EBIOS RM vs ISO 27005 : le match.

Comment chaque méthode se déroule réellement dans un projet

La répartition entre les deux méthodes n'est pas une question de qualité ; c'est une question de point de départ. ISO 27005 part des actifs et des menaces et chemine vers l'extérieur jusqu'à un registre des risques complet. EBIOS RM part de ce que l'organisation craint de perdre et remonte à rebours vers l'attaquant qui causerait cette perte. Les deux produisent des livrables différents parce qu'elles posent des questions d'ouverture différentes, et c'est cette différence que votre auditeur, votre conseil et votre planning de projet ressentiront.

Le travail ISO 27005 est itératif et exhaustif par conception. Vous établissez le contexte, identifiez les risques sur tout le périmètre, analysez la vraisemblance et la conséquence, évaluez par rapport aux critères d'acceptation, puis traitez. Le résultat est un registre vivant que vous réexécutez de façon cyclique. C'est le moteur de risque naturel d'un ISMS ISO 27001 parce qu'il parle le même langage que le système de management : périmètre, critères, plan de traitement, risque résiduel, validation.

EBIOS RM se déroule en cinq ateliers selon une séquence définie : cadrage et socle de sécurité, origines du risque, scénarios stratégiques, scénarios opérationnels, et traitement du risque. La méthode vous force à nommer d'abord les événements redoutés, puis les sources de risque (qui attaquerait et pourquoi), puis les chemins d'attaque de haut niveau, avant même de toucher à une mesure. La formation EBIOS Risk Manager parcourt chaque atelier avec de vrais livrables, de sorte que vous en ressortez capable d'animer la séquence, pas seulement de la décrire.

EBIOS RM vs ISO 27005 en un coup d'œil

Le tableau ci-dessous est la comparaison dont la plupart des équipes ont besoin dans la salle : non pas la philosophie, mais ce sur quoi chaque méthode se concentre, ce qu'elle vous remet à la fin, et où elle est réellement attendue.

Comment les deux se rattachent à ISO 27001

ISO 27001 exige un processus défini d'appréciation et de traitement des risques de sécurité de l'information, mais elle n'impose pas de méthode spécifique. Ce seul fait explique pourquoi cette comparaison existe. L'article 6.1.2 vous demande d'apprécier le risque et de produire une Déclaration d'applicabilité ; il ne vous dit pas d'utiliser ISO 27005 ni quoi que ce soit d'autre. Les auditeurs vérifient que votre processus est cohérent, reproductible, et produit des décisions de traitement défendables. La méthode est votre choix.

ISO 27005 est ici la voie de moindre résistance parce qu'elle a été rédigée pour être la couche méthodologique sous la norme. Sa terminologie, sa logique de critères d'acceptation et sa structure de plan de traitement s'intègrent directement dans l'ISMS sans traduction. Si vous construisez ou exploitez le système de management, apprenez le moteur qui lui convient : la formation ISO/IEC 27005 Risk Manager couvre tout le cycle d'appréciation et de traitement, tandis que la formation ISO/IEC 27005 Foundation est le bon point d'entrée si vous avez besoin des concepts avant d'animer.

EBIOS RM se rattache au même article sous un autre angle. Elle ne remplace pas le registre ; elle en affûte le sommet. Les scénarios stratégiques deviennent le petit ensemble de risques qui justifient le plus de scrutin dans la SoA et dans le dossier du conseil. Les équipes qui doivent maîtriser la méthodologie de bout en bout, y compris la gouvernance de l'appréciation et le rôle de pilotage à l'échelle d'une organisation, suivent la formation ISO/IEC 27005 Lead Risk Manager.

La décision : laquelle, et quand les deux

La plupart des équipes posent la question en termes d'alternative exclusive, puis le regrettent. La réponse honnête est que la question comporte deux niveaux : que requiert votre audit ou votre secteur, et de quoi votre cartographie des risques a-t-elle réellement besoin. Résolvez-les dans cet ordre.

1. Si un acheteur sous influence ANSSI, un marché public français, ou une obligation OIV/OES est en jeu, EBIOS RM est le langage attendu. Menez avec elle pour la couche stratégique.
2. Si votre assurance provient d'un certificat ISO 27001 international ou d'audits clients multinationaux, ISO 27005 est le défaut que l'auditeur lit couramment.
3. Si vous avez un véritable problème d'adversaire (une cible de grande valeur, un service critique réglementé, un cyber-risque de niveau conseil), exécutez EBIOS RM au-dessus du registre pour faire émerger les scénarios qui méritent une escalade.
4. Si vous n'avez ni mandat sectoriel français ni profil d'adversaire aigu, ISO 27005 seule est suffisante et moins coûteuse à exploiter.

Exécuter les deux n'est pas redondant lorsque vous en délimitez correctement le périmètre. ISO 27005 vous donne l'étendue : chaque risque du registre, traité et suivi. EBIOS RM vous donne la profondeur sur les quelques scénarios qui feraient réellement mal. L'erreur est d'exécuter les deux à la même granularité, ce qui double le travail et produit deux registres que personne ne réconcilie. Utilisez EBIOS RM pour sélectionner et raconter ; utilisez ISO 27005 pour énumérer et suivre.

Erreurs fréquentes et réalité de la salle d'audit

Les échecs sont prévisibles, et ils portent rarement sur la méthode elle-même.

• Choisir la méthode par préférence plutôt que par auditoire. La bonne question est : qui lit le livrable ? Un acheteur public français attend le vocabulaire EBIOS RM, un auditeur de certification international attend un registre de forme ISO 27005. Choisissez pour le lecteur.
• Traiter les scénarios EBIOS RM comme un substitut à un registre complet. Les scénarios stratégiques sont délibérément peu nombreux. Un auditeur vérifiant la couverture ISO 27001 demandera où le reste du paysage des risques est documenté, et une poignée de récits n'est pas une réponse.
• Exécuter ISO 27005 comme un tableur ponctuel. La norme est itérative. Un registre daté de dix-huit mois sans cadence de revue est un constat d'audit en puissance.
• Confondre les certifications. Il n'existe pas de Lead Auditor ni de Lead Risk Manager pour EBIOS RM, et la seule certification Lead Risk Manager relève d'ISO 31000, pas d'ISO 27005. Planifiez le parcours de certification de votre équipe en fonction de ce qui existe réellement.

Dans la salle d'audit, la réalité est plus simple que le débat ne le laisse penser. L'auditeur de certification ne note pas votre méthode face à une rivale ; il éprouve si le processus que vous avez choisi est documenté, appliqué de façon cohérente, et traçable du risque au traitement jusqu'à l'acceptation du résiduel. EBIOS RM vous aide à expliquer pourquoi des risques précis à fort impact ont reçu une attention précise. ISO 27005 vous aide à démontrer que rien n'est passé entre les mailles du filet. La posture la plus solide, pour les organisations qui ont véritablement besoin des deux, est un registre ISO 27005 comme système de référence, avec des scénarios EBIOS RM superposés pour justifier les décisions qui ont le plus compté.