Gérez vos risques cyber avec EBIOS RM

Identifiez vos scénarios stratégiques

Lors de l’étape précédente, vous avez établi une première cartographie des parties prenantes de votre écosystème et identifié celles qui sont critiques. Maintenant, il s'agit de franchir une nouvelle étape en construisant des scénarios concrets montrant comment un attaquant pourrait exploiter ces faiblesses pour atteindre ses objectifs.

Ces scénarios stratégiques s’élaborent par un processus de réflexion et de déduction. Les informations collectées précédemment seront déterminantes pour guider cet exercice. Pour animer efficacement cet atelier, commencez par vous appuyer sur les couples SR/OV identifiés durant l’atelier 2.

À partir de ces couples, engagez des discussions en adoptant la perspective d’un attaquant potentiel. Posez-vous les questions suivantes :

• Quelles sont les valeurs métier de l'organisation que l'attaquant pourrait viser pour accomplir ses objectifs ?

• Parmi les parties prenantes ayant un accès critique à ces valeurs, lesquelles pourraient être exploitées pour faciliter l'attaque ?

Pour rendre cela plus concret, voici un exemple de scénario stratégique pour notre outil de gestion de paie : "Scénario 3 : Vol de données par un concurrent à l’aide d’un intermédiaire".

Étape 1 : Choix du couple SR / OV

• Source de Risque (SR) : Concurrent (SR02).

  • Description : Un acteur malveillant qui cherche à affaiblir l’entreprise en accédant aux informations stratégiques pour obtenir un avantage concurrentiel.

• Objectif Visé (OV) : Voler des informations (OV02).

  • Description : Obtenir des informations sensibles sur les employés ou les pratiques de l’entreprise pour les exploiter à des fins concurrentielles.

Étape 2 : Définition de la séquence d’événements

1. Campagne de phishing :

• L’attaquant mène une campagne de phishing ciblée contre le service RH de l’entreprise VETO+. Le but est de récupérer les identifiants d’accès des collaborateurs clés.

• Méthode : Utilisation d’e-mails frauduleux imitant une communication interne ou externe légitime, encourageant les utilisateurs à cliquer sur un lien ou à fournir leurs informations de connexion.

2. Accès au système RH :

• L’attaquant parvient à usurper l’identité d’un membre du service RH grâce aux informations d’identification obtenues.

• Conséquence : Accès aux données confidentielles des employés, y compris les informations salariales et les coordonnées personnelles.

3. Intrusion dans la base de données RH :

• Une fois l’accès obtenu, l’attaquant navigue dans les systèmes internes pour localiser la base de données contenant les informations critiques.

• Action : Extraction ou modification des informations pour les utiliser à des fins de sabotage ou de revente.

4. Exfiltration des données sensibles :

• Les informations sensibles extraites sont envoyées vers un serveur externe contrôlé par l’attaquant.

• Objectif : Utiliser ces données pour nuire à l’entreprise en divulguant des informations confidentielles ou en contactant directement les employés ciblés.

Étape 3 : Analyse des impacts potentiels

1. Impact sur la confidentialité :

• Les informations sensibles des employés, telles que les salaires ou les coordonnées, sont compromises.

• Conséquence : Atteinte à la vie privée des employés, risque de chantage ou d’escroquerie.

2. Impact sur l’intégrité :

• Modifications non autorisées des dossiers des employés, potentiellement pour créer des tensions internes ou fausser les informations de gestion.

• Conséquence : Perte de confiance des employés dans la sécurité des systèmes de l’entreprise.

3. Impact sur la disponibilité :

• Risque de suspension ou de perturbation des services RH si l’attaque perturbe le fonctionnement du système.

• Conséquence : Retard dans le traitement des demandes et les opérations courantes, entraînant des frustrations.

Étape 4 : Conclusion et validation

• Retour à la construction des ER :

  • En partant de ce scénario, il est possible de remonter aux événements redoutés initiaux comme :

    • ER1 : Usurpation d'identité des employés (impact sur la confidentialité).

    • ER2 : Intrusion dans le système RH (impact sur l’intégrité).

    • ER3 : Exfiltration des données sensibles (impact sur la confidentialité).

• Révision des SR/OV :

  • Si d’autres sources de risque (SR) ou objectifs visés (OV) sont identifiés au cours de l'analyse, le scénario devra être ajusté en conséquence.

Lors de la construction des scénarios stratégiques, vous explorez différentes manières pour un attaquant d'atteindre ses objectifs en ciblant vos valeurs métier. En effectuant cette analyse, vous pourriez identifier des chemins d'attaque ou des vulnérabilités que vous n’aviez pas initialement envisagés lors de l’identification des ER.

Ainsi, en élaborant ces scénarios, vous vous mettez dans la position d’un attaquant potentiel et envisagez différentes possibilités d’action. Cela peut révéler de nouveaux risques ou événements redoutés qui n’avaient pas été perçus lors des étapes précédentes. Par exemple, en simulant une attaque sur la base de données des employés, vous pourriez réaliser qu’un autre point de vulnérabilité, comme un accès indirect par un prestataire tiers, n’avait pas été initialement pris en compte comme ER.

Créez graphiquement des scénarios stratégiques

Vous avez cartographié les parties prenantes de votre écosystème et identifié celles qui sont critiques. L'étape suivante consiste à créer des scénarios stratégiques ou de haut niveau qui illustrent de manière réaliste comment un attaquant pourrait exploiter l'écosystème pour atteindre ses objectifs, détourner certains processus métier ou exploiter des vulnérabilités.

Pour rendre ces scénarios plus visuels et compréhensibles pour votre client, nous allons les représenter sous forme de graphiques. Ces graphiques permettent de visualiser de manière claire les chemins d'attaque possibles.

Nous proposons un découpage en trois parties pour structurer ces graphiques :

1. La source de risque ;

2. La partie prenante exploitant le SI ou facilitant l’attaque ;

3. L’objectif visé.

Avec cette représentation graphique, il est plus simple de comprendre le déroulement de l’attaque et le risque encouru.

Expliquez vos scénarios stratégiques

Pour communiquer efficacement les scénarios stratégiques, il est essentiel de les expliquer de manière claire et concise.

Ces scénarios doivent détailler les étapes spécifiques qu'un attaquant pourrait suivre pour atteindre ses objectifs, en exploitant les vulnérabilités identifiées dans les parties prenantes ou les processus métier critiques.

Une bonne explication inclura :

• une description de la source de risque ;

• les cibles potentielles au sein de l'écosystème ;

• les conséquences possibles des attaques.

Voici un exemple de tableau permettant d’expliquer les scénarios graphiques, pour notre scénario : "Récupération des données des salariés par un cybercriminel via un intermédiaire" :

En résumé

• Construisez des scénarios stratégiques à partir des couples SR/OV identifiés.

• Adoptez la perspective d’un attaquant pour évaluer les vulnérabilités.

• Représentez graphiquement les scénarios pour mieux visualiser les chemins d'attaque.

• Expliquez les scénarios de manière simple et dans un tableau récapitulatif des risques et conséquences, pour les rendre accessibles à tous.

• Révisez les scénarios en fonction de nouvelles menaces ou vulnérabilités découvertes.

La qualité de l’analyse repose en grande partie sur la compréhension mutuelle des enjeux et sur la capacité à bien représenter les risques identifiés. Vous allez maintenant créer une cartographie des menaces résiduelles.