Brevet FR2965650A1 — publié le 20120406

Le domaine technique de l'invention est celui du traitement électronique de données et a plus particulièrement pour objet un procédé d'analyse et de gestion de risques. La problématique de l'analyse et de la gestion de risques, autant civils dans le cadre d'une politique industrielle que militaire dans le cas d'un conflit, connaît déjà plusieurs dispositifs, notamment celui se basant sur une décomposition d'un système en biens, une identification des vulnérabilités dudit système puis une recherche de scénarios qui exploitent ces vulnérabilités. A ce titre, on connaît la demande de brevet d'invention US 2007/0016955 Al qui décrit un procédé pratique d'analyse de menaces. Ainsi, il est plus particulièrement décrit dans cette demande de brevet un procédé mis en ceuvre par un ordinateur et un dispositif apte à calculer la rentabilité de contre-mesures dans l'atténuation des menaces sur un système par le calcul du risque de menaces. Cedit calcul est basé sur un modèle d'atouts, de menaces, de vulnérabilités et de contre-mesures permettant d'améliorer la compréhension de différentes stratégies faisant face à une menace, d'une part, en montrant la valeur financière des risques associés auxdites menaces et, d'autre part, en établissant des solutions prioritaires en fonction de leurs rentabilités respectives. Un tel dispositif a notamment les inconvénients suivants. Le caractère exhaustif des menaces d'un tel procédé ne permet pas d'appliquer cedit procédé à des systèmes complexes. En outre, l'évaluation des risques considérés est uniquement financière. De ces menaces financières d'une part, et d'un point de vue unique selon l'attaquant d'autre part, associées à des calculs de probabilité résulte une analyse peu fiable. L'un des buts de l'invention est de résoudre ces inconvénients en proposant un procédé d'analyse de risques apte à analyser des risques face à une menace sans connaître l'ensemble des vulnérabilités, des constituants et des menaces et dont les différents scénarios sont classés selon une analyse multicritères et pas seulement financière. La solution apportée est un procédé d'analyse et de gestion de risques. Selon une caractéristique particulière, le procédé comporte les étapes suivantes : Définition des scénarios du point de vue de l'agresseur. Un scénario désigne l'ensemble des actions élémentaires nécessaires pour atteindre un objectif. Il peut exister plusieurs scénarios qui permettent d'atteindre un même objectif, un objectif étant la transposition, pour l'attaquant, d'un fait redouté par les responsables d'un système, c'est-à-dire un événement dont l'impact est considéré comme intolérable ou grave par lesdits responsables ou détenteurs du système. Ainsi, les faits redoutés par le défenseur deviennent des objectifs pour l'attaquant, c'est-à-dire la personne ou l'entité qui menace un système. II s'agit, après avoir défini les faits redoutés, de construire et de quantifier les scénarios « réalistes » pour l'attaquant. Analyse de risque du point de vue du défenseur. Les intérêts de l'attaquant et du défenseur ne sont pas toujours symétriques. Un fort gain pour le premier n'est pas forcément synonyme d'une forte perte pour le second. Il s'agit de confronter ces deux points de vue. Gestion du risque. Sur la base des solutions palliatives ou correctives, il s'agit de construire les stratégies de gestion de risque qui seront proposées aux décideurs. Selon une seconde caractéristique particulière, ladite première étape de définition des scénarios du point de vue de l'agresseur comporte en particulier les étapes suivantes : Définition des faits redoutés par le défenseur sur le système cible de l'analyse. Pour celui qui bâtit la sécurité d'un système, le défenseur, un événement redouté représente une catastrophe qu'il faut au maximum éviter. Définition des objectifs des scénarios du point de vue de l'agresseur à partir des faits redoutés par le défenseur. Pour l'agresseur, la traduction de l'événement redouté est un objectif à atteindre. - Définition d'un vecteur gain Vga associé à chacun de ces dits objectifs en fonction d'attributs prédéfinis. En effet, l'agresseur a un objectif principal avec