Processus guidé pour l'identification des exigences de sécurité à partir de l'analyse des risques

Guided process for the identification security requirements from risk analysis

• Auteur / Autrice : Nabil Laoufi
• Direction : Jacky Akoka, Nadira Lammari
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 20/03/2017
• Etablissement(s) : Paris, CNAM
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-...)
• Partenaire(s) de recherche : Laboratoire : Centre d'études et de recherche en informatique et communications (Paris)
• Jury : Président / Présidente : Isabelle Comyn-Wattiau
• Jury : Examinateurs / Examinatrices : Régine Laleau, Manuel Munier
• Jury : Rapporteurs / Rapporteuses : Frédéric Cuppens, Zoubida Kedad

Mots clés

Mots clés contrôlés

Ontologies (informatique)

Systèmes informatiques -- Mesures de sûreté

Mesures de sûreté

Entreprises -- Systèmes d'information

Mots clés libres

Ontologie

Analyse de risques

Exigences de sécurité

Contexte

Actifs

Règles de correspondance

Safety requirements

Risk Analysis

Ontology

Context

Assets

Correspondance rules

Résumé

Toute organisation est activée par un flux physique continu et un flux décisionnel qui opèrent de symbiose pour atteindre des objectifs déterminés. Ce qui engendre l’implantation d’un système d’information fiable, opérant avec un contrôle continu et une sécurité maximale, prenant en compte le contexte interne et externe pour garder son rôle opérationnel et stratégique. Compte tenu du niveau d'exposition aux risques et de la dépendance vitale des entreprises vis-à-vis de leurs systèmes d'information, il est crucial de prêter attention aux exigences de sécurité. La réalisation d'un équilibre entre la sécurité et l'efficacité du système d’information est une tâche complexe qui exige au préalable une analyse approfondie du contexte organisationnel. Elle nécessite également l'identification, l'analyse, et la gestion des risques encourus par l’entreprise. Elle nécessite aussi la détermination des exigences de sécurité. Peu d'approches offrent un guidage permettant de dériver les exigences de sécurité à partir des risques encourus. Le but de cette thèse est de concevoir un mécanisme de guidage suggestif qui permet de dériver les exigences de sécurité à partir de l'analyse des risques. Nous proposons, pour cela, une approche fondée sur une ontologie modulaire et un ensemble de règles de correspondance. A cette fin, nous proposons le développement de quatre ontologies et un processus d'alignement entre celles-ci en utilisant des relations sémantiques cohérentes. Le processus de validation se fonde sur une étude de cas et un prototype.

Any organization is enabled by continuous physical flow and decision flow from operating symbiosis to achieve specific objectives. Which generates the implementation of a reliable information system, operating with a continuous control and maximum security, taking in to account the internal and external environment to maintain its operational and strategic role. Given the level of risk exposure and the vital dependence of companies on their information systems, it is crucial to pay attention to security requirements. Achieving a balance between the security and effectiveness of the information system is a complex task requiring an in-depth analysis of the organizational context. It also requires the identification, analysis, and management of the risks incurred by the company. It also requires the determination of security requirements. Few approaches offer guidance to derive security requirements from the risks involved. The aim of this thesis is to design a suggestive guiding mechanism that allows to derive the security requirements from the risk analysis. We propose an approach based on a modular ontology and a set of correspondence rules. To achieve, we propose the development of four ontologies and an alignment process between then using consistent semantic relationships. The validation process is based on a case study and a prototype.