Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive...
-
Upload
vuongnguyet -
Category
Documents
-
view
216 -
download
1
Transcript of Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive...
![Page 1: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/1.jpg)
Les méthodes d’analyse de risque
Axel Legay, Inria Rennes
![Page 2: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/2.jpg)
Objectifs du cours
• Introduire quelques méthodes d’analyse de risque
• Focus sur la méthode EBIOS (partie 1)
![Page 3: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/3.jpg)
Rappels
• Le but est d’estimer et d’analyser chaque composante du risque
![Page 4: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/4.jpg)
Quelques méthodes
![Page 5: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/5.jpg)
Mehari
• Développée par le CLUSIF• Mehari = Méthode harmonisée
d’analyse des risques• Similaire à ISO 27005
– Appréciation des risques– Traitement des risques– Gestion des risques
• Demande une certaine expertise (logiciel, feuilles de calcul)
![Page 6: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/6.jpg)
Mehari
![Page 7: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/7.jpg)
CRAMM
• Proposée par Siemens et l’état britanique
• CRAMM= CCTA Risk analysis and Managment method)
• Exhaustive : 3000 points de contrôle• 3 points phases, logiciel sophistiqué• Méthode payante
CCTA : Central Computer and Telecommunication Agency
![Page 8: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/8.jpg)
OCTAVE
• Proposée par Carnegie Mellon• OCTAVE = Operationally Critical
Threat, Asset, and Vulnerability• Logiciel payant• Surtout pour de petites équipes
![Page 9: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/9.jpg)
La Méthode EBIOS
![Page 10: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/10.jpg)
Introduction
• Proposée par ANSSI en 1995• EBIOS = Expression des Besoins et
Indentification des Objectifs de Sécurité• Dernière version en 2010• Club EBIOS (experts, bases
d’informations)• Conforme à la norme ISO 27001• Utilisée en France• Tout Gratuit
![Page 11: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/11.jpg)
Un adolescent de 15 ans « pirate » le système informatique de son collège pour améliorer ses
notes.Un adolescent de quinze ans a en effet été
interpellé pour s'être introduit dans le systèmeinformatique de son collège dans le but de modifier ses résultats scolaires. Dépité de
n'avoir puatteindre ce but, le collégien a saturé le
système informatique en expédiant plus de 40 000 courriels,
manœuvre qui a provoqué une indisponibilité pendant quatre jours.
[Sources Internet : Le Point.fr et ZDNet]
![Page 12: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/12.jpg)
![Page 13: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/13.jpg)
Grands principes à appliquer
• Employer EBIOS comme une boîte à outils pour une efficacité maximale ;
• Utiliser la méthode avec souplesse pour adhérer au langage et aux pratiques de l’organisme ;
• Améliorer progressivement l’étude, en temps réel, pour rester cohérent avec la réalité ;
• Rechercher une adhésion des acteurs du système d’information pour élaborer des solutions de protection.
![Page 14: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/14.jpg)
Facilités
• La méthode dispose de bases de connaissances riches, d'un logiciel libre et gratuit, de formations et d'une documentation variée
• La communauté des experts et utilisateurs de gestion des risques (industriels, administrations, prestataires, universitaires…) se réunit régulièrement au Club EBIOS pour échanger des expériences et enrichir le référentiel
• EBIOS ne protège pas des risques, elle les met en évidence!
![Page 15: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/15.jpg)
Module 1: Etude du contexte
• Définir le context• Etude bien supports/essentiels
– Essentiel = fonctions principales réalisées par le système
– Support = parties du systèmes qui réalisent les fonctions principales
• Métriques des attributs de sécurité• Mesure de sécurité existantes
![Page 16: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/16.jpg)
Exemple
• Identifier les risques associés à l’utilisation des UAI
• Biens essentiels– Web, Téléphonie, Télévision, NAS (data
store)
• Biens supports– Matériel, Fournisseur, Réseau,
Personnels, logiciels
![Page 17: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/17.jpg)
Besoins de sécuritéDisponibilité
Besoin Description1Plus de 72h Indisponibilité supérieure à 72h acceptée
2Entre 24h et 72h Indisponibilité entre 24h et 72h acceptée
3Entre 4h et 24h Indisponibilité entre 4h et 24h acceptée
4Moins de 4h Indisponibilité inférieure à 4h acceptée
Intégrité
Besoin Description
1Non gênant Pas de besoin d’intégrité
2Détectable L’altération doit être identifiée
3Maîtrisé L’altération doit être identifiée et corrigée
4Intègre Les données doivent être intègres
ConfidentialitéBesoin Description
1Public Pas de besoin de confidentialité
2Réservé Accessible en lecture par un groupe de personnes ou entités bien identifiées
3Privé Accessible en lecture par une seule personne ou entité bien identifiée
Authenticité
Besoin Description
1Inconnu Pas de besoin d’authenticité2Identifié Identité déclarée mais sans garantie d’intégrité3Authentique Identité prouvée
![Page 18: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/18.jpg)
Source de menaces
![Page 19: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/19.jpg)
Relation bien support/essentiels
![Page 20: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/20.jpg)
Métriques
