| Terme | Définition |
|---|---|
| Actif / bien support | Ce qui porte la valeur (serveur, application, personne, local, prestataire) |
| Valeur métier / bien essentiel | Ce qui a de la valeur pour le métier (processus, information) |
| Menace | Cause potentielle d’un incident (acteur + mode opératoire) |
| Vulnérabilité | Faiblesse exploitable |
| Scénario de risque | Source de risque × objectif visé × chemin d’attaque × impact |
| Vraisemblance | Probabilité d’occurrence (EBIOS RM parle plutôt de vraisemblance, pas de probabilité statistique) |
| Gravité | Ampleur de l’impact sur la valeur métier |
| Risque brut / inhérent | Avant mesures |
| Risque résiduel | Après mesures — c’est lui qu’on fait accepter |
| Appétence / tolérance au risque | Seuil décidé par la direction |
Rupture par rapport à EBIOS 2010 : approche par scénarios et par le haut (top-down), centrée sur les menaces intentionnelles ciblées et l’écosystème, et non plus l’énumération exhaustive de vulnérabilités. Cycle stratégique (long) + cycle opérationnel (court).