Risk analysis cyber : ISO 27005, EBIOS RM, FAIR comparés

L'analyse de risque cyber identifie, valorise et priorise les risques pesant sur les systèmes d'information, chaque méthode vise à répondre à la même question (quels risques traiter, comment, à quel coût ?), mais avec des angles, profondeurs et coûts différents. Les 3 méthodologies dominantes 2026 : ISO/IEC 27005:2022 (révisée octobre 2022, ~80 pages, aligné ISO 27001:2022, exigée pour ISMS certifié), EBIOS Risk Manager (ANSSI v1.5 2018, MAJ novembre 2023, méthode française obligatoire pour OIV/SecNumCloud, gratuite), FAIR (Factor Analysis of Information Risk) (Jack Jones 2005, livre Open FAIR 2014, FAIR-CAM v3 mai 2024, quantitatif via Monte Carlo). À côté : NIST SP 800-30 r1 (2012, US gov), OCTAVE Allegro (CMU 2007, niche), MEHARI (CLUSIF, vieillissant), ISO 31000:2018 (méta-cadre risk management). La pression réglementaire 2025-2026 est massive : NIS2 (transposée FR octobre 2024, décret 2024-1126) impose une analyse de risque cyber documentée à 18 secteurs critiques (~10 000 entités françaises selon ANSSI), DORA (UE 2022/2554, applicable 17 janvier 2025) ajoute exigences quantitatives au secteur financier, ANSSI Référentiel SecNumCloud v3.2 impose EBIOS RM. Cet article documente les 5 méthodologies majeures comparées, le virage quantitatif FAIR, le workflow opérationnel, l'outillage 2026, et les anti-patterns persistants.

Pour le contexte : voir BIA (Business Impact Analysis) qui complète l'analyse de risque côté impact opérationnel. Pour le scoring obsolète : DREAD. Pour le scoring vulns concrètes : CVSS.

Le bon mental model : risque = vraisemblance × impact, pas plus, pas moins

Erreur conceptuelle la plus fréquente : confondre risque avec vulnérabilité ou menace. La définition canonique ISO 27005:2022 §3 :

Risque = Vraisemblance(Source de risque exploite vulnérabilité) × Impact(sur l'actif)

Une vulnérabilité CVE-2024-21887 Ivanti CVSS 9.1 n'est pas un risque en soi. Devient un risque uniquement si :

1. Une source de risque (acteur APT type UNC5325, ransomware Akira) la cible.
2. Le système touché a une valeur (données clients, OT industriel, IP propriétaire).
3. Le contexte rend l'exploitation possible (Internet-facing, pas patchée).

Trois implications pratiques :

• Une vuln sur un serveur isolé sans données = risque faible même si CVSS 10.
• Une faille même CVSS 5.5 sur un AD prod exposé = risque critique car blast radius énorme.
• Un risque sans source de risque crédible (qui voudrait attaquer ce système ?) = théorique.

C'est cette discipline qui sépare une analyse de risque utile d'un Excel rempli de CVSS.

Comparatif technique : 5 méthodologies majeures

Détail méthodologique : EBIOS Risk Manager

EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité, Risk Manager) est la méthode française phare. 5 ateliers en cascade :

L'originalité d'EBIOS RM par rapport à ISO 27005 : la modélisation explicite des sources de risque crédibles (atelier 2) et des chemins d'attaque (ateliers 3+4). C'est ce qui en fait une méthode supérieure pour les contextes APT / ransomware industriel, là où ISO 27005 reste plus abstrait.

# Outillage open source EBIOS RM (Club EBIOS)
git clone https://github.com/cea-sec/MISP-EBIOS
 
# Outils commerciaux français
# - Egerie (Egerie Risk Manager) : leader FR ~30-80k€/an
# - Mantis (CITALID) : analyse cyber + threat intel intégré
# - Agile Risk Manager : EBIOS RM + GRC
 
# Workshop standardisé : 5 ateliers de 2-4h chacun avec stakeholders
# Total typique 6-12 semaines pour PME-ETI 200-1500 personnes

Détail méthodologique : FAIR (quantification financière)

FAIR (Factor Analysis of Information Risk) décompose mathématiquement le risque en variables estimables :

Risk = Loss Event Frequency (LEF) × Loss Magnitude (LM)

LEF = Threat Event Frequency (TEF) × Vulnerability
LM = Primary Loss + Secondary Loss

Chaque variable est estimée comme une distribution probabiliste (PERT min/max/mode), pas comme un nombre fixe. Simulation Monte Carlo (10 000-100 000 itérations) génère une distribution de risque, exprimée en ALE (Annual Loss Expectancy) avec percentiles p10-p50-p90.

