EBIOS RM, ISO 27005, NIST SP 800-30, OCTAVE, SQUARE, MEHARI… un RSSI qui démarre une analyse de risques croise vite une dizaine de méthodes, chacune avec son vocabulaire et ses adeptes. Le Parcours Gouvernance SSI de l’Académie du RSSI y consacre un module entier : voici un aperçu de ce qu’on y apprend à trier.
Plusieurs grilles de lecture pour un même risque
Chaque méthode répond en réalité à une question différente. ISO 27005 pose le cadre normatif, sans être opérationnelle par elle-même. EBIOS RM, portée par l’ANSSI, construit des scénarios de risque à partir des sources de menace et de leurs objectifs : la méthode s’appuie sur une cartographie précise reliant source de risque, écosystème et objet de l’étude.
MEHARI, développée par le CLUSIF, s’appuie sur une base de connaissances et des outils prêts à l’emploi. STRIDE, conçue chez Microsoft, découpe le risque composant par composant, au plus près de l’architecture technique. FAIR, enfin, traduit le risque en euros pour parler le langage des comités de direction.
Le monde anglo-saxon a ses propres références. NIST SP 800-30 tient outre-Atlantique un rôle assez proche de celui d’ISO 27005 : le guide américain décrit comment conduire une évaluation des risques et laisse à chaque organisation le soin de choisir son outillage. OCTAVE, née au CERT de l’université Carnegie Mellon, se rapproche davantage d’EBIOS RM dans son esprit, avec des ateliers animés en interne et une entrée par les activités métier les plus critiques, mais on la rencontre surtout aux États-Unis. SQUARE, issue de la même équipe, se situe à un autre niveau puisqu’elle sert à faire émerger les exigences de sécurité au moment où l’on conçoit une application.
Aucune de ces méthodes ne suffit seule à tout couvrir : une PME avec un système d’information centralisé n’a pas les mêmes besoins qu’un groupe international multisite, et une équipe DevSecOps ne pose pas les mêmes questions qu’un comité de direction. Le choix de la méthode fait partie de l’analyse de risques, au même titre que l’analyse elle-même.
Reconstituer le fil d’une attaque
Une fois les menaces identifiées vient une deuxième question : comment se déroule concrètement une attaque ? Deux modèles font référence pour reconstituer ce fil. La Cyber Kill Chain, élaborée par Lockheed Martin, découpe une intrusion en sept étapes, de la reconnaissance jusqu’à l’atteinte des objectifs.
Le référentiel MITRE ATT&CK va beaucoup plus loin, avec quatorze tactiques déclinées en plusieurs matrices selon l’environnement visé : systèmes d’entreprise, mobile, environnements industriels. Dans le Parcours Gouvernance SSI, la construction d’un chemin d’attaque se travaille aussi à l’échelle d’EBIOS RM, avec une lecture volontairement plus synthétique. Le bon niveau de détail dépend de l’usage : une présentation en comité de direction n’a pas besoin de la même granularité qu’un plan de détection pour une équipe SOC.
Une compétence qui se travaille en situation
Savoir choisir entre ces méthodes et les adapter au contexte d’une organisation, c’est précisément ce que travaillent nos Cyber Académiciennes et Académiciens dans le module Définition du cadre d’analyse des risques cyber du Parcours Gouvernance SSI, à travers des cas pratiques et des mises en situation.
Ces arbitrages entre méthodes se travaillent en profondeur, sur des cas réels, dans le Parcours Gouvernance SSI de l’Académie du RSSI. Découvrez les prochaines sessions et construisez votre propre grille de lecture du risque.