El método EBIOS es un método de evaluación de riesgos de TI, desarrollado en 1995 por el Departamento Central de Seguridad de los Sistemas de Información (DCSSI) y mantenido por la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), que lo reemplazó en 2009. Evolucionó en 2010 y fue luego renombrado a EBIOS Risk Manager.
El método EBIOS permite evaluar los riesgos de seguridad de los sistemas de información (entidades y vulnerabilidades, métodos de ataque y elementos amenazantes, elementos esenciales y necesidades de seguridad, etc.), para contribuir a su tratamiento especificando los requisitos de seguridad a implantar, Elaborar todo el expediente de seguridad necesario para la aceptación de los riesgos y proporcionar los elementos útiles para la comunicación relativa a los riesgos. Es compatible con las normas ISO 15408 ( criterios comunes ), ISO / CEI 27005 (evaluación de riesgos del sistema de información) e ISO 31000 (gestión de riesgos comerciales).
EBIOS es ampliamente utilizado en el sector público (todos los ministerios y organizaciones bajo supervisión), en el sector privado (empresas consultoras, pequeñas y grandes empresas), en Francia y en el extranjero (Unión Europea, Quebec, Bélgica, Túnez, Luxemburgo ...), por muchas organizaciones como usuarios o beneficiarios de los análisis de riesgo de ISS .
EBIOS proporciona un método para construir una política de seguridad basada en un análisis de riesgo basado en el contexto empresarial y las vulnerabilidades relacionadas con su SI . Por tanto, el proceso es común a todos, pero los resultados de cada paso son personalizados.
Este paso esencial tiene como objetivo identificar globalmente el sistema de destino y ubicarlo en su entorno. En particular, permite especificar para el sistema las cuestiones, el contexto de su uso, las misiones o servicios que debe prestar y los medios utilizados.
La etapa se divide en tres actividades:
Este paso contribuye a la estimación de riesgos y a la definición de criterios de riesgo. Permite a los usuarios del sistema expresar sus necesidades de seguridad para las funciones y la información que manejan. Estas necesidades de seguridad se expresan de acuerdo con varios criterios de seguridad como la disponibilidad, la integridad y la confidencialidad. La expresión de necesidades se basa en el desarrollo y uso de una escala de necesidades y la identificación de impactos inaceptables para la organización.
La etapa se divide en dos actividades:
Este paso consiste en un inventario de escenarios que podrían afectar los componentes del SI. Una amenaza puede caracterizarse según su tipo (natural, humana o ambiental) y / o según su causa (accidental o deliberada).
Estas amenazas se formalizan identificando sus componentes: los métodos de ataque a los que está expuesto el organismo, los elementos amenazantes que pueden utilizarlos, las vulnerabilidades que se pueden explotar en las entidades del sistema y su nivel.
Un elemento amenazante puede afectar elementos esenciales explotando las vulnerabilidades de las entidades en las que se basan con un método de ataque particular. Los objetivos de seguridad son cubrir las vulnerabilidades.
El equipo de implementación del enfoque debe especificar las características de seguridad esperadas. El equipo responsable de implementar el enfoque debe demostrar que los objetivos de seguridad están completamente cubiertos por los requisitos funcionales y los requisitos del seguro.
Hasta la actualización de 2010, el software libre permitía registrar todos los resultados de un estudio y producir los documentos resumidos necesarios.
Ahora está obsoleto y ya no está disponible para descargar.
El CFSSI (centro de formación ANSSI) organiza cursos de formación en el método EBIOS para el sector público francés. Se está impartiendo formación en línea sobre gestión de riesgos.
La ANSSI también ofrece una formación de formadores para transferir conocimientos y evitar cualquier deriva en la difusión y uso del método.
El club de grandes usuarios del método EBIOS se creó en 2003 con el fin de reunir a una comunidad de expertos, compartir experiencias y mejorar el método y sus herramientas.