Étude de cas EBIOS Risk Manager
CHEM-ICS : un cas fictif au service de l’apprentissage du risque cyber industriel
Une étude de cas conçue par Priamos à la croisée de la cybersécurité
industrielle, des systèmes spatiaux et de la gestion des risques.
Développée à la suite d’un appel à projet du Club EBIOS et finalisée
le 5 juin 2024, CHEM-ICS permet de mettre en œuvre EBIOS Risk Manager
sur un système complexe associant technologies industrielles,
infrastructures informatiques, opérations spatiales, partenaires
et contraintes métier.
Lancement des travaux
Finalisation de l’étude
Cinq ateliers mis en pratique
CYSAT, Club 27001 et CBC
Origine du projet
Répondre à un besoin concret de la communauté EBIOS
En juillet 2023, le Club EBIOS a lancé un appel à projet
destiné à enrichir les supports disponibles autour de la
méthode EBIOS Risk Manager.
Le besoin portait sur la création d’un exemple complet
d’analyse de risques appliqué à un système de contrôle
industriel, ou ICS. L’étude devait permettre d’aborder
l’ensemble des concepts de la méthode avec un niveau de
complexité réaliste, tout en restant suffisamment
accessible pour être utilisée en formation.
Priamos a proposé de construire ce cas autour du segment
sol d’un système spatial. Ce choix permettait de réunir
dans un même environnement des systèmes informatiques et
industriels, des centres de contrôle, des stations sol,
des capteurs, des communications distribuées et un
écosystème composé de plusieurs organisations.
Chronologie
De l’appel à projet à la finalisation de CHEM-ICS
Lancement de l’appel à projet
Le Club EBIOS sollicite la création d’un exemple
EBIOS Risk Manager portant sur un système de contrôle
industriel.
Proposition de Priamos
Priamos propose de construire l’étude autour du
segment sol d’un système spatial, afin d’associer
enjeux industriels, opérations spatiales et gestion
des risques cyber.
Conception et production initiale
Le système fictif, son architecture, ses processus,
son écosystème et les différents supports
pédagogiques sont progressivement définis, rédigés
puis soumis à plusieurs revues.
Test en situation de formation
L’étude est éprouvée dans les conditions d’une
formation afin d’identifier les adaptations
nécessaires avant sa finalisation.
Présentation à CYSAT Paris
La démarche et l’intérêt d’un cas industriel appliqué
au secteur spatial sont présentés à la communauté
professionnelle.
Finalisation de CHEM-ICS
Les derniers retours sont intégrés et la version
finale de l’étude de cas est achevée.
Le cas d’étude
Qu’est-ce que CHEM-ICS ?
CHEM-ICS est un système spatial fictif consacré à la
surveillance de la concentration de pesticides au sol.
Il collecte et consolide des données afin de produire
des cartes, des analyses, des rapports et des alertes
destinés aux utilisateurs du service.
Le scénario associe un segment spatial, plusieurs sites
terrestres, des infrastructures informatiques, des
systèmes de contrôle industriels et un écosystème
composé d’opérateurs, d’industriels, de prestataires
et de fournisseurs.
-
Une constellation de satellites en orbite basse
collecte les données nécessaires à la mission. -
Un centre de mission transforme les besoins des
clients en paramètres de mission et traite les
données reçues. -
Un centre de contrôle planifie les opérations,
transmet les télécommandes et supervise le système. -
Des stations d’antennes et de capteurs contiennent
les composants industriels étudiés. -
Les communications terrestres et radio relient les
différentes composantes du système.
satellites en orbite basse
centres d’opérations
stations de télécommande et télémétrie
stations de capteurs terrestres
Le périmètre de l’étude porte principalement sur l’opération
du segment sol : le centre de mission, le centre de contrôle,
les stations d’antennes et les stations de capteurs. Les sites
distants contiennent des systèmes industriels, tandis que les
fonctions de supervision et d’acquisition de données
correspondantes sont présentes dans les centres d’opérations.
l’architecture spatiale utilisée pour construire CHEM-ICS.
Les composants étudiés se situent principalement dans le
centre de contrôle et de mission ainsi que dans les stations sol.
Une approche fondée sur la mission
Du métier au risque cyber
Une analyse de risques pertinente ne commence pas par une
liste d’équipements, de vulnérabilités ou de mesures de
sécurité. Elle commence par la compréhension de la mission
du système, des activités qui doivent être protégées et des
conséquences qu’une attaque pourrait provoquer.
Comprendre la mission
Identifier les services que CHEM-ICS doit rendre,
les opérations nécessaires et les résultats attendus
par ses utilisateurs.
Exprimer les conséquences
Déterminer ce qui pourrait remettre en cause la
mission : indisponibilité, perte d’intégrité,
détournement du système ou perte de confiance.
Construire les décisions de sécurité
Élaborer des scénarios de risque, évaluer leur
vraisemblance et définir des mesures de traitement
adaptées aux contraintes du système.
Les principaux enjeux métier de CHEM-ICS
Le scénario permet de relier les conséquences
opérationnelles aux architectures, aux organisations
et aux composants techniques qui rendent la mission
possible.
Une étude ancrée dans l’expérience
La convergence des métiers de Priamos
CHEM-ICS se situe à la croisée des principaux
domaines d’intervention de Priamos : la gestion des
risques cyber, la sécurité des systèmes industriels,
la cybersécurité spatiale et l’homologation de
sécurité.
Dans ces environnements, les systèmes informatiques
ne peuvent pas être étudiés indépendamment des
opérations, des équipements industriels, de la
sûreté de fonctionnement, des contraintes de
performance et des responsabilités réparties entre
plusieurs organisations.
