Une approche dirigée par des modèles pour l'analyse des risques en cybersécurité

Dans le monde d'aujourd'hui, les entreprises font face à pas mal de risques liés aux menaces cyber. Beaucoup d'industries mettent en place des étapes de protection soutenues par diverses directives. Pourtant, le processus global repose souvent sur des documents ou des modèles incomplets. Cette dépendance influence comment les entreprises analysent les risques liés à la Cybersécurité. Cet article discute des avantages d'une approche pilotée par des modèles pour l'analyse initiale des risques et son lien avec les tests de sécurité ultérieurs.

Alors que les entreprises deviennent de plus en plus dépendantes des systèmes d'information et de contrôle industriel (ICS), les risques auxquels elles font face augmentent. Bien que les technologies numériques améliorent l'efficacité et la compétitivité, elles rendent aussi les systèmes plus complexes et interconnectés. Cette complexité croissante élargit le potentiel d'attaques, rendant crucial pour les industries de s'assurer que leurs organisations et leurs offres peuvent gérer ces risques. Les gouvernements, notamment en Europe, ont reconnu ce besoin en mettant en œuvre la directive NIS (Système d'Information Réseau) pour protéger des secteurs essentiels comme le transport, l'énergie, l'eau et la santé.

Pour se protéger, les organisations doivent adopter une approche par couches qui inclut des stratégies de défense, de réaction, et de récupération. Un processus solide de Gestion des risques est vital pour d'abord identifier les risques, évaluer leur importance, et décider des mesures à prendre pour réduire ces risques à un niveau acceptable. Ces mesures doivent être mises en œuvre et testées pour leur efficacité à différentes étapes : lors du développement (tests fonctionnels), au moment du déploiement (tests de pénétration), et pendant que le système fonctionne (surveillance de la sécurité) à travers un cycle de vie DevSecOps.

La gestion des risques est bien comprise dans de nombreux domaines et c'est une étape nécessaire décrite dans la plupart des normes, bien que le détail et l'application puissent varier considérablement. Par exemple, le secteur des technologies de l'information (IT) a eu accès à des normes spécifiques depuis 2005, tandis que d'autres domaines comme les systèmes industriels et l'aéronautique n'ont commencé à les adopter qu'en 2010, et le secteur automobile en 2021. Cette variété a été bénéfique car elle permet de traiter les caractéristiques uniques de chaque domaine, comme l'IT et l'OT (Technologie Opérationnelle). Cependant, cette variété peut aussi mener à de la confusion et à des difficultés pour comprendre certains concepts de risque, car ils peuvent être utilisés différemment selon le contexte.

Quand il s'agit de soutien d'outils, c'est souvent difficile de créer des liens et d'automatiser des connexions entre différents outils dans un processus DevSecOps, surtout en utilisant des modèles. Cet article se concentrera spécifiquement sur les résultats finaux du modélisation, de la gestion des risques, et des outils de test.

#Sondage des Métamodèles de Risque

Cette section passe en revue plusieurs métamodèles de risque trouvés dans la littérature existante pour identifier les caractéristiques partagées et les éléments inspirants pouvant aider à créer un cadre conceptuel complet répondant aux besoins de différentes industries, activités, et outils. Nous commencerons par des modèles plus simples et explorerons comment ils peuvent évoluer et devenir plus détaillés.

#Modèle de Risque Générique

Un modèle de base est un métamodèle Coût-Risque conçu pour l'optimisation dans des contextes réglementaires, pas spécifiquement pour la cybersécurité. Il illustre des concepts fondamentaux comme les actifs, les objectifs, les menaces, et les contrôles. Dans ce modèle, les risques sont liés aux actifs et aux contrôles, montrant comment ces éléments interagissent.

#Modèle de Risque de Cybersécurité ISO27K Simple

Le modèle suivant est un modèle simple de risque de cybersécurité suivant la norme ISO 27001, qui décrit les exigences pour un système de gestion de la sécurité de l'information basé sur la gestion des risques. Ce modèle ajoute des idées de sécurité spécifiques comme les Vulnérabilités et les exploits et les associe à des objectifs et des responsabilités. Cependant, le concept de risque ici n'est pas explicitement défini.

#Modèle de Risque EBIOS

Le modèle EBIOS est une méthode française soutenue par l'ANSSI, l'autorité nationale de cybersécurité en France. Ce métamodèle est aligné sur l'ISO27005 et inclut des concepts pour classer les actifs comme business ou support. Les risques sont explicitement modélisés et liés à des scénarios pouvant affecter les objectifs de sécurité, fournissant une évaluation d'impact quantifiable.

