Nous sommes de plus en plus conscients de la vulnérabilité des infrastructures (réseaux d'eau, entreprises de télécommunications, banques, réseaux électriques, systèmes de santé, etc.) face à tous types de cyberattaques. Selon McAfee, la cybercriminalité a augmenté de 53 % en 2008. En avril 2010, les clients d'Optus, leurs fournisseurs d'accès à Internet et un grand nombre de grandes entreprises ont subi une dégradation de leur trafic suite à une attaque DDoS provenant de Chine. D'après Gartner et McAfee, le vol de propriété intellectuelle en 2009 était estimé à environ mille milliards de dollars. Les attaques réseau affectent l'ensemble de l'infrastructure, endommageant les routeurs, modifiant les tables de routage, surchargeant les serveurs DNS, provoquant des pannes de serveurs de messagerie, corrompant les caches ARP et DNS, etc.

Éléments de l'analyse des risques :
Une vulnérabilité est une faiblesse ou une faille/un bug dans un système, exploitable pour le compromettre ou l'attaquer. Les menaces sont un ensemble de circonstances ou d'acteurs susceptibles de causer des pertes ou des dommages à un système en exploitant des vulnérabilités existantes. Les attaques ciblent les services de sécurité essentiels tels que la confidentialité (chiffrement, protection de la vie privée, anonymat/stéganographie), l'intégrité (signatures numériques conventionnelles et aveugles, hachages, adresses MAC) et la disponibilité (sauvegarde, sites de secours, redondance), désignés collectivement par l'acronyme CIA (Confidentialité-Intégrité-Disponibilité). Les attaques ciblent également des objectifs de sécurité tels que l'authentification (par le biais d'attaques de l'homme du milieu et d'usurpation d'identité/d'adresse), l'identification, l'autorisation, la non-répudiation, la responsabilité/la journalisation/l'audit, etc. Les menaces exploitent les vulnérabilités et peuvent être accidentelles (erreur humaine involontaire) ou malveillantes (virus). Les contrôles (mesures de sécurité, contre-mesures, éléments de protection ou dispositifs de sécurité) sont des mécanismes ou des procédures permettant d'atténuer les vulnérabilités (en s'appuyant sur la prévention, la détection et la récupération, et parfois même la dissuasion). Il est essentiel d'en connaître le coût et la portée. De plus, les contrôles font l'objet d'une analyse des vulnérabilités et des menaces. Par exemple, un antivirus obsolète représente un danger important (par ignorance, négligence ou intention malveillante de l'utilisateur, ou parce que l'éditeur de l'antivirus privilégie les mises à jour automatiques, par exemple via le cloud, plutôt que les mises à jour manuelles).

Un actif totalement isolé (un serveur sans connexion réseau) est sécurisé mais inutilisable ; il est donc nécessaire de trouver un compromis entre sécurité et disponibilité. De même, il convient de ne pas consacrer de ressources à la protection d'entités sans valeur ajoutée. Les contrôles doivent être suffisamment efficaces pour dissuader un attaquant, sans pour autant être irréprochables pour des raisons de coût. Le risque correspond à la probabilité qu'une menace spécifique exploite une vulnérabilité spécifique ; il n'existe jamais de certitude absolue. Parmi les actifs critiques, on peut citer le personnel, le matériel et les logiciels, les données, la documentation, les installations physiques, etc. L'impact d'un risque correspond à la perte associée à son exploitation. Il est donc essentiel de comprendre systématiquement les risques d'un système et de définir les mesures de contrôle à mettre en œuvre. L'analyse des risques est le processus d'identification, d'évaluation et de réduction des risques à un niveau acceptable. Elle définit et contrôle les menaces et les vulnérabilités et met en œuvre des mesures de réduction des risques. L'analyse des risques est une discipline qui comporte trois volets : (i) l'évaluation des risques (détermination des risques existants), (ii) la gestion des risques (évaluation des solutions alternatives pour atténuer les risques) et (iii) la communication des risques. Ce document présente les résultats ci-dessus de manière à être compréhensibles par les décideurs, non seulement par les responsables de la sécurité, mais surtout par les dirigeants d'entreprise, garants de la sécurité et des objectifs de leur organisation. Pour structurer le processus d'analyse des risques, il est essentiel de prendre en compte les actifs, les vulnérabilités et les menaces. Le risque est fonction des actifs, des vulnérabilités et des menaces : (risque) = (actifs) x (menaces) x (vulnérabilités). Lors de l'analyse des risques, des valeurs sont attribuées aux actifs, aux vulnérabilités et aux menaces. La structure de base de l'analyse des risques est la suivante : (1) Évaluation : évaluer les actifs informationnels et informatiques, identifier les vulnérabilités du système, prendre en compte les menaces internes et externes à l'organisation et hiérarchiser les risques. (2) Examen : examiner la disponibilité des contre-mesures de sécurité, évaluer leur efficacité et déterminer leurs coûts (installation, licences cachées, exploitation, mises à jour, etc.). (3) Mise en œuvre et surveillance. Les personnes qui devraient participer à ce processus sont les suivantes : experts en sécurité, experts internes du domaine (ceux qui comprennent le mieux le fonctionnement réel des systèmes), responsables de la mise en œuvre des contrôles, juristes et dirigeants d’entreprise/d’organisation. L’identification des actifs (ou personnes/entités/objets/éléments de valeur) peut inclure les personnes, les actifs physiques (tels que les bâtiments, les réseaux et les ordinateurs) et les actifs logiques (tels que la réputation, la propriété intellectuelle, la conformité légale et les logiciels). Face au risque, plusieurs approches sont possibles : (i) éviter le risque en mettant en place un contrôle ou en modifiant la conception ; (ii) transférer le risque en modifiant la conception pour introduire un risque différent ou en souscrivant une assurance ; (iii) accepter le risque. Cela implique de détecter le risque et de s’en remettre en établissant un plan rigoureux en cas d’attaque (par exemple, en utilisant une infrastructure tolérante aux pannes, le basculement, la haute disponibilité, la redondance, les sauvegardes, les sites de secours ou les sites de réplication).