éventuellement des objectifs secondaires, et il va essayer de l'atteindre, en : o minimisant ses contraintes, et donc à moindre coût, à moindre risque et dans une échelle de temps compatible avec ses motivations, dans la limite de ses capacités, o maximisant ses gains, c'est-à-dire en ayant le meilleur résultat possible soit quantitativement (perte financière pour le défenseur, gain financier pour l'agresseur) soit qualitativement (perte de réputation, d'image de marque, ...). Tous ces critères correspondent à des attributs qu'il convient d'évaluer pour chacun desdits objectifs. Si plusieurs scénarios sont associés à un objectif alors ils possèdent un vecteur de gain identique. Le vecteur de gain représente le bénéfice direct obtenu par un attaquant lorsqu'un objectif donné est atteint avec succès. Ses caractéristiques peuvent être de natures diverses, telles que notoriété, capacité financière, connaissance, savoir-faire, moyens techniques et délais. Définition des scénarios en succession d'actions élémentaires du point de vue de l'agresseur permettant d'atteindre ces dits objectifs. A partir d'un événement redouté, c'est-à-dire d'un objectif pour l'agresseur, un scénario va être bâti par une succession d'actions élémentaires En effet, chacun des dits objectifs est réalisé par une action, et la réalisation d'actions dites « élémentaires » successives permet la création d'un scénario. Dans une situation de risques, il convient de définir ainsi les scénarios retenus en succession d'actions élémentaires du point de vue de l'agresseur permettant d'atteindre ces dits objectifs définis auparavant. Quantification desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AE;), avec i un indice d'une action élémentaire associé, i un entier compris entre 1 et 1, et 1 le nombre total d'action élémentaires en fonction d'attributs prédéfinis. En effet, les actions élémentaires peuvent être de natures très diverses. Il est néanmoins nécessaire de pouvoir les comparer entre elles. Pour ce faire, une famille cohérente d'attributs doit être constituée en respectant les exigences d'exhaustivité, de cohérence et de non-redondance. A chaque attribut est associée une fonction d'utilité qui permet d'exprimer un niveau d'exigence des actions élémentaires. Cette estimation est réalisée sous la forme d'un vecteur d'effort multi-composantes. - Quantification des scénarios en vecteurs d'efforts Ve(S) à l'aide des vecteurs d'efforts Ve(AEd des actions élémentaires qui les composent. En effet, à chaque scénario est associé un vecteur d'effort calculé à partir des vecteurs d'effort de l'ensemble des actions élémentaires qui le composent. Classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga calculées. En effet, ces successions d'étapes permettent de confronter deux valeurs liées à un scénario du point de vue de l'agresseur qui sont le vecteur gain Vga et le vecteur d'efforts Ve(S) ce qui permet de confronter respectivement l'importance des objectifs d'un scénario à l'effort à fournir pour atteindre cedit scénario, cela du point de vue de l'agresseur. Ces deux valeurs numériques, qui sont à la base de la comparaison des scénarios entre eux, permettront d'établir un classement des scénarios du point de vue considéré, c'est-à-dire dans cette étape celui de l'agresseur. Selon une autre caractéristique particulière, ladite étape de définition des scénarios du point de vue de l'agresseur comporte une étape de construction d'une cartographie du système analysé. La cartographie est la représentation de la connaissance que possède l'agresseur de sa cible. Ledit procédé étant à caractère récursif, il évolue continuellement en fonction de chaque évolution du scénario en temps réel. Ainsi, à chaque évolution de ladite connaissance perçue par l'agresseur, correspond un changement dans la cartographie. Cette représentation du système peut être topologique, par exemple lorsqu'elle est liée à l'organisation physique et logique d'un réseau, géographique, par exemple pour rendre compte de la localisation géographique des constituants d'un système ou encore plus virtuelle, par exemple dans le but d'identifier les flux de données entre des acteurs du système. L'analyse d'une situation