GRC / GRC-02
Revue d'EBIOS 2010 et transition vers EBIOS RM
Actualiser une évaluation héritée d'EBIOS 2010 ou accompagner sa transition vers EBIOS Risk Manager sans traiter les versions comme interchangeables.
QUAND C'EST UTILE
Une réponse ciblée
à un besoin défini.
CISO avec une évaluation de l'héritage ; changement d'architecture, renouvellement de l'autorisation ou contrat qui fait référence à EBIOS.
PORTÉE ET RÉSULTATS
Ce que couvre la mission.
Portée
- Évaluation du contexte, des événements attendus, des scénarios de menace, des risques et des contrôles
- Analyser les changements
- définir une stratégie d’actualisation ou de transition
Livrables
- Inventaire des matières réutilisables
- des lacunes et des hypothèses obsolètes
- mise à jour de l’évaluation ou roadmap de la transition vers EBIOS RM
Preuve de réception
La version choisie et les limitations de mappage sont explicites ; les décisions passées sont réévaluées plutôt que reproduites.
LIVRAISON
Comment le travail est structuré.
Approche
Définir le contexte du périmètre ; mobiliser les propriétaires d'entreprise et les décideurs ; évaluer les risques ou les lacunes ; décider des mesures de contrôle ; organiser le suivi et les justificatifs.
Prérequis et responsabilités
Client : sponsor, dirigeants disponibles, décisions sur les risques et avis juridiques si nécessaire. Prestataire : méthodologie, animation, analyse et dossier de décision.
Facteurs de portée
Entités, processus, parties prenantes, périmètre réglementaire, maturité des documents et ateliers. Projet, support ponctuel ou RSSI fractionné selon le besoin.
Questions à clarifier
Quelle version requiert le contrat ? L’évaluation originale est-elle disponible ? Quels processus et quels systèmes ont-ils changé ?
LIMITES IMPORTANTES
EBIOS 2010 est une méthode héritée. Une étude identifie ce qui peut être réutilisé, ce qui doit être mis à jour et si la transition vers EBIOS Risk Manager est appropriée.
Le travail étaye les décisions et les éléments de preuve pour le cadre convenu. Les avis juridiques, la certification indépendante et les décisions des régulateurs ou des évaluateurs demeurent des responsabilités distinctes.
EN PRATIQUE
Situations illustratives.
Ces exemples décrivent des engagements possibles et des résultats cibles. Il ne s'agit pas de références clients ni de résultats obtenus.
Scénario 01
Une organisation effectue une évaluation en 2016 et passe à la cloud. Problème : identifier les hypothèses qui ne sont plus valables. Objectif : réévaluer les dépendances et les mesures de traitement, selon une méthode formellement définie.
Scénario 02
Un fournisseur reçoit une spécification indiquant uniquement “ EBIOS ”. Projet : préciser la version attendue auprès du client. Résultats attendus : s’entendre sur le périmètre de travail avant les ateliers ; une évaluation RM n’est pas présentée comme automatiquement équivalente à EBIOS 2010.
Contexte technologique et de référence
Guide historique ANSSI EBIOS 2010 et EBIOS RM ; versions enregistrées dans les livrables.
L'ensemble final des technologies est convenu lors du cadrage, sur la base de l'interopérabilité, des licences, des droits d'accès et des exigences opérationnelles.
SERVICES CONNECTÉS
Construisez l'étape suivante.
Ces services peuvent compléter la mission. Ils ne sont pas inclus automatiquement.
Commencer une conversation
Clarifiez la portée.
Nous clarifierons l'objectif, les dépendances et les responsabilités de ce service avant de proposer la livraison.