Analyse de risques cyber : maîtriser EBIOS RM et les normes ISO 27001/27005

Niveau : Avancé — bases cyber/GRC requises Public visé : RSSI, consultants cyber/GRC, risk managers, DSI, chefs de projet sécurité Modalité : Présentiel ou classe virtuelle ; consécutif ou format 3 j + 2 j Objectifs pédagogiques • Conduire les 5 ateliers de la méthode EBIOS Risk Manager, du cadrage au plan de traitement • Identifier et caractériser les sources de risque ; construire des scénarios stratégiques et opérationnels • Évaluer et hiérarchiser les risques, définir les mesures de traitement et formaliser le PACS • Articuler les résultats d'une analyse EBIOS RM avec la déclaration d'applicabilité (SoA) d'ISO 27001 • Restituer une analyse de risques à une direction générale et animer les instances de suivi Programme détaillé Jour 1 — Fondamentaux et Atelier 1 : cadrage et socle de sécurité • Place de l'analyse de risques dans un SMSI ISO 27001 ; concepts ISO 27005 : actifs, événements redoutés, critères de risque • Architecture EBIOS RM : 5 ateliers, approche par conformité + approche par les risques • Atelier fil rouge (entreprise fictive) — Atelier 1 : périmètre, valeurs métier, biens supports, événements redoutés, socle de sécurité Jour 2 — Ateliers 2 & 3 : sources de risque et scénarios stratégiques • Atelier 2 : typologie des sources de risque (cybercriminalité, États, initiés…) ; couples source/objectif visé, évaluation de pertinence • Atelier 3 : cartographie de l'écosystème ; scénarios stratégiques, cotation de gravité, mesures sur l'écosystème • Restitutions croisées entre sous-groupes ; quiz formatif de mi-parcours Jour 3 — Atelier 4 : scénarios opérationnels et évaluation du risque • Décliner les scénarios stratégiques en modes opératoires techniques ; graphes d'attaque et référentiel MITRE ATT&CK • Cotation de la vraisemblance ; matrice de synthèse des risques gravité x vraisemblance • Retour d'expérience praticien : analyses réelles (anonymisées) — ce qui marche, ce qui bloque Jour 4 — Atelier 5 et articulation ISO 27001 • Atelier 5 : options de traitement (réduire, transférer, éviter, accepter) ; PACS, risques résiduels, cycle de suivi • D'EBIOS RM à ISO 27001 : SoA, Annexe A/ISO 27002, traçabilité risques → mesures • Jeu de rôle : restitution de l'analyse à un COMEX (formé par le formateur et les participants) Jour 5 — Mise en situation évaluée et professionnalisation • Cas d'évaluation individuel/binôme : analyse EBIOS RM condensée sur cas nouveau — cadrage, SR/OV, scénario, cotation, traitement • Soutenances techniques (15 min/participant) et corrections sur grille critériée • Conduire une mission réelle : périmètre, charge, outillage, revues périodiques, certifications individuelles (ISO 27001 Lead Implementer/Auditor, Risk Manager 27005) Évaluation • Évaluation diagnostique en début de formation • Évaluation sommative : soutenance technique individuelle évaluée sur grille critériée • Plan d'action personnel et attestation de fin de formation