agresseur-agressé permet alors de définir au mieux les valeurs du vecteur gain Vga et du vecteur d'efforts Ve(S). Selon une autre caractéristique particulière ladite étape de quantification desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AE;), comporte les étapes suivantes : - Définition de J attributs, c'est-à-dire des J critères pris en compte dans l'évaluation desdites factions élémentaires ; Définition d'une échelle d'évaluation associée à chaque attribut ai et décomposée en Ki différents paliers pai(ki), avec j un indice entier d'un des J attributs associé, ki un indice entier d'un des Ki paliers associé à un attribut agi. En effet, pour évaluer un attribut il convient de lui définir une échelle comportant différents paliers relatifs à une estimation explicite et concrète pouvant en évaluer le degré. Quantification desdits paliers paj(kj) associés à un attribut a; par des valeurs numériques. Une fois la définition d'une échelle d'évaluation associée à un attribut, il convient à cette étape d'en définir une quantification par des valeurs numériques. Évaluation desdits attributs ai par l'attribution d'une valeur numérique fonction de la quantification dudit palier pai(ki) associé ; Définition d'un vecteur d'effort Vea;(AE;) tel que ses J coordonnées sont l'ensemble des J valeurs numériques Na;(AE;) avec Na;(AE;) la valeur numérique de l'attribut ai associé à l'action élémentaire AE;, d'où Dim(Veai(AEd)=J. En effet, chacune des valeurs numériques associées à un attribut permet alors de définir ledit vecteur d'effort Veai(AE;) dont les composantes sont chacune des valeurs numériques desdits J attributs associés à une action élémentaire AE; Lesdits attributs a; sont par exemple les suivants : al=temps, a2=finances, a3=moyens techniques, a4=connaissances, a5=savoir a6=faire, a,=traces et a8=risque, d'où J=8. Une fois les actions élémentaires quantifiées à l'aide d'un vecteur d'effort Ve(AEû, il est possible de calculer ledit vecteur d'effort des scénarios Ve(S) fonction desdits vecteurs d'efforts des actions élémentaires Ve(AE;). Pour un attribut donné du scénario, le calcul est basé soit : Sur un cumul des valeurs des mêmes attributs des actions élémentaires. Cette méthode est utilisable par exemple pour des attributs comme le temps ou les moyens financiers. Sur une sélection d'un extremum. Cette méthode concerne des attributs comme la connaissance, le niveau de compétence, etc. Concernant la méthode par cumul, les coûts de ces attributs étant approximatifs, un cumul mathématique classique n'est pas possible. Le cumul de plusieurs actions élémentaires de même coût équivaut à une étape de coût strictement supérieur à partir d'un nombre significatif d'actions élémentaires. II convient donc de définir à chaque palier des échelles considérées, une valeur définissant le nombre d'actions élémentaires à cumuler pour que le coût supérieur soit pris en compte. Par exemple, on pourra considérer que si un scénario comprend plus de quatre actions élémentaires de l'ordre du millier d'euros, alors il est de l'ordre de la dizaine de milliers d'euros (passage à la valeur supérieure de l'échelle). Plus précisément, selon une caractéristique particulière Ve(S) est calculé de la manière suivante : Vj E [1;1 ,J e IN*, Vea (S)= note (min* { ki e IPaK' lpp (ki)> 1f ) où :, et Vk~ E [1;Kj] ,Kj E IN*, Ipaj (Ki) = Card tVi E [1;I] ,I E IN*,AE, E AE(S)/Vep (AE,) = Kj 1 pQ (kj -1)= Cand i E [1;1 ,I E IN*,AE E AE(S)/Vea (AEl) = kj -11+ pa (k") seuil(kj ) Avec : Vea (S) la composante relative à un attribut ai de vecteur d'effort du scénario S, Dim(Veq (S))= J ; pp l'ensemble des paliers possibles de l'échelle d'un attribut ai, J Ki le nombre de paliers sélectionnables pour l'attribut ai, pQ (kj) la valeur cumulée des actions élémentaires de coût inférieure ou égale au palier agrégées sur la base du palier ki pour l'attribut ai. L'étape suivante, c'est à dire, Classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga calculées peut alors être mise en ceuvre après obtention de ces valeurs respectives. Elle comporte plus précisément les étapes suivantes : - Définition d'une pondération Pi à chaque attribut aiassocié à un profil d'agresseur; Calcul de la