EBIOS signifie : Expression des Besoins et Identification des Objectifs de Sécurité. Cette méthode a été mise en place par la Direction Centrale de la Sécurité des systèmes d'information.

Méthode reconnue par les différentes administrations françaises, la méthode EBIOS consiste à formaliser les besoins de sécurité et les menaces, et permet de déterminer les risques pesant sur les périmètres à auditer.


Présentation synthétique des différents axes de la méthode EBIOS

Étude du contexte fonctionnel et technique,

Expression des besoins de sécurité,

Étude des menaces pesant sur le périmètre audité (fonctionnelles et techniques),

Expression des objectifs de sécurité

Détermination des exigences de sécurité

A partir des tous ces éléments, pour chaque périmètre audité il est possible de réaliser un certain nombre de documents de base permettant la mise en place ou la continuité d'une politique de sécurité. Ces éléments peuvent être :

un schéma directeur,

la formalisation de la politique de sécurité,

un plan d'action,

cahiers des charges réalisés par les Maîtrises d'oeuvre,

un profil de protection.


Présentation détaillée des différents axes de la méthode EBIOS


L'étude du contexte fonctionnel et technique:

Étude de l'organisme

Étude du Système Cible technique et fonctionnelle,

Détermination de la cible de l'étude de sécurité,


Expression des besoins de sécurité :

Réalisation des fiches de besoins,

Synthèse des besoins de sécurité,


Étude des menaces :

Étude des origines des menaces,

Étude des vulnérabilités,

Formalisation des menaces,


Identification des objectifs de sécurité :

Confrontation des menaces aux besoins,

Formalisation des objectifs de sécurité,

Détermination des niveaux de sécurité


Détermination des exigences de sécurité

Détermination des exigences de sécurité fonctionnelles

Détermination des exigences des sécurité d'assurances


Conclusion

La méthode EBIOS autorise des interventions et un questionnement de la politique de sécurité à metre en oeuvre dans une entreprise simple et facilement accessible. Pourtant, en fonction des périmètres à auditer, cette méthode peut parfois être considérée comme trop générique. En fonction du périmètre à auditer, elle peut parfois s'avérer trop générique. Dans ce cas, il est possible d'intervenir avec d'autres méthodes.