Cette expérience a permis de construire un cas dans
lequel les décisions de sécurité doivent être
justifiées au regard de la mission et des contraintes
réelles d’exploitation, et non par la seule
application théorique d’un référentiel.
- Gestion des risques cyber
- Cybersécurité industrielle
- Sécurité des systèmes spatiaux
- Homologation de sécurité
- Continuité et cyber-résilience
- Formation et transmission
Un cas complet et documenté
Une documentation conçue pour la mise en pratique
CHEM-ICS ne se limite pas à la description sommaire d’un
scénario. L’étude repose sur un ensemble cohérent de
documents permettant de comprendre le système, de conduire
les cinq ateliers EBIOS Risk Manager et d’accompagner les
participants dans la production de leurs propres analyses.
Les informations sont réparties entre des documents de
description du système, des éléments d’analyse et d’audit,
ainsi qu’un livret utilisable par les stagiaires et les
formateurs.
CHEM-ICS est une étude de cas pédagogique indépendante. Elle ne constitue ni un référentiel officiel, ni une validation de l’ANSSI ou du Club EBIOS.
Description stratégique du système
Contexte, mission, services essentiels, parties
prenantes et éléments nécessaires à la compréhension
générale de CHEM-ICS.
Description fonctionnelle du système
Périmètre fonctionnel, échanges avec les entités
externes et principaux cas d’usage du système.
Description technique du système
Architecture, composants matériels et logiciels,
interconnexions, lieux d’hébergement et socle de
sécurité.
Description des processus
Opérations de mission et de contrôle, maintien en
condition opérationnelle et maintien en condition
de sécurité.
Livret formateur
Éléments de correction, événements redoutés, état
de la menace, scénarios de risque et constats détaillés
d’audit.
Livret stagiaire
Présentation simplifiée du cas, consignes de travail,
tableaux à compléter et informations nécessaires
au déroulement des ateliers.
centres d’opérations, infrastructures informatiques,
composants industriels, accès de maintenance et sites
distants.
Cliquer sur le schéma pour l’afficher en pleine taille
Une étude réellement utilisée
De la conception à la mise en situation pédagogique
CHEM-ICS a été utilisé auprès d’élèves-ingénieurs de
niveau master spécialisés en sécurité et sûreté des
systèmes embarqués, en sécurité des réseaux et des
systèmes industriels, et en sécurité des réseaux et
des télécommunications, dans plusieurs écoles et sur
plusieurs promotions.
Les participants de la première promotion ont été
placés dans une situation proche d’une véritable étude
de risques. Répartis en équipes, ils devaient analyser
le système, produire un rapport, préparer un support de
présentation et soutenir leurs conclusions devant
un jury, simulant une commission d’homologation.
Les travaux ont couvert le périmètre métier et
technique, les événements redoutés, les sources de
risque, l’écosystème, les scénarios stratégiques et
opérationnels, puis le traitement du risque.
À l’issue de la mise en situation, les étudiants doivent être capables de cadrer une étude EBIOS RM, construire des scénarios de risque, proposer un plan de traitement et défendre leurs conclusions devant une autorité de décision.
élèves-ingénieurs
groupes de travail
cumulées de cours initial EBIOS
cumulées de travaux dirigés
CHEM-ICS est un support pédagogique pratique et efficace :
les productions des participants et les difficultés
observées ont servi à éprouver le cas et à faire évoluer
les modalités de son utilisation.
Partage d’expérience
CHEM-ICS présenté à la communauté professionnelle
Les travaux de conception, les choix méthodologiques et les
enseignements tirés de l’utilisation de CHEM-ICS ont fait
l’objet de plusieurs présentations auprès des communautés
de la cybersécurité spatiale, de la gestion des risques et
de la sécurité de l’information.
Avril 2024
CYSAT, Paris
Présentation de l’étude et de son intérêt pour la
communauté
Présentation de la démarche, de l’application
d’EBIOS Risk Manager au secteur spatial et de
l’intérêt d’un cas associant systèmes industriels
et infrastructures spatiales.
Juin 2025
Club 27001, Toulouse
Retour d’expérience pédagogique
Présentation des conditions de mise en situation
auprès d’élèves-ingénieurs, des productions
réalisées, des résultats observés et des
améliorations apportées au dispositif pédagogique.
Novembre 2025
CBC, Toulouse
Présentation détaillée de l’étude
Déroulement détaillé de CHEM-ICS à travers les cinq
ateliers EBIOS Risk Manager, depuis le cadrage et
l’identification des enjeux jusqu’au traitement des
risques.
Découvrir Priamos
Cette réalisation s’inscrit dans nos activités
CHEM-ICS illustre l’expertise de Priamos en gestion des
risques, cybersécurité industrielle et spatiale, audit,
homologation, ingénierie et formation.
Informations et conditions d’accès
Comment accéder à CHEM-ICS ?
CHEM-ICS n’ayant pas été intégré aux ressources
publiques du Club EBIOS, l’accès à l’étude est
aujourd’hui examiné directement par Priamos en
fonction du contexte d’utilisation.
Priamos peut présenter le contenu de CHEM-ICS et
examiner les possibilités d’accès ou d’utilisation
en fonction du contexte, du public concerné et des
objectifs poursuivis.
- Enseignement supérieur
- Formation professionnelle
- Projet de recherche
- Exercice interne
- Sensibilisation
- Accompagnement méthodologique
- Cybersécurité industrielle
- Cybersécurité spatiale
Etienne Gérain
Hannene Ennakib
Eva Soussi
Delphine Debuire