Gestion des risques appliquée aux syst`emes d'information distribués

144 Pages·2014·7.94 MB·French

ED 211
E´cole Doctorale des Sciences Exactes et leurs Applications
Gestion des risques appliqu´ee aux
syst`emes d’information distribu´es
`
THESE
pr´esent´ee et soutenue publiquement le jeudi 19 d´ecembre 2013
pour l’obtention du
Doctorat de l’Universit´e de Pau et des Pays de l’Adour
(sp´ecialit´e informatique)
par
Vincent Lalanne
Sous la direction de
Alban Gabillon, Pr - Universit´e de la Polyn´esie Fran¸caise
et
Manuel Munier, MCF - Universit´e de Pau et des Pays de l’Adour
Composition du jury
Pr´esident : Jean-Jacques Lemouland, Pr Universit´e de Pau et des Pays de l’Adour
Rapporteurs : Hossam Afifi, Pr T´el´ecom SudParis
Jean-Philippe Domenger, Pr LAboratoire Bordelais de Recherche en Informatique
Examinateurs : Philippe Aniort´e, Pr Universit´e de Pau et des Pays de l’Adour
Serge Dulucq, Pr LAboratoire Bordelais de Recherche en Informatique
Benoˆıt Le Blanc, MCF HDR E´cole Nationale Sup´erieure de Cognitique
Manuel Munier, MCF Universit´e de Pau et des Pays de l’Adour
Laboratoire d’Informatique de l’Universit´e de Pau et des Pays de l’Adour - EA 3000

