EBIOS RM EBIOS Risk Manager.

Lo que EBIOS Risk Manager hace realmente

EBIOS Risk Manager es el método de evaluación de riesgos cibernéticos mantenido por ANSSI, la agencia nacional francesa de ciberseguridad. Su rasgo definitorio es partir del atacante, no de una lista de activos. En lugar de catalogar cada servidor y preguntarse qué podría salir mal con cada uno, el método se pregunta quién querría dañar a la organización, qué intentaría conseguir y qué misiones de negocio atacaría para lograrlo. Los controles técnicos llegan al final, derivados de los escenarios, en lugar de ser el punto de partida.

Esta lógica inversa es lo que hace que EBIOS RM resulte útil ante un consejo de administración. Un registro de riesgos tradicional, construido de abajo hacia arriba, produce cientos de líneas que significan poco para los directivos. EBIOS RM produce un puñado de escenarios estratégicos, como un actor patrocinado por un Estado interrumpiendo un servicio crítico, o un competidor exfiltrando datos de diseño, cada uno vinculado a una misión de negocio concreta. Ese encuadre responde a la pregunta que los directivos plantean realmente: por qué nos importa esta amenaza concreta, y cuánto nos costaría si llegara a ocurrir.

Los cinco talleres

EBIOS RM se estructura como una secuencia de talleres, cada uno apoyándose en el anterior. El método es deliberadamente colaborativo: reúne en la misma sala a los responsables de negocio, los especialistas en riesgos y los equipos de seguridad, en lugar de dejar el análisis a un único analista.

1. Alcance y base de seguridad. Definir el perímetro de negocio y técnico, identificar las misiones y los eventos temidos, y evaluar la base de seguridad existente frente a lo que se espera.
2. Orígenes del riesgo. Identificar los orígenes del riesgo y sus objetivos perseguidos, el emparejamiento entre quién podría atacar y qué busca, y luego priorizar los más relevantes.
3. Escenarios estratégicos. Cartografiar el ecosistema de socios, proveedores y partes interesadas, evaluar cómo un atacante podría alcanzar a la organización a través de ellos, y construir rutas de ataque de alto nivel.
4. Escenarios operativos. Traducir los escenarios estratégicos en secuencias de ataque técnicas concretas, describiendo cómo se movería realmente un adversario a través de los sistemas.
5. Tratamiento del riesgo. Decidir las medidas de seguridad, elaborar el plan de tratamiento y documentar el riesgo residual que la dirección acepta formalmente.

Dónde encaja y dónde no

EBIOS RM es el método de referencia en el sector público francés y entre los operadores de importancia vital, donde las expectativas regulatorias remiten a las directrices de ANSSI. También se enseña y utiliza ampliamente en las organizaciones francófonas. Fuera de ese contexto, en las auditorías multinacionales del sector privado, es mucho más probable que encuentre ISO 27005, que es la norma internacional de gestión de riesgos de seguridad de la información y, por diseño, es independiente del método.

Ambos son complementarios más que rivales. ISO 27005 describe un proceso genérico de gestión de riesgos alineado con ISO 27001 e ISO 31000, pero no prescribe una técnica única. EBIOS RM es una forma concreta y reconocida de llevar a cabo ese proceso, y ANSSI la posiciona como compatible con el enfoque ISO. Un equipo puede realizar talleres EBIOS RM y aun así presentar los resultados en términos de ISO 27005.

En la práctica, conocer EBIOS RM denota soltura con el ecosistema de ANSSI, y conocer ISO 27005 denota soltura con el mundo de las normas internacionales. Los profesionales del riesgo que trabajan en los mercados europeos y franceses se benefician de dominar ambos, porque el método al que se recurre depende de quién vaya a leer el informe.