Analyse de risques EBIOS RM en PME : le kit de démarrage réaliste

EBIOS Risk Manager, qu'on abrège « EBIOS RM », est une méthode française d'analyse des risques en cybersécurité. Elle est publiée par l'ANSSI, l'agence nationale de la sécurité des systèmes d'information. Analyser ses risques revient à se poser trois questions : qu'est-ce qui pourrait arrêter mon activité, à quel point ce serait grave, et que fait-on en premier ? Cet article explique comment l'appliquer dans une PME, une petite ou moyenne entreprise.

Pourquoi la méthode fait peur aux PME

Elle a été pensée pour des organisations qui ont une fonction sécurité structurée, plusieurs semaines à y consacrer et des ateliers réunissant des profils variés : métiers, technique, direction. Vue depuis une PME de quelques dizaines de salariés, sans responsable dédié à la sécurité informatique (un RSSI, pour responsable de la sécurité des systèmes d'information), la méthode complète paraît démesurée.

Cette impression n'est pas fausse, elle est incomplète. Rien n'oblige à dérouler les cinq ateliers avec l'exhaustivité d'un grand groupe. Ce qui compte n'est pas le formalisme des documents produits, mais la façon de raisonner : partir des missions essentielles de l'organisation, repérer ce qui pourrait les empêcher de fonctionner, et classer selon la gravité réelle plutôt que selon la peur du moment.

Ce raisonnement tient très bien en version allégée. C'est ce qui justifie de le proposer aux PME plutôt que de les laisser sans rien, ou avec un audit technique qui liste des failles sans jamais les relier à ce que l'entreprise a vraiment à perdre.

Les cinq ateliers, version PME

La méthode complète prévoit cinq ateliers. Voici ce qu'on peut garder, alléger ou reporter pour une première fois.

• Atelier 1, cadrage. À garder, mais resserré : identifier les deux ou trois missions vraiment essentielles, celles dont l'arrêt met l'activité en danger, pas toutes les activités de l'entreprise.
• Atelier 2, sources de risque. Allégé : plutôt que de cartographier tout l'écosystème des menaces, se concentrer sur les plus plausibles pour votre secteur et votre taille.
• Atelier 3, scénarios stratégiques. À garder, c'est le cœur de l'exercice : relier une source de risque à une conséquence concrète sur l'activité.
• Atelier 4, scénarios opérationnels. Allégé : ne détailler que les scénarios jugés prioritaires à l'atelier 3, pas tous les chemins d'attaque imaginables.
• Atelier 5, traitement du risque. À garder, avec un principe simple : mieux vaut trois mesures réellement appliquées que dix mesures listées dans un plan que personne ne suivra.

Sur cette base, deux semaines suffisent. Une pour les ateliers 1 à 3, en une ou deux sessions avec les bonnes personnes autour de la table. Une pour consolider les scénarios opérationnels et fixer un plan classé par priorité.

Les erreurs les plus courantes

Deux confusions reviennent quand une PME s'y met seule.

Confondre analyse de risques et audit technique. Un audit technique dresse la liste des failles : mots de passe faibles, mises à jour manquantes, accès mal séparés. C'est utile, mais cela ne dit pas ce qui compte pour l'entreprise. Une faille grave sur un système secondaire pèse moins qu'une faille mineure sur le système qui fait tourner l'activité. L'analyse de risques sert à faire ce tri. L'audit technique seul ne le fait pas.

Oublier le facteur humain. Dans les PME, la plupart des compromissions ne passent pas par une faille technique sophistiquée. Elles passent par un email frauduleux ouvert par un collaborateur pressé, ou par un accès resté actif après le départ d'un salarié. Un exercice qui ne regarde que la technique passe à côté de l'essentiel du risque réel.

Par où commencer dès demain

Cinq étapes suffisent pour amorcer la démarche sans attendre un consultant.

1. Listez les deux ou trois activités dont l'arrêt mettrait l'entreprise en difficulté sous 48 heures.
2. Pour chacune, notez ce qui pourrait l'arrêter : panne, erreur humaine, acte malveillant, défaillance d'un prestataire.
3. Classez ces scénarios par gravité ressentie, sans chercher la précision scientifique. Le but est de prioriser, pas de tout couvrir.
4. Choisissez une seule mesure par scénario prioritaire et donnez-lui une date de mise en œuvre réaliste.
5. Recommencez tous les six mois. Une analyse de risques n'est utile que si on la reprend, pas si elle reste un document figé.

Cette version allégée ne remplace pas un accompagnement complet si l'enjeu le justifie. Mais elle permet à une PME de sortir du silence sur le sujet sans attendre d'avoir les moyens d'un grand groupe.