🎬

Vidéo en production

Notre équipe pédagogique tourne actuellement cette leçon avec un·e formateur·rice expert·e. Le contenu textuel ci-dessous est complet et utilisable dès maintenant.

Leçon 2 — Analyse de risques et SOA

ISO 31000, EBIOS RM ANSSI, MEHARI CLUSIF, Statement of Applicability, PSI.

Objectifs de la leçon

Maîtriser ISO 31000 (principes management du risque)
Conduire une analyse de risques selon EBIOS Risk Manager (ANSSI)
Comprendre MEHARI (CLUSIF) et autres méthodes (MAGERIT, OCTAVE)
Rédiger une SOA (Statement of Applicability) conforme ISO 27001:2022
Élaborer une PSI (Politique Sécurité de l\'Information) opérationnelle

1. ISO 31000:2018 — Management du risque

L\'ISO 31000 est la norme générique de management du risque (toutes natures). Elle pose les principes, le cadre et le processus.

Étape ISO 31000	Activités
Établir le contexte	Périmètre, enjeux, critères de risque
Identification	Sources, événements, causes, conséquences
Analyse	Vraisemblance × gravité, scénarios
Évaluation	Comparaison aux critères, priorisation
Traitement	4 options : éviter, réduire, transférer, accepter
Surveillance et revue	Indicateurs, audit, mise à jour
Communication et consultation	Transverse (toutes étapes)

Selon l\'ISO 31000:2018 §4 : « Le management du risque vise à créer et à protéger la valeur. Il améliore la performance, encourage l\'innovation et aide à atteindre les objectifs. » Source : iso.org/iso-31000-risk-management

2. EBIOS Risk Manager (ANSSI)

EBIOS RM est la méthode française officielle d\'analyse de risques cyber, publiée par l\'ANSSI (Agence Nationale Sécurité Systèmes Information) en 2018. Compatible ISO 31000 et ISO 27005.

Atelier EBIOS RM	Objectif
Atelier 1 — Cadrage et socle de sécurité	Périmètre, valeurs métier, biens supports, événements redoutés
Atelier 2 — Sources de risques	Cybercriminels, hacktivistes, États, internes, concurrents
Atelier 3 — Scénarios stratégiques	Chemins d\'attaque haut niveau
Atelier 4 — Scénarios opérationnels	Détails techniques modes opératoires (kill chain)
Atelier 5 — Traitement du risque	Plan d\'action, indicateurs, gouvernance

EBIOS Atelier 1 — Cas PME e-commerce 80 personnes

Valeurs métier : continuité site e-commerce, données clients (PII + cartes bancaires), réputation marque
Biens supports : serveurs AWS (eu-west-1), CRM Salesforce, Active Directory, postes utilisateurs
Événements redoutés : indisponibilité site > 24h, fuite base clients, fraude paiement, ransomware data
Gravité : 1 (négligeable) à 4 (catastrophique). Fuite clients = 4. Site indispo 24h = 3.

3. MEHARI (CLUSIF)

MEHARI (MEthode Harmonisée d\'Analyse des RIsques) du CLUSIF (Club de la Sécurité de l\'Information Français) — méthode très détaillée, base de données de scénarios prête à l\'emploi, automatisable.

4. Autres méthodes

Méthode	Origine	Particularité
OCTAVE	CMU/SEI USA	Auto-évaluation, focus actifs critiques
MAGERIT	Espagne (gouvernement)	Catalogues riches, secteur public
NIST RMF	NIST USA	Risk Management Framework, fédéral US
FAIR	Open Group	Approche quantitative (€ pertes)
ISO 27005:2022	ISO/IEC	Lignes directrices spécifiques sécurité info

5. SOA — Statement of Applicability

La SOA est un document obligatoire ISO 27001 §6.1.3 d) qui liste tous les contrôles ISO 27002:2022 (93) et indique pour chacun : applicabilité (oui/non), justification, statut implémentation, référence procédure.

Contrôle	Applicable ?	Justification	Statut
5.1 PSI	Oui	Politique signée DG, communiquée	Mis en œuvre
5.7 Threat intelligence	Oui	Veille CERT-FR + ANSSI alertes	Mis en œuvre
5.23 Cloud security	Oui	AWS et Microsoft 365 utilisés	En cours
6.5 Filtrage embauche	Oui	Casier judiciaire bulletin 3 pour postes sensibles	Mis en œuvre
7.13 Élimination des biens	Oui	Effacement sécurisé disques (DBAN, certificat broyage)	Mis en œuvre
8.28 Codage sécurisé	Non	Pas de développement interne	—

Erreur fréquente : exclure trop de contrôles "Non applicable" pour éviter de les implémenter. L\'auditeur 3ᵉ partie demande systématiquement la justification écrite et challenge. Pas plus de 5-15% d\'exclusions est crédible pour une PME standard.

