Guide d'utilisation — Polyodos EBIOS RM (version standalone)

Ce guide couvre l'installation de l'application de bureau, le lancement des fonctions de base, et les recommandations d'utilisation lorsque l'analyse de risques porte sur des données sensibles ou doit faire l'objet d'une mention de protection.

---

1. Installation

Prérequis

Système	Version minimale
Windows	10 64 bits
macOS	12 Monterey
Linux	Ubuntu 20.04 / Debian 11

Une connexion internet est requise uniquement lors de la première activation et lors des renouvellements de licence (au maximum une fois tous les 30 jours). L'application fonctionne ensuite intégralement hors ligne.

Windows

1. Téléchargez le fichier EasyRiskSuite-Setup-x.y.exe depuis l'espace de téléchargement fourni par l'éditeur.
2. Double-cliquez sur le fichier et suivez l'assistant d'installation.
3. Un raccourci Polyodos est créé sur le bureau. Double-cliquez dessus pour lancer l'application.

Si Windows SmartScreen affiche un avertissement, cliquez sur Informations complémentaires puis Exécuter quand même.

macOS

1. Téléchargez le fichier EasyRiskSuite-x.y.dmg.
2. Faites glisser l'icône Polyodos dans le dossier Applications.
3. Au premier lancement, allez dans Réglages Système → Confidentialité et sécurité et cliquez sur Ouvrir quand même.

Linux

chmod +x EasyRiskSuite-x.y.AppImage
./EasyRiskSuite-x.y.AppImage

---

2. Première activation

Au premier lancement, l'écran de connexion s'affiche. Saisissez vos identifiants (adresse e-mail et mot de passe) fournis par l'éditeur. L'application vérifie la validité de votre licence auprès du serveur, puis stocke un jeton chiffré localement.

Utilisation hors ligne. Une fois activée, l'application fonctionne sans connexion pendant 30 jours. Au-delà, une connexion est nécessaire pour renouveler le jeton de licence. Vos données locales ne sont jamais effacées pendant cette période.

Toutes les données de votre analyse sont stockées localement sur votre poste dans la base de données de l'application. Aucune donnée d'analyse n'est transmise au serveur.

---

3. Créer un projet EBIOS RM

1. Depuis l'écran d'accueil, cliquez sur 1-Mes Projets dans la barre latérale.
2. Cliquez sur + Nouveau projet.
3. Sélectionnez le type EBIOS RM (IT) (système d'information) ou EBIOS RM (OT) (système industriel).
4. Saisissez un nom de projet explicite, puis cliquez sur Créer.

Le menu EBIOS RM apparaît dans la barre latérale avec l'ensemble des pages numérotées.

---

4. Fonctions de base

Navigation

La barre latérale liste toutes les pages dans l'ordre de travail recommandé par la méthode. Vous pouvez naviguer librement entre les pages à tout moment — la méthode est itérative.

EBIOS Risk Manager
├── Métriques
├── ✦ Cadrage IA
├── Atelier 1
│   ├── 1.1 - Contexte étude
│   ├── 1.2 - Périmètre
│   ├── 1.3 - Événements redoutés
│   └── 1.4 - Référentiel sécurité
├── Atelier 2
│   ├── 2.1 - Couples SR/OV
│   ├── 2.2 - Évaluation SR/OV
│   └── 2.3 - Correspondance SR/OV → ER
├── Atelier 3
│   ├── 3.1 - Parties prenantes
│   ├── 3.2 - Scénarios stratégiques
│   └── 3.3 - Mesures écosystème
├── Atelier 4
│   ├── 4.1 - Scénarios opérationnels
│   └── 4.2 - Évaluation vraisemblance
├── Atelier 5
│   ├── 5.1 - Synthèse des risques
│   ├── 5.2 - Stratégie de traitement
│   ├── 5.3 - PACD
│   └── 5.4 - Risques résiduels
├── Rapport EBIOS RM
└── Bibliothèques

Annuler / Rétablir

Chaque page dispose de boutons ↩ Annuler et ↪ Rétablir dans l'en-tête de page.

• Windows / Linux : Ctrl+Z / Ctrl+Y
• macOS : Cmd+Z / Cmd+Y

Sauvegarde automatique

Les saisies sont enregistrées automatiquement en temps réel. Il n'existe pas de bouton « Enregistrer ». Pour archiver ou transférer un projet, utilisez la fonction d'export décrite à la section 6.