Résumé
Dans cette thèse nous abordons la gestion des risques appliquée aux systèmes d’infor-
mation distribués. Nous traitons des problèmes d’interopérabilité et de sécurisation des
échanges dans les systèmes DRM et nous proposons la mise en place de ce système pour
l’entreprise : il doit nous permettre de distribuer des contenus auto-protégés. Ensuite nous
présentons la participation à la création d’une entreprise innovante qui met en avant la
sécurité de l’information, avec en particulier la gestion des risques au travers de la norme
ISO/IEC 27005:2011. Nous présentons les risques liés à l’utilisation de services avec un
accent tout particulier sur les risques autres que les risques technologiques; nous abordons
les risques inhérents au cloud (défaillance d’un provider, etc...) mais également les aspects
plus sournois d’espionnage et d’intrusion dans les données personnelles (Affaire PRISM en
juin 2013). Dans la dernière partie nous présentons un concept de DRM d’Entreprise qui
utilise les métadonnées pour deployer des contextes dans les modèles de contrôle d’usage.
Nous proposons une ébauche de formalisation des métadonnées nécessaires à la mise en
œuvre de la politique de sécurité et nous garantissons le respect de la réglementation et
de la loi en vigueur.
Mots-clés: ISO/IEC 27005:2011, Web Services, WS security, SOA, Cloud, métadonnées,
données personnelles, sécurité de l’information, entreprise innovante, investigation numé-
rique
Abstract
In this thesis we discuss the application of risk management to distributed infor-
mation systems. We handle problems of interoperability and securisation of the exchanges
within DRM systems and we propose the implementation of this system for the company :
it needs to permit the distribution of self-protected contents. We then present the (our)
participation in the creation of an innovative company which emphasizes on the security
of information, in particular the management of risks through the ISO/IEC 27005:2011
standard. We present risks related to the use of services, highlighting in particular the
ones which are not technological : we approach inheritent risks in clouds (provider fail-
ure, etc ...) but also the more insidious aspects of espionage and intrusion in personal
data (Case PRISM in June 2013). In the last section, we present a concept of a DRM
company which uses metadata to deploy settings in usage control models. We propose a
draft formalization of metadata necessary for the implementation of a security policy and
guarantee respect of regulations and legislation.
Keywords: ISO/IEC 27005:2011, Web Services, WS security, SOA, Cloud, metadata,
personal data, information security, innovative, digital forensics
i
ii
Remerciements
Je tiens à remercier ma famille Magali, Clément et Julien, pour la patience et la
compréhension dont ils ont fait preuve pendant ces années de recherche.
Je voudrais également remercier les personnes qui m’ont soutenu, encouragé et ac-
compagné pendant ce travail de thèse et tout particulièrement M. Manuel Munier qui a
co-dirigé mon travail.
Enfin je tiens à dire un grand merci à l’Université de Pau et des Pays de l’Adour qui
m’a permis de mener à terme ce projet.
iii
iv
Aux compañeros qui m’ont indiqué le chemin
La Habana, 2002
v
vi
Table des matières
Introduction générale 1
1 Contexte et motivations . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
2 Organisation du mémoire . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Chapitre 1
Problématique 7
1.1 Le contrôle d’usage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
1.1.1 Les DRM : Digital Rights Managements . . . . . . . . . . . . . . . 9
1.1.2 L’interopérabilité des systèmes DRM . . . . . . . . . . . . . . . . . 12
1.1.3 Les documents sécurisés : DRM d’entreprise . . . . . . . . . . . . . 12
1.1.4 Les métadonnées . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
1.2 Architecture Orientée Services et Web Services . . . . . . . . . . . . . . . . 16
1.2.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
1.2.2 Les avantages d’une SOA . . . . . . . . . . . . . . . . . . . . . . . . 17
1.2.3 Un style d’architecture . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.2.4 XML : eXtensible Markup Language . . . . . . . . . . . . . . . . . 17
1.2.5 REST : REpresentational State Tranfert . . . . . . . . . . . . . . . 18
1.2.6 SOAP : Simple Object Access Protocol . . . . . . . . . . . . . . . . 18
1.2.7 WSDL et UDDI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
1.2.8 La sécurité des services Web . . . . . . . . . . . . . . . . . . . . . . 21
1.2.9 Une technologie maîtrisée mais non dénuée de risques . . . . . . . . 22
1.3 La gestion des risques en sécurité de l’information . . . . . . . . . . . . . . 23
1.3.1 Présentation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
1.3.2 ISO 27005 : une norme synthétique et consensuelle . . . . . . . . . 23
1.3.3 Le risque : au cœur du processus décrit par cette norme . . . . . . . 25
1.3.4 Une approche par la gestion de risque . . . . . . . . . . . . . . . . . 25
vii
Table des matières
1.3.5 La gestion de risque dans l’ISO 27005 est un processus continu et
itératif. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
1.4 Synthèse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Chapitre 2
SARSSI 2007
Vers l’interopérabilité des systèmes de DRM 31
2.1 Présentation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
2.2 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
2.3 Les thèmes abordés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
2.4 Les propositions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
2.5 Conclusions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
2.6 Texte de l’article . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
Chapitre 3
BackPlanTM entreprise innovante 51
3.1 Contexte initial : du besoin au projet . . . . . . . . . . . . . . . . . . . . . 52
3.1.1 Le besoin . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
3.1.2 Description du projet : méthodologie, outil informatique et service. 53
3.2 Du projet à la création de la société . . . . . . . . . . . . . . . . . . . . . . 55
3.2.1 La rencontre de personnes autour d’une même idée : . . . . . . . . 55
3.2.2 La génèse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
3.2.3 La société maintenant . . . . . . . . . . . . . . . . . . . . . . . . . 56
3.3 La gestion du risque dans l’entreprise BackPlantm . . . . . . . . . . . . . . 57
3.3.1 La certification « ISO 27005 Risk Manager » . . . . . . . . . . . . . 57
3.3.2 La formation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
3.3.3 Une politique de management de la sécurité de l’information . . . . 58
3.4 LescollaborationsavecleLaboratoired’informatiquedel’universitédePau
et des Pays de l’Adour . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
3.4.1 Pendant la phase d’incubation . . . . . . . . . . . . . . . . . . . . . 59
3.4.2 Un partenariat qui se pérennise . . . . . . . . . . . . . . . . . . . . 60
3.4.3 Un statut reconnu pour BackPlantm . . . . . . . . . . . . . . . . . 60
viii