notation Ve(S) des n scénarios tel que : Ve(Sn)a -lPi.Ve (Sn). D'autres méthodes peuvent être utilisées pour trier les scénarios telles que les méthodes d'analyses multicritères. Ce calcul permet de tenir compte de plusieurs profils d'agresseur pour un scénario semblable à l'aide de ladite pondération associée à chacun desdits attributs. Classement des n scénarios en « zones de risques » par leur représentation sur un graphique comportant en abscisse Ve(Sn)Q et en ordonnées VgQ. En effet sur un graphique à deux dimensions plusieurs zones ressortiront du classement : Ve(S)a important et Vga important : zone correspondant à des scénarios dont le coût est très élevé mais où le gain est fort. Ces scénarios peuvent être attractifs pour une agence étatique. - Ve(S)a important et Vga faible : zone correspondant à des scénarios dont le coût est très élevé et le gain faible. Ils correspondent donc à une zone de risques faible Ve(S)a faible et Vga important : zone correspondant à des scénarios dont le coût est faible et le gain pour l'attaquant fort : ils correspondent donc à un risque maximum. Ve(S)a faible et Vga faible : zone indéterminée qui nécessite une analyse complémentaire allant plus dans le détail des scénarios. Ce graphique bidimensionnelle est alors partagé en « zones de risques » en considérant les risques de la manière suivante : Risque fort ; Risque intermédiaire ; - Risque faible. Ensuite, lorsque ladite première étape de définition des scénarios du point de vue de l'agresseur a été mise en ceuvre, ladite deuxième étape d'analyse de risques du point de vue du défenseur est traitée et comporte en particulier les étapes suivantes - Calcul du vecteur d'impact Vid pour chaque évènement redouté ; Calcul de Ve(S)d du point de vue du défenseur - Classement des n scénarios en « zones de risques » par leur représentation sur un graphique comportant en abscisse Ve(S')d et en ordonnées Vid. - Classement final par comparaison desdits classements en « zones de risques » selon les deux points de vue respectifs de l'agresseur et du défenseur; Plus précisément, ledit vecteur d'impact associé à un évènement redouté est calculé en fonction d'un vecteur de pertes et d'un vecteur de recouvrement suivant la formule : Vi = Vp + Vr, avec : - Vi le vecteur d'impact ; Vp le vecteur de pertes ; - Vr le vecteur de recouvrement. En ce qui concerne le calcul desdits vecteurs d'effort des scénarios du point de vue du défenseur Ve(S)d , il est effectué selon une méthode de calcul similaires à celle des vecteurs d'effort du point de vue de l'agresseur Ve(S)a, mais avec des attributs ou des évaluations d'attributs pouvant être, au moins, en partie différents. En outre, ledit classement final consiste en une comparaison desdits classements en « zones de risques » selon les deux points de vue respectifs de l'agresseur et du défenseur. Ainsi, il est attribué un classement final en « zones de risques » à un scénario s'il est le même selon lesdits deux points de vue, sinon un arbitrage est effectué pour en déterminer le classement. Les deux premières étapes, d'une part, de définition des scénarios du point de vue de l'agresseur et, d'autre part, d'analyse de risque du point de vue du défenseur, ont permis d'identifier des scénarios associés à des niveaux de risques. L'étape suivante, ladite étape de gestion des risques, va consister à traiter ces risques. Selon une caractéristique particulière ladite étape de gestion de risques comporte les étapes suivantes : - Définition des stratégies de gestion de risques et des contremesures associées ; - Choix de la stratégie et des contremesures associées à appliquer ; Application de ladite stratégie et desdites contremesures associées choisies. Ainsi, Un scénario dont le coût est élevé et qui a un impact faible pour le défenseur ou un gain faible pour l'agresseur pourra par exemple être considéré comme entrant dans la catégorie des risques acceptés et non traités. Les autres scénarios vont être parcourus pour identifier les actions élémentaires dont la réalisation est impérative pour que le scénario aboutisse. Ces actions élémentaires sont appelées actions élémentaires obligatoires. En effet, bloquer ces actions élémentaires par la