Modélisation d’infrastructure informatique pour l’identification et la prévention des risques

IT infrastructure modeling for risk identification and prevention

• Auteur / Autrice : Benjamin Somers
• Direction : Fabien Dagnat
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 15/05/2024
• Etablissement(s) : Ecole nationale supérieure Mines-Télécom Atlantique Bretagne Pays de la Loire
• Ecole(s) doctorale(s) : École doctorale Sciences pour l'ingénieur et le numérique
• Partenaire(s) de recherche : Laboratoire : Equipe Processes for Safe and Secure Software and Systems - Département Informatique - Laboratoire en sciences et techniques de l'information, de la communication et de la connaissance
• Partenaire(s) de recherche : Entreprise : Crédit Mutuel Arkéa (Brest, France)
• Jury : Président / Présidente : Isabelle Borne
• Jury : Examinateurs / Examinatrices : Fabien Dagnat, Régine Laleau, Catherine Dubois, Jean-Christophe Bach, Thomas Ledoux
• Jury : Rapporteurs / Rapporteuses : Régine Laleau, Catherine Dubois

Mots clés

Mots clés contrôlés

Systèmes informatiques -- Mesures de sûreté

Méthodes formelles (informatique)

Modèles mathématiques

Gestion du risque

Mots clés libres

Modélisation d’infrastructure

Gestion des risques

Fédération de modèles

Vérification formelle

Sûreté et sécurité

Infrastructure modeling

Risk management

Model federation

Formal verification

Safety and security

Résumé

Les infrastructures informatiques font partie de notre vie quotidienne et ont gagné ces dernières décennies une importance capitale. Au cœur de notre système bancaire, de nos transports et de nos hôpitaux, leur omniprésence et les implications liées à leur défaillance en font une cible privilégiée pour les attaquants. Au-delà du risque de sécurité, ces infrastructures sont soumises à un ensemble de risques de sûreté, allant de l’aléa climatique à l’incendie industriel, en passant par la simple usure des composants mécaniques. Ces risques, bien que prévisibles, ne sont pas toujours pris en compte par les entreprises et peuvent mener à des conséquences parfois catastrophiques. Nos travaux se positionnent tout au long du processus de gestion des risques. Nous défendons la thèse qu’une modélisation correcte et exhaustive des infrastructures informatiques permet de déduire un ensemble de propriétés de sûreté et de sécurité constituant une analyse des risques satisfaisante du système d’information étudié. Nous proposons un ensemble de recommandations et de méthodes pour procéder collaborativement à la modélisation des infrastructures et à l’étude du risque. Enfin, nous présentons un langage de description d’infrastructures formellement spécifié, CL/I, faisant le lien entre modèles d’infrastructures, outils de vérification formelle et supervision fonctionnelle.

IT infrastructures are part and parcel of our daily lives, and have become of vital importance over the last few decades. At the heart of our banking system, transport facilities and hospitals, their omnipresence and the implications of their failure make them a prime target for attackers. Beyond the security risk, these infrastructures are subject to a whole range of safety risks, from climatic events to industrial fires, to the sheer wear and tear of mechanical components. These risks, although foreseeable, are not always taken into account by companies, and can lead to potentially catastrophic consequences. Our work encompasses the entire risk management process. We defend the thesis that correct and exhaustive modeling of infrastructures allows the deduction of a set of safety and security properties constituting a satisfying risk analysis of the information system under study. We propose a set of recommendations and methods to collaboratively conduct infrastructure modeling and risk analysis. Finally, we present a formally specified infrastructure description language, CL/I, linking infrastructure models, formal verification and functional supervision.