MoRiA Une méthode basée sur les modèles pour l’analyse des risques de cybersécurité : application à un système complexe de défense navale

MoRiA A model-based method for cybersecurity risk analysis : application to a complex naval defense system

• Auteur / Autrice : Douraïd Naouar
• Direction : Yvon Kermarrec
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 30/08/2022
• Etablissement(s) : Ecole nationale supérieure Mines-Télécom Atlantique Bretagne Pays de la Loire
• Ecole(s) doctorale(s) : École doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes)
• Partenaire(s) de recherche : Laboratoire : Equipe SecurIty and Resilience of Information Systems - Département Informatique - Laboratoire en sciences et techniques de l'information, de la communication et de la connaissance
• Jury : Président / Présidente : Kavé Salamatian
• Jury : Examinateurs / Examinatrices : Yvon Kermarrec, Nora Cuppens, Ana Cavalli, Laurent Nana Tchamnda, K. Pascal Olivier Asseu, Slim Rekhis, Jamal El Hachem
• Jury : Rapporteurs / Rapporteuses : Nora Cuppens, Ana Cavalli

Mots clés

Mots clés contrôlés

Marines de guerre

Cyberdéfense

Évaluation du risque

Systèmes informatiques -- Mesures de sûreté

Ingénierie des systèmes

Mots clés libres

Ingénierie des systèmes basée sur les modèles

Exigences de sécurité

Évaluation des risques

Co-Ingénierie des systèmes et de la sécurité

Model-Based systems engineering

Security requirements

Risk assessment

Systems and security co-Engineering

Résumé

L’analyse de risques et l’ingénierie système travaillent sur le même sujet (le système), mais avec des points de vue et objectifs différents. Une collaboration entre ces deux domaines permettrait de regrouper les points fort inhérents à ces domaines et de renforcer la définition du contexte de l’analyse, sa cohérence globale ainsi que la prise en compte des préoccupations et les enjeux de l’un et de l’autre. C'est ici que mes travaux s'inscrivent, ils ont pour objectif de combler le fossé entre l’analyse et la modélisation des exigences fonctionnelles et non fonctionnelles du système et l’analyse et la modélisation des risques de cybersécurité analogues et leurs maintien et mise à jour tout au long de la durée de vie du système à travers sa phase de définition et de modélisation. Pour cela nous proposons une méthode : MoRiA (Model-based Cyber Risk Analysis) qui étend les méthodes d'ingénierie dirigée par les modèles existants, adaptés et reposants sur des normes pour permettre l’identification, l'évaluation et le traitement des cyber-risques à travers les modèles. Cette méthode a été éprouvée sur un cas d’étude navale. De nombreuses perspectives émergent de ces travaux pour fournir une réponse globale à l’analyse et la maîtrise des risques de cybersécurité tout au long de la vie d’un système.

Risk analysis and systems engineering work on the same subject (the system), but with different points of view and objectives. A collaboration between these two domains would bring together the strong points inherent to these domains and reinforce the definition of the context of the analysis, itsglobal coherence as well as the consideration of the concerns and stakes of both. This is where my work fits in, they aim to bridge the gap between the analysis and modeling of functional and non-functional requirements of the system and the analysis and modeling of cybersecurity risks and their maintenance and update throughout the life of the system through its definition and modeling phase. For this purpose, we propose a method: MoRiA (Model-based Cyber Risk Analysis) which extends existing model-driven engineering methods, adapted and based on standards, to allow the identification, evaluation and treatment of cyber risks through models. This method has been proven on a naval case study. Many perspectives emerge from this work to provide a global answer to the analysis and control of cyber security risks through out the life of a system