Analyse de la vulnérabilité humaine dans les systèmes de systèmes socio-techniques

Analysis of human vulnerability in socio-technical systems of systems

• Auteur / Autrice : Paul Perrotin
• Direction : Antoine Beugnard, Salah Sadou
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 14/12/2022
• Etablissement(s) : Ecole nationale supérieure Mines-Télécom Atlantique Bretagne Pays de la Loire
• Ecole(s) doctorale(s) : École doctorale Mathématiques et sciences et technologies de l'information et de la communication (Rennes)
• Partenaire(s) de recherche : Laboratoire : Equipe Processes for Safe and Secure Software and Systems - Département Informatique - Laboratoire en sciences et techniques de l'information, de la communication et de la connaissance
• Jury : Président / Présidente : Christelle Urtado
• Jury : Examinateurs / Examinatrices : Antoine Beugnard, Salah Sadou, Jean-Michel Bruel, Layth Sliman, Nicolas Belloir
• Jury : Rapporteurs / Rapporteuses : Jean-Michel Bruel, Layth Sliman

Mots clés

Mots clés contrôlés

Design patterns

Comportement humain

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Cybersécurité

Vulnérabilités humaines

Conception sécurisée

Cybersecurity

Human vulnerabilities

Secure design

Résumé

De nos jours, la construction de systèmes se fait majoritairement via l’interconnexion de systèmes déjà existants dans lesquels l’humain tient une telle place qu’il est lui même considéré comme un système. On parle alors de système de systèmes socio-techniques (SoSTS). En ingénierie, l’un des principaux problèmes actuels posés est celui de la conception sécurisée de ce type de systèmes. En effet, l’humain est aujourd’hui le principal vecteur utilisé par les attaquants cybernétiques. Dans cette thèse, nous proposons une méthodologie permettant la détection de la vulnérabilité humaine au sein d’une architecture d’un SoSTS. Plus particulièrement, nous avons spécifié un méta-modèle permettant de capturer les facteurs humains ayant un impact potentiel sur la vulnérabilité humaine dans un SoSTS. Pour cela, nous proposons un langage, nommé HoS-ML, permettant de modéliser une architecture d’opérateurs humains composant une chaîne fonctionnelle dans un SoSTS. A partir des modèles produits avec ce langage, nous avons défini une méthode d’estimation de la vulnérabilité humaine et de ses impacts sur le SoSTS. Celle-ci s’appuie sur une approche probabiliste basée sur un réseau bayésien. Enfin, nous avons implémenté cette approche, et le langage associé, dans un logiciel appelé HoS-ML Editor. Nous avons confrontés notre approche face à des cas d’études industriels et nous avons soumis les résultats à des experts industriels. Ceci nous a permis de tester, discuter et estimer les limites de notre approche.

Nowadays, the construction of systems is mostly done via the interconnection of already existing systems in which the human being holds such a place that she/he is considered as an already existing system too. This is called a system of socio-technical systems (SoSTS). In engineering, one of the main current problems is the secure design of this type of systems. Indeed, nowadays the human is the main vector used by cybernetic attackers. In this thesis, we propose a methodology allowing the detection of the human vulnerability within an architecture of a SoSTS. More specifically, we have specified a metamodel to capture human factors that have a potential impact on human vulnerability within a SoSTS. For that aim, we propose a language, called HoSML, in order to model an architecture of human operators composing a functional chain of a SoSTS. Based on the models produced with that language, we have defined a method for estimating human vulnerability and and its impacts on the SoSTS. This method is based on a probabilistic approach, nemelly Bayesian network. Finally, we have implemented this approach, and the associated language, as a software called HoS-ML Editor. We have validated our approach using industrial case studies and we have submitted the results to industrial experts.This allowed us to test, discuss and estimate the limits of our approach.