Analyse de risques EBIOS RM en PME — le kit de démarrage réaliste

Pourquoi EBIOS RM fait peur aux PME (et pourquoi il ne devrait pas)

EBIOS Risk Manager a été conçu par l'ANSSI pour des organisations qui disposent d'une fonction sécurité structurée, de plusieurs semaines à consacrer à l'exercice, et d'ateliers réunissant des profils variés — métier, technique, direction. Vue depuis une PME de quelques dizaines de salariés, sans RSSI dédié, la méthode complète ressemble à un outil disproportionné par rapport aux moyens disponibles.

Cette impression n'est pas fausse. Elle est juste incomplète. Rien n'oblige à dérouler les cinq ateliers avec l'exhaustivité qu'on attendrait d'un grand compte. Ce qui compte, dans la méthode EBIOS RM, n'est pas le formalisme des livrables — c'est la manière de raisonner : partir des missions essentielles de l'organisation, identifier ce qui pourrait les empêcher de fonctionner, et prioriser en fonction de la gravité réelle plutôt que de la peur du moment.

Ce raisonnement-là tient très bien sur un format allégé. C'est ce qui justifie de le proposer aux PME plutôt que de les laisser sans rien — ou pire, avec un audit technique qui liste des vulnérabilités sans jamais les relier à ce que l'entreprise a réellement à perdre.

Les cinq ateliers, version PME

La méthode complète prévoit cinq ateliers structurés. Voici ce qui peut raisonnablement être gardé, allégé, ou reporté pour une première itération en PME :

• Atelier 1 — Cadrage et socle de sécurité. À garder intégralement, mais resserré : identifier les deux ou trois missions vraiment essentielles (celles dont l'arrêt met l'activité en danger), pas toutes les activités de l'entreprise.
• Atelier 2 — Sources de risque. Allégé : plutôt que de cartographier l'ensemble de l'écosystème des menaces, se concentrer sur les sources les plus plausibles compte tenu du secteur et de la taille de la structure.
• Atelier 3 — Scénarios stratégiques. À garder, c'est le cœur de l'exercice : relier une source de risque à un impact concret sur l'activité.
• Atelier 4 — Scénarios opérationnels. Allégé : détailler seulement les scénarios retenus comme prioritaires à l'atelier 3, pas l'ensemble des chemins d'attaque théoriquement possibles.
• Atelier 5 — Traitement du risque. À garder, avec un principe simple : préférer trois mesures réellement mises en œuvre à dix mesures listées dans un plan qui ne sera jamais suivi.

Sur cette base, un calendrier tenable sur deux semaines est réaliste : une semaine pour les ateliers 1 à 3, animés en une ou deux sessions avec les bonnes personnes dans la pièce, puis une semaine pour consolider les scénarios opérationnels et poser un plan de traitement priorisé.

Les erreurs les plus fréquentes en PME

Deux confusions reviennent systématiquement quand une PME aborde le sujet seule, sans accompagnement :

Confondre analyse de risques et audit technique. Un audit technique liste des vulnérabilités : mots de passe faibles, mises à jour manquantes, accès mal cloisonnés. C'est utile, mais ça ne dit rien de ce qui compte vraiment pour l'entreprise. Une vulnérabilité critique sur un système secondaire pèse moins qu'une vulnérabilité mineure sur le système qui fait tourner l'activité. L'analyse de risques sert précisément à faire ce tri — l'audit technique seul ne le fait pas.

Négliger le facteur humain dans l'évaluation. La majorité des scénarios de compromission en PME ne passent pas par une faille technique sophistiquée, mais par un email frauduleux ouvert par un collaborateur pressé, ou un accès resté actif après le départ d'un salarié. Un exercice EBIOS RM qui se concentre uniquement sur l'infrastructure technique et laisse de côté ces scénarios humains passe à côté de l'essentiel du risque réel.

Par où commencer dès demain

Une checklist minimale pour amorcer la démarche sans attendre un consultant :

1. Listez les deux ou trois activités dont l'arrêt mettrait l'entreprise en difficulté réelle sous 48 heures.
2. Pour chacune, notez ce qui pourrait la stopper : panne, erreur humaine, acte malveillant, défaillance d'un prestataire.
3. Classez ces scénarios par gravité perçue, sans chercher la précision scientifique — l'objectif est de prioriser, pas de tout couvrir.
4. Choisissez une seule mesure de traitement par scénario prioritaire, et fixez-lui une date de mise en œuvre réaliste.
5. Reprenez cet exercice tous les six mois — l'analyse de risques n'est utile que si elle est reconduite, pas si elle reste un document figé.

Cette version allégée ne remplace pas un accompagnement structuré si l'enjeu le justifie. Mais elle permet à une PME de sortir du silence total sur le sujet sans attendre d'avoir les moyens d'un grand compte pour s'y mettre.