EBIOS Risk Manager

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Domaine 2 - Cadre de gestion des risques

   Le directeur général d'un organisme estime qu'un pare-feu et un antivirus suffisent et qu'aucune démarche de gestion des risques n'est utile. En vous appuyant sur EBIOS RM, comment lui montrer les limites de ce raisonnement et les conséquences possibles d'une gestion des risques défaillante ?

   1. Le degré d'exposition dépend avant tout du montant investi dans la sécurité informatique ; une analyse métier détaillée n'est donc pas nécessaire
   2. L'exposition au risque se ressemble d'une activité à l'autre ; des mesures de sécurité génériques, appliquées telles quelles, conviennent donc à la plupart des organismes
   3. Avant de pouvoir maîtriser son exposition, l'organisme doit d'abord savoir ce qui peut lui porter préjudice : cela suppose de dresser un inventaire des événements redoutés et d'en mesurer les impacts
   4. La maîtrise de l'exposition découle essentiellement du respect des obligations réglementaires et ne réclame pas d'inventaire propre des menaces qui pèsent sur les métiers

2. Domaine 1 - Principes et concepts fondamentaux

   En réunion de lancement, une cheffe de projet soutient que le cycle stratégique et le cycle opérationnel forment deux analyses distinctes, à conduire séparément. Cette position est-elle exacte, et comment ces deux cycles s'articulent-ils en réalité ?

   1. Les deux cycles se complètent : le stratégique donne une vue d'ensemble du périmètre sur environ 3 ans, tandis que l'opérationnel est réactualisé chaque année par itération
   2. Le premier cycle couvre la phase d'appréciation des risques et le second la phase de traitement, séparant ainsi ces deux activités dans le temps
   3. Les deux cycles se distinguent par les acteurs : le stratégique revient aux responsables métier pour coter la gravité, l'opérationnel aux seuls experts cyber pour estimer la vraisemblance des attaques
   4. Les cycles se déroulent l'un après l'autre, du choix de la direction générale jusqu'à la déclinaison opérationnelle, pour garantir une couverture complète

3. Domaine 3 - Appréciation des risques

   Une consultante affirme que, dans l'atelier 3, seules les parties prenantes externes doivent être évaluées en niveau de menace, car elles échappent au contrôle de l'organisme. A-t-elle raison, et quelles parties prenantes faut-il en réalité évaluer ?

   1. Non : toutes les parties prenantes, internes comme externes, doivent être identifiées et évaluées pour établir leur niveau de menace
   2. Oui : ce sont surtout les parties prenantes externes qui présentent un danger, car elles ne sont pas sous le contrôle direct de l'organisme
   3. Oui : les niveaux de menace obtenus servent à classer les seules parties prenantes externes pour orienter les scénarios stratégiques
   4. Non, mais les parties prenantes externes doivent obligatoirement être évaluées avant les internes

4. Domaine 2 - Cadre de gestion des risques

   Un RSSI évalue la gravité d'un événement redouté à G3 mais le responsable métier l'évalue à G1. Le RSSI argue que les conséquences techniques sont graves. Selon EBIOS RM, quelle est la définition correcte de la gravité et qui doit trancher ce désaccord ?

   1. La gravité est la combinaison de la fréquence d'occurrence d'un événement redouté et du nombre de biens supports affectés par cet événement
   2. La gravité est la mesure de la probabilité qu'un événement redouté se réalise en tenant compte des mesures de sécurité existantes et des vulnérabilités identifiées
   3. La gravité est le calcul du coût financier direct et indirect engendré par la réalisation d'un événement redouté sur l'ensemble des activités de l'organisme
   4. La gravité est l'estimation du niveau et de l'intensité des effets d'un risque, fournissant une mesure des impacts préjudiciables perçus

5. Domaine 1 - Principes et concepts fondamentaux

   Au cours d'une formation, une participante soutient que la méthode EBIOS Risk Manager comporte 4 ateliers, un autre affirme qu'elle y en a 6. Qui a raison, et quel est le nombre exact d'ateliers ainsi que leur ordre d'enchaînement ?

   1. 6 ateliers : Introduction, Cadrage, Sources de risque, Scénarios stratégiques, Scénarios opérationnels et Traitement, couvrant l'ensemble du processus y compris la sensibilisation initiale
   2. 5 ateliers : Cadrage et socle de sécurité, Sources de risque, Scénarios stratégiques, Scénarios opérationnels et Traitement du risque, formant un cycle itératif complet
   3. 3 ateliers : Analyse du contexte, Appréciation des risques et Traitement des risques, suivant le cycle classique de la norme ISO 27005 pour la gestion des risques
   4. 4 ateliers : Cadrage, Sources de risque, Scénarios d'attaque et Traitement du risque, permettant une analyse séquentielle du risque de l'identification au traitement

6. Domaine 3 - Appréciation des risques

   Le niveau de menace d'une partie prenante se calcule à l'atelier 3 à partir de deux composantes : l'exposition et la fiabilité cyber. Quelle combinaison correspond à un score de menace élevé ?

