Pourquoi il n’est pas possible de reprendre votre analyse telle quelle et quelles solutions adaptées ?
Tout d'abord, il est important de souligner que l’étape d’identification des risques dans Tenacy repose sur une approche centrée sur les biens, tout en intégrant quelques éléments d’une approche basée sur les événements. Dans Tenacy, vous allez identifier la valeur métier, derrière laquelle s'inscrivent des critères DICP, définis de manière arbitraire (ils seront modulables dans les paramètres si besoin).
Cependant, l’analyse de risques dans Tenacy ne reprend pas entièrement la méthodologie EBIOS. Nous avons simplifié cette dernière en combinant les principes d'EBIOS et ceux de la norme ISO 27005, suite à plusieurs retours clients qui mettaient en évidence la longueur de la méthode EBIOS.
De fait, nous avons choisi de ne pas réaliser les 5 ateliers typiques d’EBIOS, ce qui entraîne l'absence des scénarios stratégiques et opérationnels ainsi que les parties prenantes dans Tenacy.
➡️ Il sera donc impossible de faire un copier-coller direct de votre analyse de risques EBIOS dans Tenacy, car le processus d’identification des risques diffère.
Tenacy crée des risques en croisant la valeur métier, ses critères DICP et les menaces détectées. Si certains critères DICP sont présents dans les menaces, un risque sera généré, mais il ne correspondra pas nécessairement à ceux identifiés avec EBIOS.
Cela dit, deux solutions s'offrent à vous :
“Récupérer” l’analyse de risques EBIOS dans Tenacy : Cela permettra la création de risques, mais ceux-ci ne seront jamais exactement identiques aux risques identifiés dans le cadre de l’analyse EBIOS, en raison de l’absence des scénarios et des parties prenantes dans Tenacy.
La plus probante selon nous :
Intégrer directement les risques dans la partie "Traitement" de Tenacy. Ainsi vous pourrez partir de ces risques, ajouter vos plans de traitement et les gérer depuis la plateforme.
Si vous choisissez cette option, vous pourrez par la suite refaire une analyse de risques directement dans Tenacy, en utilisant la méthodologie adaptée à l’outil.