Exemple chiffré, banque retail, scénario ransomware sur core banking :

# Monte Carlo simulation FAIR, outil RiskLens ou Excel
import numpy as np
 
def fair_simulation(iterations=10000):
    tef = np.random.triangular(0.05, 0.15, 0.4, iterations)
    vuln = np.random.triangular(0.2, 0.35, 0.6, iterations)
    primary = np.random.triangular(1_000_000, 5_000_000, 20_000_000, iterations)
    secondary = np.random.triangular(500_000, 2_000_000, 10_000_000, iterations)
    
    lef = tef * vuln
    lm = primary + secondary
    ale = lef * lm
    
    return {
        "p10": np.percentile(ale, 10),
        "p50": np.percentile(ale, 50),
        "p90": np.percentile(ale, 90),
        "mean": np.mean(ale)
    }
 
result = fair_simulation()
# Output typique:
# p10: 180_000 €
# p50: 1_200_000 €
# p90: 4_500_000 €
# mean: 1_650_000 €

Décision contrôle : si XDR + segmentation + backup immutable réduisent Vulnerability de 0.35 à 0.20 (mode), nouvelle simulation donne ALE médian 700k€ → ΔALE = 500k€/an. XDR coûte 200k€/an → ROI net 300k€/an, justifié.

C'est cette logique qui justifie FAIR au niveau Board / CRO / CISO. Reporting type : « Réduction du risque de 1.2M€ ALE médian via investissement 200k€ ».

Workflow opérationnel : 6 phases ISO 27005-aligned

# Risk register format YAML standardisé
risk_id: RISK-CYBER-001
title: "Ransomware sur core banking via Active Directory"
risk_owner: "RSSI"
business_owner: "Direction Retail"
date_identified: 2026-01-15
last_review: 2026-04-22
 
context:
  - asset: "Core banking system + Active Directory"
  - asset_value: "Tier 0, critique"
  - threat_source: "Ransomware as a Service (Akira, Black Basta)"
  - threat_objective: "Extorsion + data exfil"
 
assessment:
  methodology: "EBIOS RM atelier 4 + FAIR quantification"
  likelihood:
    qualitative: "High"
    quantitative_tef: 0.15  # events/year
  vulnerability:
    qualitative: "Medium"
    quantitative: 0.35
  impact:
    qualitative: "Critical"
    quantitative_ale_median_eur: 1_200_000
    quantitative_ale_p90_eur: 4_500_000
 
current_controls:
  - "EDR CrowdStrike Falcon"
  - "Backup Veeam quotidien (non immutable)"
  - "MFA partiel (admin only)"
 
risk_level: "High"
risk_treatment:
  decision: "Mitigate"
  actions:
    - "Migrer backup vers immutable (Object Lock S3)"
    - "MFA universel via Entra ID"
    - "Tiering AD strict + EDR sur tous les DC"
  budget_eur: 250_000
  target_completion: 2026-09-30
  owner: "DSI + RSSI"
  expected_residual_risk: "Medium"
  expected_ale_after_eur: 600_000
 
review_cycle: quarterly

Phases de mise en œuvre :

1. Cadrage et établissement du contexte (1-2 sem), périmètre, parties prenantes, critères acceptation.
2. Identification des risques (2-4 sem), sources de risque, événements redoutés, scénarios.
3. Analyse des risques (2-4 sem), vraisemblance × impact, scoring qualitatif ou quantitatif.
4. Évaluation des risques (1-2 sem), comparaison avec critères acceptation, priorisation.
5. Traitement des risques (2-6 sem), réduction, transfert, acceptation, évitement + plan d'action.
6. Surveillance et revue (cycle continu), réévaluation trimestrielle ou sur événement.

