EBIOS et Mehari
Les cinq ateliers d'EBIOS Risk Manager et ce que chacun produit, le vocabulaire de la méthode (valeur métier, bien support, source de risque, objectif visé, événement redouté), puis Mehari et ce qui la distingue.
- 22 cartes
- 5 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Mises en situation
- Comprendre
Quelques cartes du deck
Événement redouté : de quoi s'agit-il ?
Voir la réponse
Atteinte à une valeur métier que l'organisation craint, cotée par sa gravité, indépendamment de la manière dont elle se produirait.
Il se formule du point de vue du métier, sans parler d'attaque : « fuite des résultats d'études », « arrêt de la production ». C'est l'atelier 1 qui le cote.
Une étude EBIOS Risk Manager vient de dresser la liste des couples source de risque et objectif visé. À quel atelier cela appartient-il, et lequel suit ?
- L'atelier 2 ; il est suivi des scénarios stratégiques
- L'atelier 1 ; il est suivi des sources de risque
- L'atelier 3 ; il est suivi du traitement du risque
- L'atelier 4 ; il est suivi des scénarios stratégiques
Voir la réponse
L'atelier 2 ; il est suivi des scénarios stratégiques
L'ordre est fixe : cadrage et socle, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement. On ne peut pas écrire un chemin d'attaque avant d'avoir dit qui attaque, et pourquoi.
EBIOS Risk Manager, méthode publiée par l'…, se déroule en … ateliers.
Voir la réponse
EBIOS Risk Manager, méthode publiée par l'ANSSI, se déroule en cinq ateliers.
L'ANSSI est l'agence nationale de la sécurité des systèmes d'information. Les cinq ateliers vont du cadrage au traitement du risque, en passant par les sources de risque et les deux niveaux de scénarios.
Source de risque : de quoi s'agit-il ?
Voir la réponse
Personne, groupe ou entité, interne ou externe, qui peut être à l'origine d'un risque en poursuivant un but précis.
On la décrit par son profil (concurrent, hacktiviste, ancien salarié) et on l'associe à un objectif visé : c'est le couple de l'atelier 2.
Une équipe veut écrire des chemins d'attaque détaillés passant par un prestataire de maintenance. Elle n'a encore identifié ni valeurs métier ni sources de risque. Que faut-il lui répondre ?
- Commencer par l'atelier 5, pour fixer les mesures avant d'écrire les chemins
- Écrire d'abord les scénarios opérationnels, plus concrets, puis déduire les valeurs métier
- Remplacer l'étude par un audit de Mehari, qui n'exige pas de valeurs métier
- Revenir aux ateliers 1 et 2 : sans valeur ni attaquant, les chemins sont vides
Voir la réponse
Revenir aux ateliers 1 et 2 : sans valeur ni attaquant, les chemins sont vides
Les ateliers 3 et 4 reprennent les productions de 1 et 2 : les chemins d'attaque visent un objectif pour une source donnée contre une valeur métier. Sans ces entrées, on décrit des attaques sans enjeu.