---

5. Déroulement de l'analyse — les 5 ateliers

Atelier 1 — Cadrage et socle de sécurité

1.1 Contexte de l'étude

Commencez par renseigner les éléments de cadrage avant toute autre saisie :

• Objectifs — objet et attendus de l'étude (homologation, gestion des risques, certification…)
• Participants — membres de l'équipe avec leur rôle RACI
• Cadre temporel — durées des cycles opérationnel et stratégique, date de début
• Planning des ateliers — dates prévisionnelles
• Contraintes et hypothèses — limites imposées et suppositions retenues

Depuis l'onglet Gestion documentaire, définissez également :

• La mention de protection (voir section 7)
• L'historique des versions du document

1.2 Périmètre

Recensez les missions, valeurs métier (VM) et biens supports (BS) de l'objet étudié. Chaque bien support est rattaché à une ou plusieurs valeurs métier.

1.3 Événements redoutés

Pour chaque valeur métier, définissez les scénarios de compromission redoutés avec leur niveau de gravité (G1 à G4 selon l'échelle configurée dans Métriques).

1.4 Référentiel de sécurité

Listez les référentiels applicables à votre organisation (ISO 27001, RGS, PSSIE, politique interne…) et l'état d'application de chaque exigence. Ce socle sert de base de comparaison pour l'Atelier 5.

---

Atelier 2 — Sources de risque

2.1 Couples SR/OV

Sélectionnez les sources de risque dans la bibliothèque intégrée (groupes cybercriminels, États, initiés, erreurs humaines…) ou créez-en. Associez à chaque source ses objectifs visés parmi les valeurs métier de l'Atelier 1.

2.2 Évaluation SR/OV

Cotez chaque couple selon les critères de motivation, ressources et niveau d'activité. Les couples les plus pertinents sont retenus pour l'Atelier 3.

2.3 Correspondance SR/OV → ER

Vue de rapprochement entre les couples SR/OV retenus et les événements redoutés de l'Atelier 1.

---

Atelier 3 — Scénarios stratégiques

3.1 Parties prenantes

Pour chaque entité de l'écosystème (fournisseurs, prestataires, partenaires), renseignez les quatre critères de dangerosité : dépendance, pénétration, maturité SSI, confiance. La cartographie radar positionne visuellement chaque partie prenante dans les zones de danger, de contrôle et de veille.

3.2 Scénarios stratégiques

Construisez les chemins d'attaque de haut niveau reliant une source de risque à une valeur métier, via des parties prenantes (événements intermédiaires) et des événements redoutés. La gravité du scénario est calculée automatiquement depuis l'événement redouté impliqué.

3.3 Mesures sur l'écosystème

Associez des mesures de sécurité aux parties prenantes critiques pour réduire leur niveau de dangerosité résiduel. La cartographie résiduelle est mise à jour en temps réel.

---

Atelier 4 — Scénarios opérationnels

4.1 Scénarios opérationnels

Pour chaque scénario stratégique retenu, construisez le graphe d'attaque technique. Ajoutez des actions élémentaires organisées en phases (CONNAÎTRE → RENTRER → TROUVER → EXPLOITER → OBJECTIF). Chaque action est associée à un bien support.

Utilisez les opérateurs logiques pour modéliser les dépendances entre actions :

• ET — toutes les actions précédentes sont nécessaires pour poursuivre
• OU — une seule action suffit (comportement par défaut)

4.2 Évaluation de la vraisemblance

Trois méthodes sont disponibles, sélectionnables à tout moment sans perte de saisie :

Méthode	Principe
Expresse	Vraisemblance globale saisie directement pour chaque scénario
Standard	Probabilité de succès cotée pour chaque action élémentaire
Avancée	Probabilité de succès et difficulté technique par action ; calcul automatique du chemin de moindre effort

---

Atelier 5 — Traitement du risque

5.1 Synthèse des risques

La cartographie du risque initial positionne chaque scénario selon sa gravité et sa vraisemblance. Identifiez les risques inacceptables, tolérables et acceptables.

5.2 Stratégie de traitement

Pour chaque scénario, sélectionnez la stratégie de traitement (réduction / transfert / refus / acceptation) et associez des mesures de sécurité. Chaque mesure est caractérisée par sa catégorie (gouvernance / protection / défense / résilience), le responsable et l'échéance.

5.3 PACD — Plan d'Action et de Conformité Documenté

Tableau de suivi de l'ensemble des mesures, filtrable par catégorie, responsable, état et échéance. Exportable en Excel.

5.4 Risques résiduels

Après application des mesures, recotez la gravité et la vraisemblance résiduelles de chaque scénario. La cartographie résiduelle utilise les mêmes échelles que la cartographie initiale. Documentez les risques résiduels acceptés.

---

6. Exports et rapport

Les exports sont accessibles depuis la page Rapport EBIOS RM dans la barre latérale.

