Ebios

ISO 27001 ne donne pas de directives sur la méthode d’appréciation des risques à adopter. Les entreprises peuvent donc en inventer une en veillant à bien respecter le cahier des charges ou en choisir une parmi les plus courantes notamment la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) mise en place en France par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). Le cahier des charges relatif à l’appréciation des risques se développe en 7 points

Suite 27000 ...................................................................................................................... 16  Certification Critères communs (Common Criteria) – EAL .............................................. 17  Méthode EBIOS ................................................................................................................ 17  Référentiels CMMI/Cobit ................................................................................................. 17  Standards techniques 

protection des données et la sécurité (Technology Subgroup du G29, International Working Group on Data Protection in Telecommunications, groupe d’experts de la commission européenne sur l’internet des objets ou la rétention des données de connexion, Club EBIOS dans le domaine de la gestion des risques, la communauté de responsables de la sécurité des systèmes d’information NETFOCUS); • la veille et la réflexion en amont sur les sujets technologiques majeurs qui vont être amenés à influencer notre société

------------------------------------------------- Méthodes d'analyse de risque Différentes méthodes d'analyse des risques sur le système d'information existent. Voici les trois principales méthodes d'évaluation disponibles sur le marché français : * la méthode EBIOS (Expression des besoins et identification des objectifs de sécurité), développée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ; * la méthode MEHARI (Méthode harmonisée d'analyse des risques), développée par le CLUSIF ;

systèmes d’information, autorité qualifiée responsable de la maîtrise d’ouvrage, autorité qualifiée responsable de la maîtrise d’œuvre, responsable du domaine des réseaux…). La démarche repose sur une analyse des risques réalisée à l’aide de la méthode EBIOS®. Elle a permis d’identifier 44 objectifs de sécurité du système et des actions de sécurité ont été déterminées. Par exemple :  des règles doivent être définies sur le pare-feu,  des contrôles et audits réguliers doivent avoir lieu sur le pare-feu

analyse de la menace : interne  il n’existe pas de crise d’envergure sans menace interne externe : complexité de l’environnement et du marché intervention de tiers évènements perturbateurs force majeure crise Méthodes de mesure de risques : AROME EBIOS INCAS MELISSA MEHARI MARION AP / MARION PP Probabilité d’occurrence x effets = niveau de criticté Syndrome de la grenouille Signaux faibles, modes d’emploi, Ed. Eroles Signal blanc : dépourvu de contenu sensé Signal fort : celui qui interpelle et

de connaissance pour : analyser les enjeux majeurs, étudier les vulnérabilités, réduire la gravité des risques, piloter la sécurité de l'information. EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité), mise au point par la DCSSI (Direction Centrale de la Sécurité des Systèmes d'Information) ; La méthode EBIOS® (expression des besoins et identification des objectifs de sécurité) permet d’apprécier et de traiter les risques relatifs à la sécurité des systèmes d’information

l’établissement d’un plan stratégique, les secondes celui de plans opérationnels. Pour plus d’informations sur MÉHARI: http://www.clusif.asso.fr/fr/production/mehari/ 124 EBIOS Créée en 1995 par l’Agence nationale de la sécurité des systèmes d’information de France (ANSSI) et régulièrement mise à jour, la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) permet d’apprécier et de traiter les risques relatifs à la sécurité des systèmes d’information. Elle permet

ensembles de procédures (audit du SI) permettant de détecter et de remédier aux failles de sécurité des SI. Exemples MEthode Harmonisée d’analyse des Risques (CLUSIF). = MEHARI Expression des Besoins et Identification des Objectifs de Sécurité (ANSSI) = EBIOS La norme ISO/CEI/27002 Toutes ces méthodes sont en conformité avec la norme (cahier de bonnes procédures) ISO 27002. Objectifs Analyser le Fonctionnement du SI (audit du système) De rechercher les faiblesses, les vulnérabilités et les dysfonctionnements

certains standards de contrôle ainsi que des « bonnes pratiques » dans l’appréciation des dangers informatiques Parmi les méthodes, on peut citer : • les méthodes françaises : Marion, Mehari, Melisa ; • les méthodes étrangères : Cobit,ITIL, EBIOS Types de contrôles Contrôles généraux o La gestion et la maintenance de la TI o L’infrastructure de la TI o Acquisition, maintenance et développement du software Contrôles d’application o L’exactitude et la validité