Total typique : 8-16 semaines pour ISMS PME 200-1000 personnes. Multiplier par 2 si EBIOS RM avec 5 ateliers complets, ×3 si FAIR quantification full.

Stack outillage 2026

Position : pour la majorité PME 200-2000 personnes, EBIOS RM + Excel + Confluence + Egerie suffit largement. Bascule SaaS GRC enterprise (Archer, ServiceNow IRM) seulement à partir de 5+ entités juridiques ou audit complexe SOX/DORA. Anti-pattern : acheter Archer 200k€/an et ne pas avoir d'équipe risk pour l'animer = mauvaise analyse de risque dans outil cher.

Erreurs fréquentes en risk analysis

Mapping framework : risk analysis dans les référentiels 2026

Pour aller plus loin

• BIA (Business Impact Analysis), le complément côté impact opérationnel d'une analyse de risque rigoureuse.
• Threat modeling : STRIDE, PASTA, LINDDUN, pour la phase identification des scénarios.
• DREAD (déprécié), pourquoi DREAD ne convient pas pour scorer le risque.
• CVSS, pour scorer les vulns concrètes qui alimentent l'analyse de risque.
• CVE, pour identifier les vulns exploitables dans les scénarios.
• Sources externes : ISO/IEC 27005:2022, ANSSI EBIOS Risk Manager, FAIR Institute, NIST SP 800-30 r1, Open Group OpenFAIR.

Points clés à retenir

• 5 méthodologies majeures 2026 : ISO 27005:2022 (révisée octobre 2022), EBIOS Risk Manager (ANSSI v1.5, MAJ 2023), FAIR (Jack Jones 2005, FAIR-CAM v3 mai 2024), NIST SP 800-30 r1 (2012), OCTAVE Allegro (CMU 2007, niche).
• Définition canonique ISO 27005:2022 : Risque = Vraisemblance × Impact. Vulnérabilité ≠ risque, CVE ≠ risque tant que source de risque + actif valorisé + contexte exploitable absents.
• EBIOS RM : 5 ateliers (cadrage, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement). Force : modélisation explicite des chemins d'attaque, supérieure à ISO 27005 pure pour APT/ransomware.
• FAIR quantitatif : Risk = LEF × LM via Monte Carlo (10k-100k itérations). Output : ALE en € fourchette p10-p90. Utilisé chez 30%+ des Fortune 500 selon FAIR Institute 2024.
• Bascule qualitatif → quantitatif justifiée à partir de 3 critères : reporting CISO/CRO en €, arbitrage budgétaire contrôles, compliance DORA/NIS2/SOX. Coût FAIR : 30-90k€ mise en place cabinet senior FR.
• NIS2 (transposée FR octobre 2024, décret 2024-1126) impose risk analysis cyber à 18 secteurs critiques, ~10 000 entités françaises selon ANSSI. DORA UE 2022/2554 (applicable 17 janvier 2025) complète sur secteur financier.
• ANSSI SecNumCloud v3.2 impose EBIOS RM. ISO 27001:2022 clause 6.1.2 impose risk assessment + treatment via ISO 27005 ou équivalent.
• Outillage 2026 : EBIOS RM (gratuit Club EBIOS) + Egerie/Mantis (commercial FR), FAIR-U (gratuit académique) / RiskLens (50-150k€ enterprise), ServiceNow IRM/Archer/MetricStream (GRC SaaS).
• Cycle ISO 27005 en 6 phases : cadrage → identification → analyse → évaluation → traitement → surveillance. Total 8-16 semaines pour PME 200-1000 personnes.
• Anti-pattern n°1 : confondre liste de CVE scannées avec analyse de risque. Anti-pattern n°2 : SaaS GRC à 100k€/an sans équipe pour l'animer = mauvaise analyse dans outil cher.
• Position EBIOS RM : sous-côtée hors France. Sa modélisation des sources de risque + chemins d'attaque est métho-logiquement supérieure pour modéliser APT/ransomware. Défendable n'importe où, surtout phase identification.
• Combo recommandé 2026 : EBIOS RM (identification scénarios) + ISO 27005 (structure ISMS) + FAIR (quantification financière) selon contexte. Souvent les trois cohabitent dans une org mature.