Export	Format	Contenu
Rapport EBIOS RM	Word (.docx)	Rapport structuré complet : contexte, 5 ateliers, cartographies, tableaux de synthèse
Données	Excel (.xlsx)	Classeur multi-onglets : VM, BS, ER, SR/OV, scénarios, PACD

La mention de protection saisie en Atelier 1 est automatiquement reportée dans l'en-tête de chaque page du rapport Word généré.

Sauvegarde et restauration du projet

Exporter une sauvegarde : menu 2-Sauvegarde → onglet Export/Import → Télécharger le projet (.json). Le fichier peut être protégé par un mot de passe depuis cette même page.

Restaurer : menu 2-Sauvegarde → onglet Export/Import → déposez le fichier .json dans la zone d'import. Si le fichier est chiffré, saisissez le mot de passe.

L'import remplace toutes les données du projet courant. Exportez une sauvegarde préalable si nécessaire.

---

7. Mention de protection et recommandations pour les données sensibles

Définir la mention de protection

Dès la création du projet, accédez à 1.1 Contexte de l'étude → onglet Gestion documentaire et sélectionnez la mention de protection appropriée :

Mention	Usage
Non protégée	Document à diffusion libre, sans restriction
Sensible	Diffusion limitée aux personnes impliquées dans l'étude
Restreinte	Diffusion strictement encadrée, marquage obligatoire sur chaque page
Confidentielle	Accès nominatif uniquement, niveau de protection maximal

Cette mention est reportée automatiquement dans tous les exports (rapport Word, en-têtes).

Recommandations d'utilisation avec des données sensibles

Ces recommandations s'appliquent dès que la mention de protection est Sensible, Restreinte ou Confidentielle.

Poste de travail

• Utilisez un poste maîtrisé par votre organisation. Évitez les postes partagés ou personnels.
• Activez le chiffrement du disque : BitLocker (Windows), FileVault (macOS), LUKS (Linux). Les données de l'application sont stockées en clair sur le disque ; sans chiffrement du disque, elles sont accessibles en cas de vol ou perte du poste.
• Verrouillez votre session dès que vous quittez votre poste (Win+L / Ctrl+Cmd+Q).

Fichiers exportés (Word, Excel, JSON)

• Les fichiers générés contiennent l'intégralité des données de l'analyse. Appliquez-leur le même niveau de protection que l'étude elle-même.
• Ne les transmettez pas par messagerie non chiffrée. Utilisez un canal sécurisé conforme à la politique de votre organisation.
• Incluez la mention de protection dans le nom du fichier, par exemple : EBIOS_RM_SI-RH_RESTREINT_2025-06.docx.
• Protégez les sauvegardes JSON par un mot de passe depuis la page 2-Sauvegarde avant de les archiver ou de les transmettre.
• Supprimez les versions de travail et brouillons dès qu'ils ne sont plus nécessaires.

Stockage des sauvegardes

• Ne stockez pas les sauvegardes JSON non chiffrées sur des espaces cloud publics ou non approuvés par votre organisation.
• Conservez le mot de passe de chiffrement séparément du fichier sauvegardé.

Démarche d'homologation

Si votre organisation est soumise à une obligation d'homologation (OIV, OSE, administration d'État), l'utilisation de cette application dans un contexte classifié doit s'inscrire dans votre démarche d'homologation de sécurité telle que décrite par l'ANSSI (cyber.gouv.fr/lhomologation-de-securite).

Le label EBIOS Risk Manager attribué à cette application porte sur la conformité fonctionnelle à la méthode. Il ne se substitue pas à une certification ou qualification de sécurité, et ne garantit pas la robustesse de l'application face à des actions malveillantes (cf. §5.6 du cahier des charges ANSSI v3.1).

---

8. Mises à jour

L'application vérifie automatiquement la disponibilité d'une mise à jour au démarrage (connexion internet requise). Si une mise à jour est disponible, une notification s'affiche. Cliquez sur Mettre à jour pour l'installer ; l'application redémarre automatiquement.

Vos données locales ne sont pas affectées par les mises à jour.

Pour mettre à jour manuellement, téléchargez le nouvel installeur et lancez-le — il remplace la version existante.

---

9. Support

• Email : support.xrisk@gmail.com
• Signalement de vulnérabilité : adressez votre rapport à support.xrisk@gmail.com en précisant la version de l'application (visible dans le menu À propos).

En cas de vulnérabilité confirmée, l'éditeur s'engage à notifier le CERT-FR (cert.ssi.gouv.fr) et à diffuser un avis de sécurité aux utilisateurs.