EBIOS RM – Atelier 3 : Scénarios stratégiques


Dans l’atelier 3, vous allez acquérir une vision claire de l’écosystème et établir une cartographie de menace numérique de celui-ci vis-à-vis de l’objet étudié. Ceci va vous permettre de bâtir des scénarios de haut niveau, appelés scénarios stratégiques. Ils représentent les chemins d’attaque qu’une source de risque est susceptible d’emprunter pour atteindre son objectif. Ces scénarios se conçoivent à l’échelle de l’écosystème et des valeurs métier de l’objet étudié. Ils sont évalués en termes de gravité. À l’issue de cet atelier, vous pouvez déjà définir des mesures de sécurité sur l’écosystème.

Les objectifs de l’atelier

L’écosystème comprend l’ensemble des parties prenantes qui gravitent autour de l’objet de l’étude et concourent à la réalisation de ses missions (partenaires, sous-traitants, filiales, etc.). De plus en plus de modes opératoires d’attaque exploitent les maillons les plus vulnérables de cet écosystème pour atteindre leur objectif (exemple : atteinte à la disponibilité d’un service en attaquant le fournisseur de service en nuage, piège de la chaîne logistique d’approvisionnement de serveurs facilitant l’exfiltration de données sensibles).
L’objectif de l’atelier 3 est de disposer d’une vision claire de l’écosystème, afin d’en identifier les parties prenantes les plus vulnérables. Il s’agit ensuite
de bâtir des scénarios de haut niveau, appelés scénarios stratégiques. Ces derniers sont autant de chemins d’attaque que pourrait emprunter une source de risque pour atteindre son objectif (i.e. un des couples SR/OV sélectionnés lors de l’atelier 2).
L’atelier 3 est à aborder comme une étude préliminaire de risque. Il peut conduire à identifier les mesures de sécurité à appliquer vis-à-vis de l’écosystème. Les scénarios stratégiques retenus dans l’atelier 3 constituent la base des scénarios opérationnels de l’atelier 4.

Les participants à l’atelier

  •  Métiers ;
  • Architectes fonctionnels ;
  • RSSI ;
  • Un spécialiste en cybersécurité complètera éventuellement votre groupe
    de travail, selon le niveau de connaissance de l’équipe et le degré d’affinement
    visé.