6. Politique Sécurité de l\'Information (PSI)

La PSI est le document fondateur (§5.2 ISO 27001 + contrôle 5.1 ISO 27002). Elle est signée par la direction, datée, communiquée, et révisée annuellement minimum.

Structure type PSI

Introduction et engagement direction
Périmètre du SMSI
Objectifs sécurité (alignés stratégie)
Responsabilités (RSSI, DPO, utilisateurs, managers)
Principes : besoin d\'en connaître, défense en profondeur, séparation pouvoirs
Politiques thématiques :
- Classification de l\'information (4 niveaux : public, interne, confidentiel, secret)
- Contrôle d\'accès (IAM, MFA, RBAC)
- Mots de passe (NIST SP 800-63B, MFA)
- BYOD / mobilité / télétravail
- Chiffrement (AES-256, RSA-4096)
- Sauvegarde 3-2-1
- Gestion des incidents
- Fournisseurs et cloud
Sanctions disciplinaires (lien règlement intérieur)
Validation et revue annuelle

7. Critères d\'évaluation des risques

L\'organisme doit définir avant l\'analyse :

Échelle de vraisemblance : 1 (improbable) à 5 (quasi certain)
Échelle de gravité : 1 (négligeable) à 5 (catastrophique : pertes > 1 M€, RGPD, faillite)
Matrice de risque : R = V × G, codes couleurs (vert ≤ 5, jaune 6-12, orange 13-19, rouge ≥ 20)
Appétence au risque : seuil au-delà duquel un risque doit être traité

8. Plan de traitement du risque

Pour chaque risque identifié, on choisit une option :

Option	Quand l\'utiliser	Exemple
Éviter	Risque inacceptable, désengagement possible	Ne pas externaliser un SI critique
Réduire	La plupart des risques	Déployer MFA, EDR, sauvegardes
Transférer	Risque résiduel financier	Cyber-assurance, contrat avec prestataire
Accepter	Risque résiduel sous seuil appétence	Documenté et approuvé Comité Sécurité

9. Synthèse

ISO 31000 = principes management risque génériques
EBIOS RM (ANSSI) = 5 ateliers, méthode officielle FR
MEHARI (CLUSIF), MAGERIT, OCTAVE, NIST RMF, FAIR = alternatives
SOA = document central ISO 27001 §6.1.3 d) — 93 contrôles évalués
PSI signée direction, contrôle 5.1, structure 8-9 sections
4 options de traitement : éviter, réduire, transférer, accepter

Pour aller plus loin

9. EBIOS RM — Exemple complet 5 ateliers sur PME e-commerce

PME e-commerce vente articles sport (80 personnes, CA 12 M€, base 380 000 clients) — Analyse EBIOS RM complète.

Atelier 1 — Cadrage et socle de sécurité

Valeurs métier : continuité site (CA 35 k€/jour), confidentialité données clients (PII + CB), réputation marque, conformité RGPD
Biens supports :
- Production AWS eu-west-1 (EC2 + RDS PostgreSQL + S3)
- CRM Salesforce
- Paiement Stripe (PCI-DSS niveau 1)
- CDN CloudFlare
- Postes utilisateurs (Mac/PC)
- Active Directory cloud (Azure AD)
Événements redoutés : indispo site > 4h, fuite base 380k clients, fraude paiement, défacement site, ransomware
Échelle gravité 1-4 : indispo 24h = G3, fuite 380k clients = G4, défacement = G2

Atelier 2 — Sources de risques

Source	Motivation	Capacité
Cybercriminel ransomware (REvil, LockBit)	Gain financier	Élevée
Hacktiviste / défacement	Idéologie	Faible
Concurrent peu scrupuleux	Espionnage commercial	Modérée
Salarié malveillant	Vengeance / extorsion	Modérée
Erreur humaine interne	Aucune (involontaire)	—
État (rare ce contexte)	Stratégique	Très élevée

Atelier 3 — Scénarios stratégiques (haut niveau)

Scénario	Source	Événement	Vraisemblance	Gravité
Ransomware via phishing	Cybercriminel	Chiffrement données + indispo site	4 (probable)	4 (max)
Compromission compte admin AWS	Cybercriminel	Suppression infrastructure + fuite	3	4
Vol données via vulnérabilité site	Cybercriminel	Fuite 380k clients	3	4
DDoS Black Friday	Hacktiviste ou concurrent	Indispo site période critique	3	3
Salarié exfiltrant base CRM	Salarié	Vol commercial	2	3