Types d'analyse des risques

Deux approches peuvent être identifiées pour l'analyse des risques : (1) L'analyse quantitative. Celle-ci attribue des valeurs chiffrées aux coûts des mesures de protection et aux dommages potentiels. Elle définit l'exposition annuelle aux pertes (EAP), l'évaluation du risque de préjudice (ERP) et la probabilité d'occurrence d'un événement. Cette approche peut s'avérer imprécise et peu fiable. Les phases de ce type d'analyse sont les suivantes : (i) Identification et valorisation des actifs. (ii) Détermination des vulnérabilités et de leur impact. (iii) Estimation de la probabilité d'exploitation. (iv) Calcul de l'EAP. (v) Synthèse des contrôles applicables et de leurs coûts. (vi) Projection des économies annuelles générées par les contrôles. L'exposition au risque (ou perte attendue) est le produit de l'impact du risque par sa probabilité. Par exemple, en cas de perte d'un serveur, l'impact du risque correspond au coût de remplacement du serveur, soit 17 000 €, et la probabilité de perte est, par exemple, de 0,10. Il en résulte une exposition au risque de 17 000 x 0,10 = 1 700. L’exposition totale mesurée par an correspond à l’ALE (exposition annuelle moyenne). Dans ce type d’analyse, une analyse coûts-avantages des mesures de contrôle doit être réalisée.

Le risque influence l'évaluation de la valeur d'un contrôle. Un indicateur utile est le ratio : (exposition au risque avant la mise en œuvre du contrôle) - (exposition au risque après la mise en œuvre du contrôle) / (coût du contrôle). (2) Analyse qualitative. Cette analyse évalue le risque relatif de l'organisation face aux menaces. Elle repose sur le jugement, l'intuition et l'expérience. Elle classe la gravité des menaces en fonction de la sensibilité des actifs. Elle est subjective et ne dispose pas de données chiffrées pour justifier le retour sur investissement. Les étapes de l'analyse qualitative des risques sont les suivantes : (i) Identifier le périmètre. Définir le problème. (ii) Constituer une équipe. Inclure des experts du sujet, les responsables de la mise en œuvre et les utilisateurs. (iii) Identifier les menaces. Sélectionner parmi les listes de menaces connues. Réfléchir à de nouvelles menaces, en combinant menaces et vulnérabilités. (iv) Prioriser les menaces pour chaque actif. Identifier la probabilité d'occurrence. Définir une échelle de gravité fixe, par exemple, de faible (valeur 1) à élevée (valeur 5). Attribuer une valeur à chaque menace. Il s'agit d'une approximation de la probabilité de risque issue de l'approche quantitative. (v) Impact des pertes. Pour chaque menace, déterminer l'impact des pertes. Un classement fixe est défini, par exemple, de faible (valeur 1) à élevé (valeur 5). Ce classement sert à prioriser les dommages causés aux actifs par la menace. (vi) Impact total ou facteur de risque. Il s'agit de la somme de la priorité de la menace et de la priorité de l'impact. Par exemple, pour la menace de vol, si la priorité de la menace est de 2 et la priorité de l'impact de 3, le facteur de risque est de 5 ; pour la menace d'incendie, si la priorité de la menace est de 3 et la priorité de l'impact de 5, le facteur de risque est de 8 ; pour la menace d'inondation, si la priorité de la menace est de 2 et la priorité de l'impact de 5, le facteur de risque est de 7. (vii) Identification des contrôles/mesures de protection. Un ensemble initial de contrôles potentiels est établi. Les contrôles sont associés à chaque menace. Commencer par les risques les plus prioritaires. (viii) Des analyses coûts-avantages sont effectuées. Cette phase peut être répétée avec la phase 6. (ix) Classification des contrôles – évaluation des mesures de protection. Elles sont classées par facteur de risque. Par exemple, en cas de menace d'incendie, si le facteur de risque est de 8, une mesure de protection possible consiste en un système d'extinction automatique, pour un coût de 18 000 €. En cas de menace d'inondation ou d'ouragan, si le facteur de risque est de 7, une mesure de protection possible consiste en un plan de continuité d'activité, pour un coût de 87 000 €. (x) Communiquer les résultats. Cette communication se conclut par un rapport écrit présenté à tous les membres lors de réunions spécifiques, en fonction de leur niveau hiérarchique au sein de l'organisation. La réunion avec les cadres supérieurs diffère de celle avec les employés.

