Évaluation du risque résiduel :
Gravité Vraisemblance Niveau de risque
Initial 4 2 2

Résiduel 4 1 2
Gestion du risque résiduel :
◼ Sans objet

Club EBIOS 5353

 5c. Évaluer et documenter les risques résiduels

Cartographie des risques nets Cartographie des risques résiduels

(avant traitement) (après traitement)

Gravité (G) Gravité (G)

R103 R103
4 R101 4 R101
R102
3 3

R102
2 2

1 1

1 2 3 4 1 2 3 4
Vraisemblance (V) Vraisemblance (V)

Club EBIOS 5454

5d. mettre en place le cadre de suivi des risques
Plan d’action de mise en œuvre opérationnelle (spécifications fonctionnelles)
/ Plan d’assurance des services externalisés (clauses contractuelles)

Club EBIOS 5555

5d. mettre en place le cadre de suivi des risques

Veille/Détection/Suivi de vulnérabilités, constats d'audit et actions de traitement correctif/palliatif

Club EBIOS 5656

5d. mettre en place le cadre de suivi des risques

Détection/Notification/Suivi des incidents et actions de résolution

Club EBIOS 5757

Annexes : Métriques et catalogues

Club EBIOS 5858

 Correspondance entre terminologies EBIOS 2010 et EBIOS RM
Sigle Terminologie EBIOS 2010 Sigle Terminologie EBIOS RM
D, I, C, … Critère ou besoin de sécurité D, I, C, … Critère ou besoin de sécurité
BE Bien essentiel VM Valeur métier
BS Bien support BS Bien support
ER Evènement redouté ER Evènement redouté
G/I Gravité des impacts G/I Gravité des impacts
SM Source de menace SR Source de risque

EBIOS 2010 OV Objectif visé

Pertinence
PP Partie prenante PP Partie prenante sur l’écosystème
PPC Partie prenante critique
SST Scénario stratégique
CAS Chemin d’attaque [stratégique]
MSx Mesure de sécurité [générique] MSE Mesure de sécurité sur l’écosystème
VUL Vulnérabilité VUL Vulnérabilité
SM Scénario de menace SOP Scénario opérationnel
M Menace AE Action élémentaire
EI Evènement intermédiaire
MO Mode opératoire
V Vraisemblance
R Risque R Scénario de risque
MSx Mesure de sécurité [générique] MSx
Club EBIOS Mesure de sécurité [sur le système] 5959
 Articulation entre la démarche EBIOS 2010 (outputs) et la démarche EBIOS RM (inputs)

EBIOS 2010

Club EBIOS 6060

Annexes : Métriques et catalogues
Echelle de gravité des impacts

Club EBIOS 6161

Annexes : Métriques et catalogues

Echelle de vraisemblance globale de scénario opérationnel

Club EBIOS 6262

Annexes : Métriques et catalogues

Niveau de risque et acceptabilité du risque

Matrice de criticité du risque

Club EBIOS 6363

Annexes : Métriques et catalogues

Club EBIOS 6464

Annexes : Métriques et catalogues

Radar de pertinence raffinée (point de vue SR) Radar de pertinence raffinée (point de vue OV)

SR1 OV1

SR2 OV2

SR3 4 3 2 1 OV3 4 3 2 1

SR4
SR7 OV4
OV7
SR5 SR6 OV5
OV6

Couple SR/OV retenu

Couple SR/OV non retenu

Club EBIOS 6565

Annexes : Métriques et catalogues

Club EBIOS 6666

Annexes : Métriques et catalogues

Club EBIOS 6767

Annexes : Métriques et catalogues

(AE)

> arbre/séquences d’attaque (« cyber kill chain »)

Club EBIOS 6868

Annexes : Métriques et catalogues

Méthode expresse : cotation directe de la vraisemblance globale du scénario opérationnel

Club EBIOS 6969

Annexes : Métriques et catalogues

Mesures de sécurité opérationnelles

(inclut la notion
de prévention)
Modèle de cyberdéfense
en profondeur

Protection
Résilience

Gouvernance
& anticipation

Défense

Facteur Facteur Facteur

organisationnel humain technologique

Facteurs de risques
et leviers d’action
Club EBIOS 7070
Site : https://club-ebios.org
Twitter : @club_ebios
LinkedIn : https://fr.linkedin.com/company/club-ebios

Club EBIOS 71