Atelier 4 — Scénarios opérationnels (cyber kill chain)

Scénario : Ransomware via phishing — kill chain détaillée

Reconnaissance : LinkedIn collaborateurs, emails publics, OSINT
Préparation arme : email phishing spear (PJ Word/Excel malveillant)
Livraison : email envoyé à 30 collaborateurs cibles
Exploitation : 1 collaborateur ouvre PJ, macro VBA s'exécute
Installation : Cobalt Strike beacon installé sur poste
Command & Control : tunnel C2 vers serveur attaquant
Action sur objectifs : déplacement latéral, escalade privilèges, vol identifiants admin AD, déploiement ransomware sur 60 postes + 4 serveurs
Demande rançon : 250 k€ en Bitcoin

Atelier 5 — Traitement du risque

Risque	Décision	Mesures	Coût	Risque résiduel
Ransomware phishing	Réduire	EDR CrowdStrike + MFA + formation phishing simulé + EDR + sauvegardes 3-2-1 immutables + segmentation réseau	50 k€	Acceptable (V2 G3)
Compromission AWS admin	Réduire	MFA matérielle (YubiKey) + AWS Organizations SCP + CloudTrail + GuardDuty	10 k€	Acceptable
Vol données via site	Réduire	WAF CloudFlare + pentest annuel + SAST/DAST CI/CD + bug bounty YesWeHack	25 k€	Acceptable
DDoS	Transférer	CloudFlare Pro avec protection DDoS L7	3 k€/an	Acceptable
Salarié exfiltrant	Réduire	DLP Microsoft Purview + monitoring SIEM + audit logs CRM	15 k€	Acceptable

Budget total traitement risques : 103 k€, à comparer aux pertes potentielles d'un seul incident majeur (rançon + perte CA + amende RGPD + image) estimées à 2-5 M€.

10. SOA — Modèle complet (extrait des 93 contrôles)

Contrôle	Titre	Applic.	Justification (si N/A) ou Statut	Référence procédure
5.1	Politiques sécurité info	Oui	PSI v3.2 signée DG 15/01/2026	POL-SECU-001
5.7	Threat intelligence	Oui	Souscription flux ANSSI + CERT-FR + Recorded Future	PRO-CTI-001
5.23	Sécurité services cloud	Oui	Politique cloud + audits AWS et Microsoft 365 annuels	POL-CLOUD-001
5.30	Préparation TIC continuité	Oui	PCA testé annuellement, RTO 4h, RPO 1h	PRO-PCA-001
6.1	Filtrage embauche	Oui	Vérification casier B3 postes sensibles, références	PRO-RH-007
6.5	Responsabilités après emploi	Oui	Clause confidentialité contrat + sortie poste	PRO-RH-008
7.1	Périmètres sécurité physique	Oui	Locaux contrôlés badge + caméras + alarme	PRO-PHYS-001
7.4	Surveillance sécurité physique	Oui	CCTV 30 caméras, conservation 30j	PRO-PHYS-002
8.5	Authentification sécurisée	Oui	MFA Okta sur 100% comptes + SSO	PRO-IAM-001
8.9	Gestion configuration	Oui	CMDB ServiceNow + baselines CIS Benchmark	PRO-CONFIG-001
8.11	Masquage des données	Oui	Anonymisation bases test (Delphix)	PRO-DEV-005
8.12	Prévention fuites données (DLP)	Oui	Microsoft Purview DLP : règles CB + NIR + données santé	POL-DLP-001
8.16	Surveillance activités	Oui	SIEM Sentinel + SOC interne 7h-19h, MSSP 24/7	PRO-SOC-001
8.23	Filtrage Web	Oui	Zscaler Internet Access — catégories bloquées 12	POL-WEB-001
8.24	Cryptographie	Oui	AES-256 stockage, TLS 1.3 transport, gestion clés HashiCorp Vault	POL-CRYPTO-001
8.27	Principes ingénierie sécurité	Oui	Security by Design intégré CI/CD	PRO-DEV-001
8.28	Codage sécurisé	Oui	SAST SonarQube + DAST OWASP ZAP + formation dev	PRO-DEV-002
8.34	Protection SI lors d'audit	Non	Pas d'auditeurs externes mobilisant des outils intrusifs sur SI prod	—

Note Lead Implementer : typiquement < 5-10% de contrôles "Non applicable" justifiables. Plus de 15% éveille la suspicion auditeur.

