EBIOS Risk Manager è il metodo ufficiale dell'ANSSI (l'autorità francese per la cybersicurezza) per la gestione dei rischi di cybersicurezza. La sua versione attuale, EBIOS RM, è il riferimento imprescindibile in gran parte del settore regolamentato in Francia e, sempre più, una certificazione molto apprezzata nelle organizzazioni europee che lavorano con l'amministrazione francese o che adottano quadri compatibili con NIS 2 e DORA. In questo articolo spiego che cos'è EBIOS RM, come funzionano i suoi cinque workshop, in che cosa si distingue dalla ISO/IEC 27005 e perché la certificazione PECB EBIOS Risk Manager è una risorsa strategica per il mercato francofono.

Che cos'è EBIOS e che cosa fa l'ANSSI

EBIOS è l'acronimo francese di "Expression des Besoins et Identification des Objectifs de Sécurité" (espressione delle esigenze e identificazione degli obiettivi di sicurezza), un metodo creato dall'ANSSI (l'Agenzia nazionale francese per la sicurezza dei sistemi informativi) negli anni Novanta e profondamente rinnovato con la versione EBIOS Risk Manager (EBIOS RM) nel 2018. L'ANSSI è l'autorità nazionale francese per la cybersicurezza e, in gran parte d'Europa, il riferimento normativo di fatto nei settori critici.

EBIOS RM è il metodo utilizzato dalle autorità, dagli operatori di servizi essenziali e da molti settori regolamentati in Francia. È inoltre riconosciuto dall'ENISA e compatibile con la ISO/IEC 27005, il che lo rende particolarmente utile nelle organizzazioni europee.

Una differenza concettuale importante: EBIOS RM non è l'ennesimo metodo di valutazione del rischio; è un metodo orientato agli scenari di attacco. Invece di partire da asset e vulnerabilità, parte da fonti di rischio realistiche e costruisce scenari completi fino all'impatto. Questo lo rende particolarmente efficace contro le minacce avanzate.

La filosofia di EBIOS: dall'asset allo scenario

La maggior parte dei metodi classici di gestione del rischio parte dall'asset (ciò che possiedo) e scende verso la vulnerabilità e la minaccia. EBIOS RM rovescia la logica: parte dalla fonte di rischio (chi potrebbe attaccarmi e perché) e costruisce scenari di attacco completi, dall'esterno verso l'interno.

Questa logica si adatta molto bene al panorama attuale delle minacce. Quando parliamo di ransomware, spionaggio industriale o sabotaggio, ciò che conta non è solo la vulnerabilità tecnica, ma il movente dell'attaccante, la sua capacità e il percorso che segue per raggiungere il bersaglio. EBIOS RM modella tutto questo.

I cinque workshop, uno per uno

EBIOS RM è strutturato in cinque workshop. Sono la spina dorsale del metodo e anche la struttura del corso:

Workshop 1: perimetro e base di sicurezza. Si definisce il perimetro dello studio, si identificano i valori di business (ciò che si protegge) e gli eventi temuti (ciò che non si vuole che accada). Si stabilisce la base di sicurezza come punto di partenza.

Workshop 2: fonti di rischio e obiettivi mirati. Si identificano le fonti di rischio (potenziali attaccanti: cybercriminali, Stati, hacktivisti, insider) ed esattamente che cosa cercano. È la parte più caratteristica del metodo.

Workshop 3: scenari strategici. Si costruiscono scenari di alto livello che descrivono come una fonte di rischio potrebbe raggiungere il proprio obiettivo, quali percorsi potrebbe seguire e quale impatto ne deriverebbe.

Workshop 4: scenari operativi. Si entra nel dettaglio tecnico di ciascuno scenario strategico, modellando la sequenza di eventi elementari che compongono l'attacco.

Workshop 5: trattamento del rischio. Si danno priorità agli scenari in base al livello di rischio, si sceglie il trattamento (accettazione, mitigazione, trasferimento, evitamento) e si costruisce un piano d'azione.

Desidera certificarsi come EBIOS Risk Manager?
Formazione ufficiale PECB con un consulente in attività, al Suo ritmo o con accompagnamento individuale, che si svolge in inglese.

Vedere il corso →Parlare con Ricardo

EBIOS RM e ISO/IEC 27005: quale e quando

Entrambi i metodi sono validi, ma hanno profili diversi.

La ISO/IEC 27005 è più generale e più compatibile. Si integra perfettamente con qualsiasi SGSI conforme alla ISO 27001 ed è il riferimento internazionale. Ideale se lavora a un progetto di certificazione ISO 27001, NIS 2 o DORA e ha bisogno di un metodo riconosciuto a livello mondiale.

EBIOS RM è più specifico e centrato sulle minacce avanzate. Ideale se lavora con organizzazioni del settore pubblico, della difesa, dell'energia o della finanza in Francia, o con qualsiasi organizzazione europea che abbia rapporti con l'amministrazione francese o che affronti minacce mirate.

In pratica, molti professionisti finiscono per padroneggiare entrambi. La ISO/IEC 27005 fornisce il quadro generale; EBIOS RM dà la profondità degli scenari. Sono complementari.

Perché EBIOS è decisivo in Francia e con la NIS 2

Se lavora con organizzazioni francesi, EBIOS RM è praticamente inevitabile. L'ANSSI lo richiede nelle valutazioni degli operatori di servizi essenziali (OSE) e dei fornitori di servizi digitali, e la maggior parte delle gare pubbliche francesi lo cita come metodo preferito.

Con la NIS 2 in piena fase di recepimento, l'ANSSI ha confermato che EBIOS RM resterà il metodo raccomandato in Francia per soddisfare l'articolo 21 della direttiva. E, grazie all'influenza dell'ANSSI a livello europeo, il metodo viene adottato anche da organizzazioni di altri Paesi soggette alla regolamentazione europea.

Che cosa copre il corso PECB EBIOS Risk Manager

Il corso PECB Certified EBIOS Risk Manager è una formazione intensiva di tre giorni che copre i cinque workshop con casi pratici reali. Il programma:

  • Giorno 1: fondamenti del metodo, workshop 1 (perimetro) e workshop 2 (fonti di rischio).
  • Giorno 2: workshop 3 e 4 (scenari strategici e operativi).
  • Giorno 3: workshop 5 (trattamento), ripasso ed esame ufficiale PECB.

Il corso è disponibile in autoapprendimento ufficiale PECB, che Le consente di avanzare al Suo ritmo. E, trattandosi del metodo ufficiale francese, il materiale è disponibile anche in francese, un vantaggio per i professionisti bilingui o per chi lavora con una clientela francofona.

EBIOS RM non compete con la ISO 27005, la completa. Chi padroneggia entrambi ha un profilo unico nel mercato europeo: il rigore internazionale della 27005 e la profondità sulle minacce avanzate del metodo dell'ANSSI.

Formarsi e certificarsi

Se desidera fare il passo verso la certificazione ufficiale PECB, il corso EBIOS Risk Manager è la via diretta: autoapprendimento ufficiale PECB per avanzare al Suo ritmo e prepararsi all'esame di certificazione.