Je viens de tomber sur la v2 de avril 2009 de la thèse de Nicolas Mayer sur l’analyse des risques.

En général je bookmark et basta, mais là ça vaut vraiment le coup.

A lire ici, le site du guru ici.

Le résumé :

Durant les vingt dernières années, l’intérêt pour la sécurité lors du développement et l’exploi\-tation des systèmes d’information n’a cessé de croître. Les méthodes de gestion des risques de sécurité sont des outils méthodologiques, qui aident les organisations à prendre des décisions rationnelles sur la sécurité de leur système d’information. Les retours d’expérience sur l’utilisation de telles approches montrent une réduction considérable des pertes liées aux problèmes de sécurité. Aujourd’hui, ces méthodes sont généralement construites autour d’un processus bien structuré. Cependant, le produit issu des différentes étapes de la gestion des risques est encore très largement informel, et souvent pas assez analytique. Ce manque de formalisme est un frein à l’automatisation de la gestion des informations relatives aux risques. Un autre inconvénient des méthodes actuelles est qu’elles sont généralement destinées à évaluer a posteriori comment les systèmes d’information déjà existants gèrent les risques, et sont difficilement applicables a priori, pendant la conception de tels systèmes. Enfin, chaque méthode utilisant souvent une terminologie qui lui est propre, il est difficile de combiner plusieurs méthodes afin de profiter des points forts de chacune. Afin de répondre aux problèmes mentionnés ci-dessus, notre contribution propose une approche basée sur la modélisation de la gestion des risques, utilisable dans les phases amonts de conception de systèmes d’information. Cette approche est fondée sur une étude des concepts propres au domaine.

Notre démarche scientifique se compose de trois étapes successives. La première étape vise à définir un modèle conceptuel de référence relatif à la gestion des risques de sécurité. La méthode de recherche adoptée propose de fonder le modèle sur une étude approfondie de la littérature. Les différents standards de gestion des risques et/ou de sécurité, un ensemble de méthodes représentatives de l’état actuel de la pratique, ainsi que les travaux scientifiques se rapportant au domaine, ont été analysés. Le résultat est une grille d’alignement sémantique des concepts de la gestion des risques de sécurité, mettant en évidence les concepts-clés intervenant dans une telle démarche. Sur base de cet ensemble de concepts est ensuite construit le modèle du domaine de la gestion des risques. Ce modèle a été confronté aux experts du domaine, provenant du monde de la standardisation, des méthodes de gestion des risques et du monde scientifique.

La deuxième étape de notre recherche enrichit ce modèle du domaine avec les différentes métriques utilisées lors de l’application d’une méthode de gestion des risques. La démarche proposée combine deux approches pour la détermination des métriques. La première est la méthode Goal-Question-Metric (GQM) appliquée sur notre modèle de référence. Elle permet de se focaliser sur l’atteinte du meilleur retour sur investissement de la sécurité. La seconde enrichit les métriques identifiées par la première approche, grâce à une étude de la littérature basée sur les standards et méthodes étudiés lors de la première étape. Une expérimentation sur un cas réel de ces métriques a été réalisée, dans le cadre de l’accompagnement d’une PME vers la certification ISO/IEC 27001.

Enfin, dans une troisième étape, nous relevons dans la litérature un ensemble de langages de modélisation conceptuelle de la sécurité de l’information. Ces langages sont issus essentiellement du domaine de l’ingénierie des exigences. Ils permettent donc d’aborder la sécurité lors des phases initiales de la conception de systèmes d’information. Nous avons évalué le support conceptuel proposé par chacun d’eux, et donc le manque à combler afin d’être à même de modéliser intégralement les différentes étapes de la gestion des risques. Le résultat de ce travail permet de formuler une proposition d’extension du langage Secure Tropos, et une démarche d’utilisation de cette évolution dans le cadre de la gestion des risques, illustrée par un exemple.