EBIOS RM et FAIR : choisir sa méthode de scoring des risques

Choisir une méthode de scoring des risques ne consiste pas à opposer EBIOS RM et FAIR. Cet article explique comment qualifier les scénarios cyber, quantifier l’exposition financière et intégrer ces résultats dans une cartographie consolidée utile au RSSI, au Risk Manager et au COMEX.

Qualifier les scénarios, quantifier l’exposition, consolider la décision

Une cartographie consolidée ne vaut que si les risques qu’elle agrège restent comparables. Or comparer un risque cyber évalué par scénarios, un risque opérationnel noté qualitativement et une exposition financière chiffrée impose de distinguer la méthode d’analyse du langage de consolidation. Deux noms reviennent alors systématiquement dans les discussions de Risk Managers et de RSSI : EBIOS RM et FAIR. La bonne question n’est pas de les opposer, mais de comprendre à quel moment chacune de ces méthodes apporte le plus de valeur dans une démarche de gestion intégrée des risques.

EBIOS RM : la méthode de référence française, par scénarios

EBIOS Risk Manager (EBIOS RM) est la méthode d'analyse de risques cyber publiée par l'ANSSI en 2018, succédant à la version EBIOS 2010, et mise à jour en mars 2024 (version 1.5) pour intégrer les évolutions réglementaires récentes, NIS2, LPM, DORA, et s'aligner sur la norme ISO/CEI 27005:2022.

Sa logique distinctive, EBIOS RM raisonne par scénarios de menace concrets, construits autour de « couples » associant une source de risque (qui pourrait nous attaquer ?) et un objectif visé (que chercherait-elle à obtenir ?). Plutôt que de chercher une exhaustivité impossible, la méthode invite à travailler sur un sous-ensemble représentatif de scénarios pertinents, en s'appuyant si besoin sur des éléments de threat intelligence pour qualifier la vraisemblance de chaque couple.

La méthode s'articule en cinq ateliers :

1. Cadrage et socle de sécurité : définition du périmètre étudié, des missions et valeurs métier, des événements redoutés et de leur gravité, et évaluation de la conformité au socle de sécurité existant.
2. Sources de risque : identification et caractérisation des acteurs de menace pertinents pour l'organisation.
3. Scénarios stratégiques : cartographie de l'écosystème (clients, partenaires, prestataires) et construction de scénarios de haut niveau.
4. Scénarios opérationnels : déclinaison technique des scénarios stratégiques en modes opératoires d'attaque concrets.
5. Traitement du risque : élaboration du plan de traitement, avec mesures correctives, préventives et de surveillance, et identification du risque résiduel.

EBIOS RM est conçue comme une démarche collaborative et itérative. Elle implique la direction, les métiers, le RSSI et la DSI dès le premier atelier, et elle est destinée à être révisée régulièrement plutôt que figée dans un document d'audit ponctuel.

L’intérêt, dans une logique IRM, n’est pas seulement de documenter ces ateliers, c’est de transformer leurs résultats en événements redoutés, scénarios, niveaux de vraisemblance et plans de traitement réutilisables dans une cartographie consolidée.

FAIR : quantifier le risque en langage financier

FAIR (Factor Analysis of Information Risk) a été développée à partir de 2005 par Jack Jones, et est aujourd'hui maintenue comme standard international par l'Open Group via le FAIR Institute. Sa proposition est différente dans sa nature même. Là où EBIOS RM qualifie des scénarios, FAIR quantifie le risque en termes financiers.

Le principe de FAIR consiste à décomposer le risque en facteurs mesurables, fréquence probable de survenue d'un événement de perte et ampleur probable de cette perte, pour produire, au terme du calcul, une estimation chiffrée de l'exposition financière. Les pertes peuvent être déclinées en plusieurs catégories : perte de production, coût de réponse à incident, atteinte à la réputation, et d'autres encore selon le modèle retenu.

Cette approche change radicalement la conversation avec un COMEX ou un conseil d'administration. Plutôt que de présenter un risque sur une échelle qualitative (faible / moyen / élevé / critique), FAIR permet de dire : « ce scénario représente une exposition probable comprise entre telle et telle fourchette de pertes financières ». C'est un langage que les dirigeants et les directions financières manipulent déjà au quotidien pour d'autres types de risques, financiers, juridiques, opérationnels... ce qui facilite l'arbitrage budgétaire sur les investissements de sécurité.

La contrepartie de cette précision : FAIR demande une mobilisation plus importante de données techniques et financières, et peut s'avérer plus long à mettre en œuvre qu'une approche qualitative classique.

Une comparaison directe

Pourquoi le choix ne devrait pas être binaire

La bonne question n'est pas « EBIOS RM ou FAIR ? », mais « à quelle étape de la conversation chaque méthode est-elle la plus utile ? ». En pratique, les deux méthodes s'articulent naturellement en séquence :

EBIOS RM pour qualifier et prioriser. La démarche par scénarios permet d'identifier, avec les équipes métier et techniques, les menaces les plus crédibles compte tenu du contexte réel de l'organisation. C'est l'étape qui produit la matière. Quels actifs, quelles sources de risque, quels modes opératoires.

FAIR pour chiffrer et convaincre. Une fois les scénarios prioritaires identifiés par une démarche comme EBIOS RM, FAIR permet de leur donner une traduction financière, utile pour deux audiences précises : un COMEX qui doit arbitrer un budget de sécurité, et un assureur cyber qui évalue une prime en fonction d'une exposition chiffrée plutôt que déclarative.

Cette complémentarité illustre un principe plus général de la gestion intégrée des risques : un socle unifié de cartographie n'impose pas une méthode unique de scoring. Il doit au contraire permettre à chaque risque d'être évalué avec la méthode la plus pertinente selon le besoin : qualitative pour un risque difficile à chiffrer, EBIOS RM pour une analyse de scénarios cyber, FAIR pour une exposition financière destinée à un arbitrage budgétaire, tout en remontant ensuite sur une même échelle de criticité consolidée.

À retenir

Trois repères pratiques permettent de structurer le choix de méthode sans en faire un débat artificiellement binaire :

1. Si votre priorité immédiate est la conformité réglementaire (NIS2, DORA, AIPD RGPD), commencez par une méthode structurée par scénarios comme EBIOS RM, particulièrement adaptée aux analyses cyber et à la documentation des décisions de traitement.
2. Si votre priorité immédiate est de convaincre un COMEX d'investir, complétez par une quantification FAIR sur les scénarios prioritaires déjà identifiés. Le langage financier reste le plus persuasif auprès d'une direction générale.
3. Dans tous les cas, ne traitez pas le choix de méthode comme un sujet d'outil isolé. La vraie question structurante reste celle de la cartographie consolidée. Quelle que soit la méthode de scoring retenue pour un risque donné, elle doit pouvoir remonter dans une vision d'ensemble cohérente, partagée par le Risk Manager, le RSSI et le COMEX.

Livre blanc - Risques Cyber

GRATUIT

Comment piloter vos risques et votre conformité à l'ère de NIS2, CRA et DORA ?

Unifiez votre conformité pour faire face aux nouvelles exigences réglementaires.

Télécharger le guide