11. PSI — Modèle de Politique Sécurité de l'Information

POLITIQUE DE SÉCURITÉ DE L'INFORMATION (PSI) — Société [XYZ] — Version 4.0 — Approuvée 15/01/2026 par M. J. Mvondo, PDG

1. Engagement de la direction

La sécurité de l'information est un enjeu stratégique de [XYZ]. Nous protégeons la Confidentialité, Intégrité et Disponibilité des informations confiées par nos clients et collaborateurs. La direction s'engage personnellement à allouer les ressources et soutenir la démarche SMSI ISO 27001:2022.

2. Périmètre

Cette politique s'applique à 100% des collaborateurs, prestataires, sous-traitants ayant accès au SI de [XYZ], pour l'ensemble des sites et systèmes (production cloud AWS + tertiaire Paris + télétravail).

3. Objectifs sécurité 2026

0 incident de sécurité majeur
100% des comptes admin protégés MFA
100% des collaborateurs formés sécurité annuellement
Taux de clic phishing simulé < 5%
RTO/RPO respectés (PCA testé 2/an)
Conformité RGPD, NIS2 (à venir), PCI-DSS si applicable

4. Principes directeurs

Besoin d'en connaître (need-to-know)
Principe du moindre privilège (least privilege)
Défense en profondeur (couches multiples)
Séparation des pouvoirs (admin vs dev vs métier)
Traçabilité de toutes les actions sur SI sensible
Approche risque (EBIOS RM annuelle)

5. Politiques thématiques (en annexes)

Classification de l'information
Contrôle d'accès et IAM
Mots de passe et MFA
Cryptographie
Sécurité des postes et mobiles
BYOD et télétravail
Sauvegardes 3-2-1
Gestion des incidents
Continuité d'activité
Fournisseurs et cloud
Développement sécurisé
Sortie du collaborateur

6. Rôles et responsabilités (extrait)

DG : sponsor SMSI, allocation ressources, décisions stratégiques
RSSI : pilotage opérationnel SMSI, reporting trimestriel
DPO : conformité RGPD, registre traitements, relation CNIL
DSI : mise en œuvre technique des contrôles
Tous collaborateurs : respect PSI, signalement incidents, formation annuelle

7. Sanctions disciplinaires

Tout manquement à la PSI peut entraîner des sanctions disciplinaires (avertissement, mise à pied, licenciement) conformément au règlement intérieur de la société. Les actes pénalement répréhensibles (vol données, fraude) feront l'objet d'un dépôt de plainte.

8. Validité et revue

Cette PSI est revue annuellement minimum (mai chaque année) en revue de direction, ou suite à incident majeur ou changement organisationnel significatif.

Signature : [J. Mvondo, PDG, 15/01/2026]

12. Synthèse étendue analyse risques + SOA + PSI

EBIOS RM = 5 ateliers (cadrage, sources, scénarios stratégiques, opérationnels, traitement)
MEHARI / MAGERIT / OCTAVE / FAIR / NIST RMF = méthodes alternatives
SOA = document central §6.1.3 d) — 93 contrôles évalués avec justification
4 options traitement : Éviter / Réduire / Transférer / Accepter
PSI signée DG = engagement leadership §5.2 ISO 27001
Budget traitement risques typique fintech : 100-200 k€/an

Continuez le parcours 🚀

Inscrivez-vous pour accéder aux 5 autres leçons + le quiz final.

Créer mon compte

📚 Programme du cours

1

Leçon 1 — ISO 27001:2022 SMSI : mise à jour 2022 et les 4 catégories de contrôles ISO 27002:2022 (93 contrôles)
2

Leçon 2 — Analyse de risques (ISO 31000, EBIOS RM ANSSI, MEHARI), SOA et Politique Sécurité de l'Information (PSI)
🔒

Leçon 3 — Mise en œuvre SMSI : RACI sécurité, classification information, gestion incidents (ISO 27035), continuité (ISO 22301)
🔒

Leçon 4 — Audit ISO 27001 et certification : LSTI, AFNOR Certification, Bureau Veritas, cycle 3 ans
🔒

Leçon 5 — Lead Implementer PECB/EXIN : intégration RGPD CNIL, NIS2 et préparation examen
🔒

Examen blanc — ISO 27001 Lead Implementer (25 questions)
🔒

Examen final — ISO 27001 Lead Implementer (50 questions, format PECB/EXIN)

🎯 Simulation Examen

🌍 ISO 27001:2022 Lead Implementer

PECB / IRCA

📝 300 Q · ⏱ 180 min

▶ Démarrer l'examen blanc 📋 Voir tout le catalogue →

Leçon 2 — Analyse de risques (ISO 31000, EBIOS RM ANSSI, MEHARI), SOA et Politique Sécurité de l'Information (PSI)