mise en place de mesures techniques, procédurales, personnelles ou organisationnelles va être particulièrement efficace. Si aucune action élémentaire obligatoire n'est identifiée sur un scénario, alors il est nécessaire de parcourir ce scénario pour déterminer les mesures pouvant être mises en place pour augmenter la difficulté de réalisation du scénario. En outre, selon une caractéristique particulière, cette étape de gestion de risques comporte une étape d'élaboration d'un plan de veille. Chaque stratégie choisie, et ainsi chaque contremesure mise en place, permet de refaire une quantification des scénarios et donc un nouveau calcul des risques. Cette étape peut être outillée et réalisée de manière automatique. Des outils de simulation peuvent être utilisés pour déterminer la solution optimum en fonction de critères prédéfinis, comme par exemple l'élimination de tous les scénarios de la zone de risque maximum ou encore le respect de contraintes de mises en place données, ces contraintes pouvant être par exemple un budget de mise en place ou encore un délai de mise en place. La mise en oeuvre de contremesures peut entraîner de nouvelles vulnérabilités qui peuvent susciter de nouveaux scénarios. Ce travail d'analyse de risques peut donc conduire à reprendre une analyse complète depuis la première étape de définition des scénarios du point de vue de l'agresseur. D'autres avantages et caractéristiques apparaîtront dans la description d'un mode de réalisation de l'invention au regard des figures annexées parmi lesquelles : - la figure 1 montre un logigramme d'un procédé d'analyse et de gestion de risques selon un mode de réalisation de l'invention ; - la figure 2 montre un logigramme de ladite étape de définition des scénarios du point de vue de l'agresseur selon un mode de réalisation de l'invention ; - la figure 3 montre un logigramme de ladite étape d'analyse de risques du point de vue du défenseur selon un mode de réalisation de l'invention ; - la figure 4 montre un logigramme de ladite étape de gestion du risque selon un mode de réalisation de l'invention ; - la figure 5 montre un schéma des différents attributs ai et décomposée en K; différents paliers %(k;) selon un mode de réalisation de l'invention où j=1..4 et K.i=10. La figure 1 montre un logigramme d'un procédé d'analyse et de gestion de risques selon un mode de réalisation de l'invention. Les trois étapes successives sont les suivantes : Une étape 100 de définition des scénarios du point de vue de l'agresseur ; Une étape 200 d'analyse de risques du point de vue du défenseur ; Une étape 300 de gestion du risque. Ce processus est à caractère récursif. Par récursif, il est entendu que l'évolution d'une situation de risques ainsi que les décisions prises au fur et à mesure qui en résultent deviennent des données d'entrées du procédé ce qui permet une mise à jour de la situation de risques et une meilleure gestion de risques futurs. La figure 2 montre un logigramme de ladite étape 100 de définition des scénarios du point de vue de l'agresseur selon un mode de réalisation de l'invention. En effet, elle se compose des étapes suivantes : Une étape 110 de définition des faits redoutés par le défenseur sur le système cible de l'analyse. Une étape 120 de définition des objectifs des scénarios du point de vue de l'agresseur à partir des faits redoutés par le défenseur ; Une étape 130 de définition d'un vecteur gain Vga associé à chacun de ces dits objectifs en fonction d'attributs prédéfinis ; Une étape 135 de construction d'une cartographie du système analysé ; Une étape 140 de définition des scénarios en succession d'actions élémentaires du point de vue de l'agresseur permettant d'atteindre ces dits objectifs ; Une étape 150 de quantification desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AEd, avec i un indice d'une action élémentaire associé, i un entier compris entre 1 et 1, et / le nombre total d'action élémentaires en fonction d'attributs prédéfinis ; Une étape 160 de quantification des scénarios en vecteurs d'efforts Ve(S) à l'aide des vecteurs d'efforts Ve(AE;) des actions élémentaires qui les composent ; Une étape 170 de classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga