Comment choisir un outil de gestion des risques cyber et OT ?
Le choix dépend d’abord du système à protéger et du travail à réaliser. Un outil de conformité, un calculateur CVSS et un outil de modélisation des menaces ne répondent pas au même besoin.
Choisir selon le besoin
| Analyser les risques d’un système d’information | EBIOS Risk Manager structure l’analyse en ateliers et scénarios ; commencez par la méthode et le guide ANSSI ; l’ANSSI publie la liste des logiciels labellisés. Comparez ensuite les outils selon les ateliers couverts, l’hébergement, les exports et la gestion des accès. |
|---|---|
| Étudier un système industriel OT/ICS | IEC 62443-3-2 organise l’analyse autour du système sous étude, des zones, des conduits et des niveaux de sécurité visés. |
| Modéliser les menaces d’une application ou d’un système | Un outil de diagrammes aide à décrire les composants, les flux et les menaces ; il ne remplace pas l’analyse de l’organisation. |
| Prioriser des vulnérabilités | Combiner le contexte de l’actif avec la gravité CVSS, les signaux de probabilité EPSS et les vulnérabilités exploitées connues (KEV). |
Vérifications avant de choisir
- Définir le périmètre : SI, application, atelier OT, fournisseurs ou plusieurs entités.
- Vérifier que la méthode et les référentiels attendus sont réellement pris en charge, et que les résultats sont exportables.
- Décider où les données peuvent être stockées : poste local, serveur interne ou service en ligne ; vérifier comptes, sauvegardes et partage.
- Faire un essai avec un scénario représentatif et vérifier que les responsables peuvent maintenir l’analyse après sa création.
Comparatif de quelques outils
Sélection indicative, non exhaustive. Les modalités et limites ci-dessous résument les sources des éditeurs ou organismes ; elles ne constituent pas une certification ni une évaluation de sécurité. Informations consultées le 2026-09-26.
| Outil | Méthode et usage | Accès | Déploiement | Limites à connaître | Source / vérification |
|---|---|---|---|---|---|
| Agile Risk Manager ↗ | EBIOS Risk Manager Agile Risk Manager : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Client-serveur (version 2.6.2). Éditeur : ALL4TEC. | Le label atteste la conformité à la méthode, pas le prix ni l’étendue fonctionnelle : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| ARIMES ↗ | EBIOS Risk Manager ARIMES : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Poste autonome (version 1.2). Éditeur : ADACIS. | Le label atteste la conformité à la méthode, pas le prix ni l’étendue fonctionnelle : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| C2R — Cyber Risk Review ↗ | EBIOS Risk Manager C2R — Cyber Risk Review : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Client-serveur (version 1.0). Éditeur : Sia Partners. | Le label atteste la conformité à la méthode, pas le prix ni l’étendue fonctionnelle : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| CISO Assistant ↗ | Évaluation et conformité (IT et OT) Évaluer les risques et suivre conformité et contrôles de sécurité. | Open sourceGratuit | Édition communautaire open source, auto-hébergeable avec Docker. | Prévoir l’installation, l’administration et les mises à jour de l’instance. | Source éditeur ↗Consultée le 2026-09-26 |
| CISO Toolbox — analyse de risques ↗ | EBIOS Risk Manager Conduire une analyse EBIOS RM en cinq ateliers et produire des livrables (PPTX, Word, Excel). | Open sourceGratuit | Application dans le navigateur ; données enregistrées localement (IndexedDB). | Non labellisé par l’ANSSI ; les données restent dans le navigateur utilisé, à sauvegarder par export. | Source éditeur ↗Consultée le 2026-09-26 |
| EGERIE Risk Manager ↗ | EBIOS Risk Manager EGERIE Risk Manager : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Poste autonome et client-serveur (version 4.0). Éditeur : EGERIE Software. | Le label atteste la conformité à la méthode, pas le prix : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| Fence ↗ | EBIOS Risk Manager Fence : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Poste autonome et client-serveur (version 3.16). Éditeur : Airbus Protect. | Le label atteste la conformité à la méthode, pas le prix ni l’étendue fonctionnelle : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| FIRST — calculateur CVSS ↗ | Vulnérabilités et priorisation Calculer un score de gravité technique CVSS v4.0 pour une vulnérabilité. | Association ou fondationGratuit | Calculateur web. | Le score CVSS ne donne pas, à lui seul, la probabilité d’exploitation ni le risque métier. | Source éditeur ↗Consultée le 2026-09-26 |
| MONARC ↗ | Évaluation et conformité (IT et OT) Analyser les risques en quatre phases en réutilisant des analyses similaires. | Organisme publicOpen source | Service en ligne (MONARC Cloud) ou installation auto-hébergée du code open source. | Méthode propre à MONARC ; vérifier la correspondance avec la méthode attendue (EBIOS RM, ISO 27005…). | Source éditeur ↗Consultée le 2026-09-26 |
| Oligo Risk Manager ↗ | EBIOS Risk Manager Oligo Risk Manager : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Poste autonome (version 2.1.0) ou client-serveur (version 1.0.0). Éditeur : RECIPROC-IT. | Le label atteste la conformité à la méthode, pas le prix ni l’étendue fonctionnelle : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| OWASP Threat Dragon ↗ | Modélisation des menaces Dessiner des modèles de menaces et consigner les mesures de réduction. | Association ou fondationOpen sourceGratuit | Application de bureau ou application web auto-hébergée. | Cible la modélisation des menaces d’applications et de systèmes ; ne remplace pas un registre GRC complet. | Source éditeur ↗Consultée le 2026-09-26 |
| Phinasoft Risk Manager ↗ | EBIOS Risk Manager Phinasoft Risk Manager : labellisé EBIOS Risk Manager par l’ANSSI ; mène les cinq ateliers de la méthode. | Éditeur commercial | Client-serveur et SaaS (version 2.0). Éditeur : Phinasoft. | Le label atteste la conformité à la méthode, pas le prix ni l’étendue fonctionnelle : à demander à l’éditeur. | Source éditeur ↗Consultée le 2026-09-26 |
| Polyodos ↗ | EBIOS Risk Manager · Évaluation et conformité (IT et OT) EBIOS RM en cinq ateliers et études de cybersécurité OT/ICS selon IEC 62443-3-2, sur une même plateforme. | Éditeur commercialGratuit pour l’enseignement | Application dans le navigateur ; stockage local, serveur privé ou serveur Polyodos. | Non labellisé EBIOS RM par l’ANSSI. La collaboration et la synchronisation nécessitent un serveur ; un projet local reste dans le navigateur. | Source éditeur ↗Consultée le 2026-09-26 |
Guides et références
- ANSSI — méthode EBIOS Risk Manager ↗
- ANSSI — label EBIOS Risk Manager (logiciels labellisés) ↗
- ISA — série de normes ISA/IEC 62443 ↗
- FIRST — calculateur CVSS v4.0 ↗
- MITRE ATT&CK ↗
Voir tous les outils cyber et OT →
EBIOS RM · IEC 62443 / conformité · Vulnérabilités