#Conduits IEC/ISA 62443

La norme IEC/ISA 62443 se concentre sur la sécurisation des composants dans les systèmes d'automatisation industrielle et de contrôle. Contrairement au modèle ISO27K, elle inclut des aspects de technologie opérationnelle tels que le contrôle et la supervision. Une caractéristique notable de cette norme est l'organisation des systèmes en zones et conduits, renforçant la protection en créant des couches de défense.

#Modèle de Risque pour l'Ingénierie de Sécurité

Ce métamodèle de risque adopte une vue plus large en proposant une approche d'ingénierie de sécurité qui comprend divers sous-modèles pour des tâches, des objectifs, des risques, et des responsabilités. Il introduit le rôle de l'attaquant, avec des capacités et des motivations explorées à travers des scénarios structurés.

#Modèle de Risque pour la Co-Ingénierie Sécurité-Sûreté

Ce modèle combine des aspects de sécurité et de sûreté, reflétant les cultures différentes des ingénieurs dans ces domaines. Il capture des concepts à travers des fonctions ou des composants, avec des vecteurs d'attaque liés aux menaces. Cependant, le défi réside dans les niveaux de détail et d'alignement variés entre les deux domaines.

#Modèle Conceptuel de Risque Consolidé

Cette section introduit un modèle conceptuel de risque unifié basé sur les enquêtes précédentes.

#Concepts d'Analyse des Risques et Leurs Relations

Le nouveau modèle organise des actifs essentiels et de support en utilisant des classifications de l'EBIOS ainsi que des structures de l'IEC/ISA 62443. Il visualise les relations entre les actifs d'affaires, les caractéristiques de sécurité à protéger, les risques associés, et les Mesures de contrôle en place.

Les caractéristiques clés à noter incluent :

• Le modèle capture les structures organisationnelles, permettant une modélisation orientée vers les objectifs à travers des arbres d'objectifs. Cette approche lie les propriétés de sécurité aux objectifs du système, permettant une meilleure ingénierie des exigences.
• Le rôle et les motivations de l'attaquant sont clairement définis, liant ses intentions à l'évaluation des risques à travers des scénarios préoccupants (appelés événements redoutés dans l'EBIOS).
• Les risques sont caractérisés par leur potentiel d'impact et leur faisabilité, en lien avec les actifs de soutien vulnérables aux attaques.

Enfin, les stratégies de sécurité sont mises en œuvre comme mesures de contrôle à travers différentes couches de défense guidées par le Cadre de Cybersécurité NIST.

#Application Pratique du Modèle Consolidé

Pour valider le modèle proposé, divers outils ont été employés pour capturer différents concepts à des étapes spécifiques du flux de travail DevSecOps :

• L'outil de modélisation stratégique piStar aide à capturer des aspects commerciaux dans une étude de cas sur une installation de traitement des eaux.
• L'outil MONARC s'aligne sur le cadre ISO 27005, affichant des actifs et des risques tout en offrant une structure pour l'évaluation.
• L'extension Capella relie l'évaluation des risques avec des approches de modélisation système, améliorant l'alignement entre les concepts.
• Le cadre CYRUS sert d'outil de test qui suit les risques et les vulnérabilités jusqu'aux composants du système.

L'approche impliquait soit d'utiliser les outils pour faciliter les échanges de données, comme entre piStar et MONARC, soit de passer en revue les modèles existants pour déterminer les correspondances avec le nouveau cadre.

#Conclusion

Cet article a présenté un métamodèle consolidé pour l'analyse des risques tiré de diverses normes et cadres de cybersécurité. La validation avec différents outils a démontré sa cohérence globale, bien qu'il y ait des domaines à améliorer, notamment en alignant les concepts liés aux agents et aux rôles.

Les travaux futurs se concentreront sur le perfectionnement du modèle à mesure que de nouveaux outils seront développés et mis en œuvre à travers le cycle de vie DevSecOps. De plus, capturer les insights des tests de pénétration et de la surveillance en temps réel dans le modèle d'analyse des risques fournira des données précieuses. L'objectif est de formuler un modèle de processus pour l'analyse des risques afin de fournir des conseils cohérents à travers différentes normes.

Le modèle conceptuel proposé sert de référence fondamentale pour mieux comprendre les analyses de risques et pour améliorer les connexions entre divers cadres, menant finalement à des pratiques de cybersécurité améliorées.