calculées. En outre les étapes 150 et 170, respectivement les étapes de quantification desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AE,) et de classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga calculées sont détaillées sur ce même logigramme. En particulier, ladite étape 150 de quantification desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AEd comporte les étapes suivantes : Définition 151 de J attributs, c'est-à-dire des J critères pris en compte dans l'évaluation desdites factions élémentaires ; Définition 152 d'une échelle d'évaluation associée à chaque attribut ai et décomposée en Ki différents paliers pai(l« avec j un indice entier d'un des J attributs associé, k; un indice entier d'un des Ki paliers associé à un attribut a,. Quantification 153 desdits paliers pai(ki) associés à un attribut ai par des valeurs numériques ; Évaluation 154 desdits attributs ai par l'attribution d'une valeur numérique fonction de la quantification dudit palier pa;(k;) associé ; - Définition 155 d'un vecteur d'effort Vea;(AE;) tel que ses J coordonnées sont l'ensemble des J valeurs numériques Nai(AE;) avec Nai(AE;) la valeur numérique de l'attribut a; associé à l'action élémentaire AE;, d'où Dim(Ve4AE;)) =J. Enfin, ladite étape 170 de classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga calculées comporte plus précisément les étapes suivantes : Définition (171) d'une pondération P; à chaque attribut a;; Calcul (172) de la notation Ve(S) des n scénarios tel que : Ve (Sn )a Pi .Ve ; (Sn) . J - Bien évidemment d'autres méthodes peuvent être utilisées pour trier les scénarios telles que les méthodes d'analyses multicritères. Classement (173) des n scénarios en « zones de risques » par leur représentation sur un graphique comportant en abscisse Ve(Sn)a et en ordonnées VgQ. La figure 3 montre un logigramme de ladite étape d'analyse de risques du point de vue du défenseur selon un mode de réalisation de l'invention. En effet, ladite étape de gestion de risques (300) comporte plus précisément les étapes suivantes : Définition (310) des stratégies de gestion de risques et des contremesures associées ; Choix (320) de la stratégie et des contremesures associées à appliquer ; - Application (330) de ladite stratégie et desdites contremesures associées choisies. La figure 4 montre un logigramme de ladite étape de gestion du risque selon un mode de réalisation de l'invention. En effet, ladite étape de gestion de risques (300) comporte en particulier les étapes suivantes : Définition (310) des stratégies de gestion de risques et des contremesures associées ; - Choix (320) de la stratégie et des contremesures associées à appliquer ; - Application (330) de ladite stratégie et desdites contremesures associées choisies. La figure 5 montre un schéma des différents attributs ai et décomposée en Ki différents paliers pai(ki) selon un mode de réalisation de l'invention où j=1..4 et Ki=10. Pour les quatre attributs suivants al=temps, a2=finances, a3=risque, a4=traces il est possible de définir des échelles. Ainsi, avant d'attribuer une échelle numérique, une échelle caractérisant un degré de fonction d'utilité permet d'exprimer un niveau d'exigence des actions élémentaires. De cette manière ladite échelle comportera différents paliers relatifs à une estimation explicite et concrète. Pour l'attribut al=temps, une échelle explicite et concrète envisageable est la suivante - pal(ki) : sans importance ; pal(k2) : instantané ; pal(k3) : inférieur à la seconde , pa1(k4) : en secondes ; pal(k5) : en minutes pal(k6) : en heures ; pal(k7) : en jours ; - pal (k$) : en mois ; pal(k9) : en années ; - pal(klo) : quelques années. De même, il est possible d'attribuer une autre échelle explicite et concrète pour les autres attributs, tels que : a2=finances : - pa2(ki) : sans importance ; pa2(k2) : négligeable; pa2(k3) : en dizaines d'euros ; - pa2(k4) : en centaines d'euros ; pa2(k5) : en milliers d'euros ; pa2(k6) : en dizaines de milliers d'euros ; pa2(k7) : en centaines de milliers d'euros ; pa2(k$) : en millions d'euros ; pa2(k9) : en dizaines de millions d'euros ; - pa2(klo) : en centaines de millions d'euros. a3=risque : - pa3(ki) : sans