Nous souhaitons faciliter la création de diagrammes BowTie et assurer à l’utilisateur la pris en compte des obligations propres au domaine qu’il étudie. Pour cela, nous proposons des diagrammes respectant les conditions légales imposées par la législation encadrant le domaine étudié : si l’utilisateur n’est pas au fait de ces dispositions, alors il peut les obtenir déjà pré-remplies dans son diagramme au lieu de parcourir les textes de loi.

Cette disposition s’avère nécessaire dans de nombreux domaines soumis à des législations. Par exemple, l’Agence Nationale pour la Sécurité des Systèmes d’Information a publié son Référentiel d’Exigences à destination des prestataires d’administration et de maintenance sécurisées en Avril 2020. Tout acteur souhaitant réaliser une étude de risques concernant la gestion d’un système informatique aura donc accès à un patron de conception reprenant les exigences de l’ANSSI quant à la gestion des risques cyber sur un réseau local.

Actuellement, nous travaillons sur deux méthodologies différentes : l’approche dite « top-down » et l’approche guidée par les « assets ». Nous avons appliqué ces méthodes sur différentes études de cas afin d’apprécier leurs avantages et limitations, que ce soit sur le logiciel ou dans leur efficacité. Les résultats obtenus sont analysés grâce à divers critères d’évaluation permettant entre autre d’estimer la pertinence de l’étude de cas.

Pour résumer, la première approche consiste à définir la partie centrale du diagramme (évènement redouté, danger et ressources impactées), puis de développer la partie gauche du diagramme synthétisant les causes pouvant mener à la réalisation de l’évènement, et enfin la partie droite du diagramme modélisant les conséquences de la survenue de l’évènement.

1 / 5

2 / 5

3 / 5

4 / 5

5 / 5

❮ ❯

L’approche guidée par les « assets » consiste en une boucle itérative : après avoir défini l’évènement redouté et son danger, pour chaque ressource (asset) ajoutée on complète toutes les parties du diagramme (les causes et conséquences) ayant un lien avec la ressource en question.

1 / 5

2 / 5

3 / 5

4 / 5

5 / 5

❮ ❯

Les différentes méthodologies d’analyse de risque applicables à BowTie++ nécessitent d’être évaluées de manière objective pour dresser des conclusions. Pour cela, nous avons mis en place différents critères d’évaluation: des indicateurs de qualité, et des indicateurs de performance. On y retrouve le niveau de complexité du diagramme, des ratios entre les barrières et les menaces, causes et conséquences, ou encore le temps d’élaboration du diagramme, etc. Ainsi chaque diagramme réalisé dans la partie recherche peut être évalué pour étudier sa pertinence.

BowTie++ guide directement l’utilisateur selon la méthodologie mise en place après la phase de recherche. A travers un tutoriel guidé, suivant étape par étape la conception du diagramme, l’utilisateur visualise différentes indications du nombre d’assets à poser, ou encore le nombre minimum de barrière à disposer. Ces chiffres génériques sont issus de l’évaluation des diagrammes, où des valeurs témoins ont été calculées grâce au meilleures représentations.

Démonstration

Le processus de sécurisation a 3 sous-objectifs :

• Le raffinement de la méthologie BowTie
• Le test de la sécurité actuelle
• Le renforcement de celle-ci.

L'objectif numéro 1 se concrétise en effectuant des diagrammes BowTie permettant d'analyser les risques encourus par l'application. Cela nous permet d'appliquer la méthode BowTie à un cas concret et d'évaluer son utilité dans un scénario de cybersécurité. Ensuite, le test de la sécurité actuelle se fait au travers d'une phase de pentest qui consiste à rechercher les vulnérabilités possibles que nous avons listé dans les diagrammes BowTie précédemment créé.
Enfin, nous renforcerons la sécurité de l'application en implémentant les mesures de remédiation propre aux vulnérabilités trouvées. Le schéma ci-dessous récapitule la démarche globale

Pour remplir les matrices de vraisemblance et d'impact, l'utilisateur a la possibilité de décider de l'échelle qu'il souhaite utiliser. Une fois cette échelle posée, l'utilisateur peut l'enregistrer au niveau du menu d'aide pour que d'autres utilisateurs travaillant sur le diagramme puissent l'utiliser lors du remplissage des matrices.