   1. Une exposition bien inférieure à une fiabilité cyber élevée, signe d'une partie prenante protégée mais peu connectée au SI
   2. Une confiance élevée associée à une forte pénétration du SI, soit un partenaire de confiance disposant d'accès privilégiés
   3. Une exposition nettement supérieure à une fiabilité cyber faible : forte dépendance et pénétration
   4. Une maturité cyber élevée et une dépendance faible, révélant une partie prenante autonome aux bonnes pratiques de sécurité

7. Domaine 2 - Cadre de gestion des risques

   Un consultant propose d'utiliser EBIOS RM pour analyser les risques physiques (incendie, inondation) en plus des risques numériques. Le RSSI refuse en invoquant le périmètre de la méthode. Quelle est la vision du risque appliquée par EBIOS RM qui donne raison au RSSI, et comment les risques hors périmètre doivent-ils être traités ?

   1. Une approche centrée sur le négatif : repérer et traiter les événements redoutés qui portent atteinte aux valeurs métier de l'organisme
   2. Une approche neutre, fondée sur l'évaluation statistique de la probabilité des événements, sans présumer de leur caractère favorable ou défavorable
   3. Une approche positive, tournée vers les opportunités de gain ou de progrès que la gestion des risques apporterait à l'organisme
   4. Une approche équilibrée entre risques favorables (opportunités) et défavorables (menaces), dans l'esprit de la norme ISO 31000

8. Domaine 1 - Principes et concepts fondamentaux

   Que signifie l'acronyme EBIOS, et quelle a été l'évolution de la méthode jusqu'à sa version Risk Manager ?

   1. Estimation des Besoins en Information et Objectifs de Sécurisation, élaborée conjointement par le club EBIOS et l'ENISA pour répondre aux exigences de cybersécurité européennes
   2. Examen des Bases d'Information et Organisation de la Sécurité, développée par l'ISO dans le cadre des travaux sur la norme ISO 27005 pour fournir un outil pratique aux organismes
   3. Expression des Besoins et Identification des Objectifs de Sécurité, créée par l'ANSSI, héritière de 3 versions précédentes (de 1995 à 2010), et devenue EBIOS Risk Manager en 2018
   4. Évaluation des Besoins et Identification des Objectifs de Sécurité, créée par la CNIL en 2010 et reprise par l'ANSSI en 2018 pour devenir EBIOS Risk Manager

9. Domaine 3 - Appréciation des risques

   À l'issue de l'évaluation du niveau de menace des parties prenantes (atelier 3), des actions d'amélioration peuvent être planifiées. Sur quelle analyse reposent-elles ?

   1. Sur les parties prenantes dont l'exposition est élevée et la fiabilité cyber faible : il faut alors renforcer la protection ou réduire l'exposition
   2. Sur les écarts de conformité au socle de sécurité relevés à l'atelier 1, au regard des référentiels applicables aux parties prenantes
   3. Sur les parties prenantes à faible exposition, qu'il faut rendre plus dépendantes et plus pénétrantes pour aligner leur niveau sur la fiabilité cyber
   4. Sur les parties prenantes à faible exposition et forte fiabilité, pour lesquelles des mesures complémentaires maintiennent ce bon niveau dans la durée

10. Domaine 2 - Cadre de gestion des risques

    Une auditrice ISO 27001 constate que l'inventaire des actifs de l'organisme ne fait pas la distinction entre « biens primaires » et « actifs secondaires ». La RSSI lui explique qu'en EBIOS RM, on utilise un vocabulaire différent. Quelle est la définition d'un bien support et comment ce concept correspond-elle aux actifs ISO 27005 ?

    1. Un actif financier ou matériel de l'organisme ayant une valeur comptable identifiable, de nature physique, tel qu'un bâtiment, un véhicule ou un équipement industriel nécessitant une assurance
    2. Un document de référence décrivant les processus métier de l'organisme et permettant d'identifier les dépendances entre les différentes activités opérationnelles
    3. Un logiciel ou matériel informatique géré par le service informatique et faisant l'objet d'un contrat de maintenance pour garantir sa disponibilité et sa sécurité
    4. Une composante du système d'information sur laquelle reposent une ou plusieurs valeurs métier, pouvant être de nature numérique, physique ou organisationnelle

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.