importance ; - pa3(k2) : ciblage personne ; - pa3(k3) : ciblage entité ; pa3(k4) : perte de crédit ; pa3(k5) : perte de moyen ; pa3(k6) : impossibilité scénarios ; pa3(k7) : emprisonnement en mois ; pa3(k5) : emprisonnement en années ; pa3(k9) : en perte d'une vie ; pa3(klo) : perte de plusieurs vies. a4=traces pa4(ki) : sans importance ; pa4(k2) : recoupement possible; pa4(k3) : détectable par dispositif matériel ; - pa4(k4) : détectable par dispositif humain spécialisé ; - pa4(k5) : détectable par dispositif matériel spécialisé ; - pa4(k6) : détectable si surveillé ; pa4(k7) : détectable par personne concernée ; - pa4(k5) : détectable par curieux ; pa4(k9) : détectable par tout le monde ; pa4(klo) : détection évidente. De nombreuses modifications peuvent être apportées au mode de réalisation décrit précédemment sans sortir du cadre de l'invention. Ainsi, des étapes peuvent être ajoutées audit procédé pour en améliorer l'analyse. Par ailleurs, les attributs mentionnés ne sont pas exhaustifs de même que les paliers. En effets, il est présenté dix paliers pour quatre attributs dans un cas particulier de l'invention mais les paliers peuvent être de nombre différents, cela ne modifie pas le procédé mis en oeuvre. REVENDICATIONS1. Procédé d'analyse et de gestion de risques caractérisé en ce qu'il comporte les étapes suivantes : Définition (100) des scénarios du point de vue de l'agresseur ; Analyse de risques (200) du point de vue du défenseur ; Gestion du risque (300). 2. Procédé d'analyse et de gestion de risques, selon la revendication 1, caractérisé en ce que ladite étape de définition des scénarios du point de vue de l'agresseur comporte en particulier les étapes suivantes : Définition (110) des faits redoutés par le défenseur sur le système cible de l'analyse ; Définition (120) des objectifs des scénarios du point de vue de l'agresseur à partir des faits redoutés par le défenseur ; Définition (130) d'un vecteur gain Vga associé à chacun de ces dits objectifs en fonction d'attributs prédéfinis - Définition (140) des scénarios en succession d'actions élémentaires du point de vue de l'agresseur permettant d'atteindre ces dits objectifs ; - Quantification (150) desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AE;), avec i un indice d'une action élémentaire associé, i un entier compris entre 1 et 1, et / le nombre total d'action élémentaires en fonction d'attributs prédéfinis - Quantification (160) des scénarios en vecteurs d'efforts Ve(S) à l'aide des vecteurs d'efforts Ve(Aq des actions élémentaires qui les composent ; Classement (170) des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga calculées. 6. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 1 et 2, caractérisé en ce que ladite étape de définition (100) des scénarios du point de vue de l'agresseur comporte une étape de construction d'une cartographie (135) du système analysé. 7. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 2 et 3, caractérisé en ce que ledit vecteur gain Vga fonction d'attributs prédéfinis représente le bénéfice direct obtenu par un attaquant lorsque qu'un desdits objectifs donnés est atteint avec succès.5. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 2 à 4, caractérisé en ce que ladite étape de quantification (150) desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(Aq, comporte les étapes suivantes : - Définition (151) de J attributs, c'est-à-dire des J critères pris en compte dans l'évaluation desdites / actions élémentaires ; Définition (152) d'une échelle d'évaluation associée à chaque attribut a; et décomposée en Ki différents paliers pai(ki), avec j un indice entier d'un des J attributs associé, ki un indice entier d'un des Ki paliers associé à un attribut agi. Quantification (153) desdits paliers pa;(ki) associés à un attribut ai par des valeurs numériques ; Évaluation (154) desdits attributs ai par l'attribution d'une valeur numérique fonction de la quantification dudit palier pa;(ki) associé ; - Définition (155) d'un vecteur d'effort Vea;(AEd tel que ses J coordonnées sont l'ensemble des J valeurs numériques Nai(AEi) avec Nai(AEi) la valeur numérique de l'attribut ai associé à l'action élémentaire AEi, d'où Dim(Veai(AEû)=J. 6. