La Méthode EBIOS

Expression des Besoins et Identification des Objectifs de Sécurité.

La méthode EBIOS (Expression du Besoin et Identification des Objectifs de Sécurité) a été élaborée par la DCSSI (Direction Centrale de la Sécurité des Systemes d'Information) en france.

Elle est particulierement déployée au sein de l'administration française. Elle comprend une base de connaissances qui décrit les types d'entités, les méthodes d'attaques, les vulnérabilités, les objectifs de sécurité et les exigences de sécurité. Elle propose également un recueil des meilleures pratiques sur l'élaboration de schémas directeurs SSI, la rédaction de profils de protection, de cibles de sécurité et de SSRS (System-specific Security Requirement Statement).

La méthode se veut un outil de gestion des risques SSI mais aussi de sensibilisation, de négociation et d'arbitrage. Elle est téléchargeable sur le site de la DCSSI et s'accompagne d'un logiciel d'assistance, distribué sous licence libre.

Les résultats de la méthode EBIOS peuvent etre exploités dans le cadre d'une FEROS (Fiche d'Expression Rationnelle des Objectifs de Sécurité), document créé par la DCSSI (Direction centrale de la sécurité des systemes d'information) qui dépend, elle aussi, des services du Premier Ministre. Ce document est obligatoire pour les systemes traitant d'informations classées "défense".

Il présente l'ensemble des objectifs de sécurité du systeme étudié et les risques résiduels, mais aussi la démarche et l'argumentation qui a permis de les identifier. Ainsi, apres avoir extrait certaines données (systeme étudié, besoins de sécurité, menaces, risques...) en provenance d'une étude EBIOS, la fiche FEROS permet de réorganiser et de classer les objectifs de sécurité et de définir les responsabilités qui doivent - ou ne doivent pas - etre engagées.

La méthode EBIOS (Expression du Besoin et Identification des Objectifs de Sécurité) a été élaborée par la DCSSI (Direction Centrale de la Sécurité des Systemes d'Information) en france.

Site officiel : http://www.ssi.gouv.fr/site_article45.html

Autres liens utiles :

http://www.securite-informatique.gouv.fr/gp_article83.html

http://www.cert-ist.com/fra/ressources/Publications_ArticlesBulletins/Autres/ebios/