• Gravité:– Négligeable: pas d’impact– Limitée: Impact minime– Importante: Impact sérieux mais les dégâts
restent réparables – Critique: Impact grave, dégâts difficilement ou
pas réparables
• Vraisemblance:– Minime: annuel– Significative: mensuel– Maximum: journalier
![Page 21: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/21.jpg)
Sécurité existante
Exemples:• Identification (adresse MAC, …)• Protection physique (bâtiment, …)• Authentification WIFI• Filtrage d’accès
![Page 22: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/22.jpg)
Module 2: Etudes des événements redoutés
But: déterminer pour chaque critère de sécurité de chaque bien essentiel la gravité de l’impact
Pour chaque bien essentiel:• Le besoin de sécurité• Les sources de menace possible• Les impacts possibles• La gravité de l’impact
![Page 23: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/23.jpg)
Exemple
Web – confidentialité:• Besoin de sécurité: confidentialité de nos
données envoyées ou reçues via https (cartes banquaires),…
• Sources de menaces: opérateur, extérieur avec attaques physiques ou réseau,…
• Impacts: financier, image de maque, propriété intellectuelle, …
• Gravité: critique
![Page 24: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/24.jpg)
Gravité de l’impact
![Page 25: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/25.jpg)
Module 3: Etudes des scénarios de menaces
But: déterminer la vraisemblance d’occurrence de la défaillance. Pour chaque bien support et chaque critère de sécurité:• Les sources de menaces envisagées• Les menaces existantes• Le niveau de vraisemblance de la
menace
![Page 26: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/26.jpg)
Exemple
![Page 27: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/27.jpg)
Exemple
FAI authenticité, authenticité:• Sources de menaces: personne extérieur
malveillante (physique ou réseau)• Menace: usurpation d’identité• Vraisemblance: significativeBoucle locale, confidentialité:• Source de menace : personne extérieur
malveillante (physique)• Menace: divulgation du contenu• Vraisemblance: minime
![Page 28: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/28.jpg)
Exemple
![Page 29: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/29.jpg)
Module 4: Etude des risques
Risque = combinaison d’évènement redouté avec un/des scénario(s) de menace(s).
• Combiner chaque évènement redouté selon leurs gravité et
• Leurs assigner la vraisemblance du scénario de menace le plus grave
![Page 30: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/30.jpg)
Ebios et 27001
![Page 31: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/31.jpg)
EBIOS et plan
Etape où EBIOS intervient le plus:• Définition du périmètre• Appréciation des risques• Spécification du traitement des
risques
![Page 32: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/32.jpg)
EBIOS et Do
• Implémenter et maintenir• EBIOS contribue à l’élaboration du
plan de traitement des risques
![Page 33: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/33.jpg)
EBIOS et Check
• Vérifier que les mesures fonctionnent et identifier les améliorations
• EBIOS contribue en réactualisant son étude/audit
![Page 34: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/34.jpg)
EBIOS et Act
• Mettre en œuvre les améliorations identifies
• L’itération d’EBIOS permet une traçabilité continue.
![Page 35: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/35.jpg)
Analyse du risque:Recommandations et choix
![Page 36: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/36.jpg)
Choix d’une méthode
• La langue : il est important de bien comprendre le vocabulaire employé par la méthode
• La culture du pays d’origine de la méthode : est à prendre en considération
• La base de connaissance et les outils supportant la méthode : leur existence est fortement souhaitable pour faciliter son utilisation
• La documentation : son existence et sa qualité sont d’un apport certain
• La pérennité : Il est très important que l’éditeur de la méthode en assure la pérennité
• La compatibilité: la compatibilité avec des normes internationales doit peser énormément
• Le retour d’expérience: le support d’un club d’utilisateurs, de forums, etc. est un atout
![Page 37: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/37.jpg)
Recommandations
• Ne pas être exhaustif et ne pas travailler 3 mois sur la même chose
• Ne pas perdre de temps (c’est de l’argent!)
• Ne pas se sentir « harcelé » par les normes
![Page 38: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/38.jpg)
Recommandations
• Faire sa gestion soi-même (je dois comprendre ce qui m’arrive)
• Importance du choix de la méthode pour respecter le point précédent
• Se faire éventuellement aider toujours en respectant son autonomie
![Page 39: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/39.jpg)
Recommandations
• Ne pas faire une et une seule appréciation des risques (le système évolue, ex: objets connectés)
• Il faut faire vivre sa gestion du risque– L’entreprise change– Les gens changent– Les objectifs changent– Les risques changent (surtout en SSI)
![Page 40: Les méthodes d’analyse de risque - · PDF fileManagment method) • Exhaustive ... Module 1: Etude du contexte • Définir le context • Etude bien supports/essentiels – Essentiel](https://reader035.fdocument.pub/reader035/viewer/2022062600/5ab2c7eb7f8b9a284c8db3a9/html5/thumbnails/40.jpg)
Exercice
• Télécharger le logiciel EEBIOS• Télécharger le document suivant:
http://www.club-ebios.org/site/documents/ClubEBIOS-EtudeDeCas-MedecineTravail-2011-11-29.pdf
• Retranscrire le contenu du document dans le logiciel EEBIOS.