Considérations finales.
Notre groupe de recherche travaille depuis plus de vingt ans dans le domaine de l'analyse des risques à l'échelle mondiale, pour tous types d'organisations et dans tous les contextes où l'information et les connaissances doivent être protégées de manière adéquate, des systèmes embarqués aux grandes organisations dotées de déploiements de réseaux Web/Web 2.0 et d'infrastructures de virtualisation et de cloud.

Cet article s'inscrit dans le cadre des activités menées au sein du projet LEFIS-APTICE (financé par Socrates, Commission européenne).

Bibliographie

- Areitio, J. « Sécurité de l’information : réseaux, informatique et systèmes d’information ». Cengage Learning-Paraninfo. 2010.
- Areitio, J. « Analyse de la vulnérabilité de l’information ». Conectrónica Magazine. N° 131. Octobre 2009.
- Areitio, J. « Tests de sécurité pour évaluer et améliorer le niveau des risques de sécurité ». Conectrónica Magazine. N° 134. Février 2010.
- Norman, TL. « Analyse des risques et sélection des contre-mesures de sécurité ». CRC Press. 2009.
- Kelsey, T. « Espaces de réseautage social : de Facebook à Twitter et tout le reste ». Apress. 2010.
- Zittrain, J. « L’avenir d’Internet et comment l’arrêter ». Yale University Press. 2009.
- Solove, DJ. « Comprendre la vie privée ». Harvard University Press. 2010.
- Wacks, R. « La vie privée : une très brève introduction ». Oxford University Press. 2010.
- Nissenbaum, H. « La vie privée en contexte : technologie, politique et intégrité de la vie sociale ». Stanford Law Books. 2009.
- Schneier, B. « Secrets et mensonges : la sécurité numérique dans un monde en réseau ». Wiley. 2004.
- O'Harrow, R. « Nulle part où se cacher ». Free Press. 2006.
- Solove, DJ. « La personne numérique : technologie et vie privée à l'ère de l'information ». NYU Press. 2006.
- Solove, DJ et Schwartz, P. « Droit de la protection des données personnelles ». Aspen Publishers, Inc. 2008.
- Solove, DJ et Schwartz, P. « Vie privée et médias ». Aspen Publishers, Inc. 2008.
- Schwartz, P. et Solove, DJ. « Protection des données personnelles : lois et règlements ». Aspen Publishers, Inc. 2008.
- Benkler, Y. « La richesse des réseaux : comment la production sociale transforme les marchés et la liberté ». Yale University. 2007.
- Mather, T., Kmaraswamy, S. et Latif, S. « Sécurité et confidentialité du cloud : une perspective d'entreprise sur les risques et la conformité ». O'Reilly Media. 2009.
- Solove, D.J. et Schwartz, P. « Confidentialité, information et technologie ». Aspen Publishers, Inc. 2008.

Auteur:

Prof. Dr. Javier Areitio Bertolín – E.Mail : Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer JavaScript pour la visualiser.
Professeur à la Faculté d'ingénierie.
Directeur du groupe de recherche sur les réseaux et les systèmes. Université de Deusto.

Pour plus d'informations ou un devis