EBIOS Risk Manager

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Domaine 3 - Appréciation des risques

   Dans l'atelier 4 de l'étude du data center régional Datalis, l'équipe cote l'action élémentaire « intrusion physique dans la salle des serveurs ». Cette salle n'est protégée que par une porte à digicode, sans autre barrière ni supervision humaine ou vidéo. Le RSSI propose de retenir une probabilité de succès faible, puisqu'un contrôle d'accès physique existe déjà. Quelle cotation l'équipe devrait-elle retenir pour cette action ?

   1. Une probabilité faible, l'accès à la salle étant déjà soumis à un code
   2. Une probabilité faible, l'intrusion supposant une présence de l'attaquant sur le site
   3. Une probabilité non ajustée, la sécurité physique relevant du seul socle de sécurité
   4. Une probabilité élevée, la salle restant loin des trois barrières recommandées

2. Domaine 2 - Cadre de gestion des risques

   Le laboratoire d'analyses médicales Biolam formalise ses événements redoutés. Ses biologistes redoutent que des résultats d'analyses de sang soient remplacés par des valeurs plausibles entre leur validation et leur envoi aux médecins prescripteurs. Un participant rappelle que ces résultats sont des données de santé couvertes par le secret médical. À quel critère de sécurité de la valeur métier cet événement redouté porte-t-il atteinte ?

   1. Intégrité
   2. Confidentialité
   3. Disponibilité
   4. Traçabilité

3. Domaine 1 - Principes et concepts fondamentaux

   Un auditeur interne du SMSI de la société d'ingénierie Ferrovia contrôle la cohérence entre l'étude EBIOS Risk Manager et la norme ISO/IEC 27005. Sa liste de contrôle lui demande de retrouver les « biens primaires ». Le responsable du SMSI propose de lui montrer l'inventaire des serveurs et applications, déjà rapproché de l'étude. Quel élément de l'étude correspond à la notion demandée par l'auditeur ?

   1. Les biens supports
   2. Les événements redoutés
   3. Les sources de risque
   4. Les valeurs métier

4. Domaine 3 - Appréciation des risques

   Le comité de pilotage de la mutuelle régionale Mutalis suit déjà, à chaque réunion, le budget consommé par les mesures du plan de traitement du risque. Il demande au RSSI un second indicateur, simple, qui montre d'un comité à l'autre où en est la mise en œuvre des mesures elles-mêmes. Quel indicateur le RSSI devrait-il proposer ?

   1. La part des mesures passées de « Ouvert » à « En cours » ou « Terminée »
   2. La part des mesures du plan dotées d'un responsable désigné
   3. La part des risques passés de « Élevé » à « Moyen » depuis le précédent comité
   4. La part du budget du plan consommée depuis le précédent comité

5. Domaine 2 - Cadre de gestion des risques

   Au lancement de l'atelier 1, la société de transport urbain Lignes d'Armor constate qu'elle ne dispose d'aucune échelle de gravité. Le RSSI propose que son équipe la rédige seule pendant l'intersession, puisqu'elle connaît le mieux les conséquences des incidents passés, puis la présente pour information. Comment cette échelle devrait-elle être établie ?

   1. Par l'équipe sécurité, dès le début de l'étape des événements redoutés
   2. Avec les métiers, une fois l'atelier 2 terminé et les sources connues
   3. Par l'équipe sécurité, pour information des métiers
   4. Avec les métiers, dès le début de l'étape des événements redoutés

6. Domaine 1 - Principes et concepts fondamentaux

   Dans l'atelier 3 de la plateforme logistique Transalp, le scénario stratégique « sabotage du système de gestion d'entrepôt par un concurrent » a été construit pour un objectif visé que le croisement OV/ER avait associé à l'événement redouté « arrêt des expéditions », coté G3. Un participant propose de coter le scénario G2, car le chemin d'attaque passe par trois prestataires et lui paraît très difficile. Quelle gravité retenir ?

   1. G2, la gravité de l'événement redouté étant pondérée par la difficulté du chemin
   2. G4, la plus forte gravité de la valeur métier
   3. G3, la gravité de l'événement redouté associé à l'objectif visé
   4. G3, la gravité moyenne des événements redoutés de l'entrepôt

7. Domaine 3 - Appréciation des risques

   Après l'homologation de son portail des demandeurs, l'agence régionale Cap Emploi Sud a fixé son cycle stratégique à trois ans. La directrice propose de limiter la surveillance des risques à une revue unique, programmée à la fin de ce cycle, pour alléger la charge des équipes. Comment le RSSI devrait-il organiser la surveillance des risques ?

   1. Par une revue unique en fin de cycle, alignée sur la durée de trois ans
   2. Par une veille technique permanente, intégrée aux revues du service informatique
   3. Par un processus régulier et permanent, intégré à des revues plus fréquentes
   4. Par une revue trimestrielle de l'avancement du plan de traitement du risque

8. Domaine 2 - Cadre de gestion des risques

   Lors de la première séance de l'atelier 1 de la coopérative laitière Lactalpes, l'animateur lance d'emblée un remue-méninges sur les valeurs métier. Rapidement, les participants s'opposent : certains pensent préparer l'homologation d'un système, d'autres une démarche de management du risque à l'échelle du groupe. Que devrait faire l'animateur ?

   1. Suspendre le recensement et faire convenir des objectifs de l'étude
   2. Poursuivre le recensement, puis convenir ensemble des objectifs en fin de séance
   3. Suspendre le recensement et faire trancher l'objectif par le RSSI
   4. Poursuivre le recensement et déduire les objectifs des valeurs retenues

9. Domaine 1 - Principes et concepts fondamentaux

   Le comité de pilotage de l'éditeur de logiciels Numéa dispose des couples SR/OV retenus et des scénarios stratégiques avec leur gravité. Pressé par un appel d'offres, il souhaite arrêter dès maintenant la stratégie de traitement du risque. Le chef de projet fait remarquer qu'il manque un livrable pour positionner les risques. Quel livrable manque-t-il ?

   1. La cartographie de dangerosité de l'écosystème
   2. Les événements redoutés et l'estimation de leur niveau de gravité par les métiers
   3. Les scénarios opérationnels, avec l'estimation de leur vraisemblance
   4. Les mesures de sécurité sur l'écosystème, avec leur effet sur la dangerosité

10. Domaine 3 - Appréciation des risques

    La compagnie d'assurance Assurelle commence l'atelier 3 sans aucune analyse antérieure de son écosystème. Le chef de projet veut évaluer dès la première séance les sous-traitants de ses sous-traitants, soit près de 300 entités, pour ne laisser aucun maillon de côté. Comment construire la première cartographie de dangerosité ?

    1. En commençant par les 300 entités des rangs 1 à 3, évaluées ensemble
    2. En commençant par les parties prenantes critiques connues du RSSI, puis en élargissant
    3. En commençant par les parties prenantes en interaction directe avec l'objet
    4. En commençant par les sous-traitants de rang 2, les plus difficiles à contrôler

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.