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 2 à 5, caractérisé en ce que lesdits attributs a; sont les suivants : al=Temps, a2=finances, a3=moyens techniques, a4=connaissances, a5=savoir a6=faire, a7=traces et a8=risque, d'où J=8. 7. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 2 à 6, caractérisé en ce que ledit vecteur d'effort des scénarios Ve(S) est calculé en fonction des vecteurs d'efforts des actions élémentaires Ve(AEû de la manière suivante : l 'd E [1;J] ,J E IN*, Vea (S) = note (min* 1 ki E IPaK' l pQ (kj) > 1 J où :, et b'ki e [1;Kj],K] E IN*, pa (Ki)=Cardf/iE[l;I] ,IEIN*,AE, EAE(S)/Vep (AE,)= pQ (cf -1)= Gard i E [11 ,I E IN*,AE; E AE(SyVep (AE,) = kj -1}+ p (k') seuil(kj) Avec :- Vea, (S) la composante relative à un attribut ai de vecteur d'effort du scénario S, Dim(Vea (S))= J ; pafl'ensemble des paliers possibles de l'échelle d'un attribut agi, Ki le nombre de paliers sélectionnables pour l'attribut a;, - pa (ki) la valeur cumulée des actions élémentaires de coût inférieure ou égale au palier agrégées sur la base du palier ki pour l'attribut a;. 8. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 2 à 7, caractérisé en ce que l'étape (170) de classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a et Vga comporte les étapes suivantes : - Définition (171) d'une pondération Pi à chaque attribut a;; Calcul (172) de la notation Ve(S) des n scénarios tel que : Ve (sn )a = 1 P; .Ve (sn) . - Classement (173) des n scénarios en « zones de risques » par leur représentation sur un graphique comportant en abscisse Ve(Sn)a et en ordonnées Vga. 9. Procédé d'analyse et de gestion de risques, selon la revendication 8, caractérisé en ce que lesdites « zones de risques » sont les suivantes : - Risque fort ; - Risque intermédiaire ; Risque faible. 10. Procédé d'analyse et de gestion de risques, selon la revendication 1, caractérisé en ce que ladite étape d'analyse de risques (200) du point de vue du défenseur comporte en particulier les étapes suivantes : Calcul (210) du vecteur d'impact Vid pour chaque évènement redouté ; Calcul (220) de Ve(S)d du point de vue du défenseur - Classement (230) des n scénarios en « zones de risques » par leur représentation sur un graphique comportant en abscisse Ve(Sn)a et en ordonnées Vid.Classement final (240) par comparaison desdits classements en « zones de risques » selon les deux points de vue respectifs de l'agresseur et du défenseur ; 11. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 1 et 10, caractérisé en ce que ledit vecteur d'impact associé à un évènement redouté est calculé en fonction d'un vecteur de pertes et d'un vecteur de recouvrement suivant la formule : V; = Vp + Vr avec : V; le vecteur d'impact ; Vp le vecteur de pertes ; Vr le vecteur de recouvrement. 12. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 1, 10 et 11, caractérisé en ce que le calcul desdits vecteurs d'effort des scénarios du point de vue du défenseur Ve(S)d est effectué selon une méthode de calcul similaires à celle des vecteurs d'effort du point de vue de l'agresseur Ve(S)a, selon les revendications 2 à 8 mais avec des attributs ou des évaluations d'attributs pouvant être, au moins, en partie différents. 13. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 1, 10 à 12, caractérisé en ce que l'étape de classement final (240) par comparaison desdits classements en « zones de risques » selon les deux points de vue respectifs de l'agresseur et du défenseur attribut un classement final en « zones de risques » à un scénario s'il est le même selon lesdits deux points de vue, sinon un arbitrage est effectué pour en déterminer le classement. 14. Procédé d'analyse et de gestion de risques, selon la revendication 1, caractérisé en ce que ladite étape de gestion de risques (300) comporte en particulier les étapes suivantes : - Définition (310) des stratégies de gestion de risques et des contremesures associées ; - Choix (320) de la stratégie et des contremesures associées à appliquer ; - Application (330) de ladite stratégie et desdites contremesures associées choisies.15. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 1 à 14, caractérisé en ce que ladite étape de gestion de risques (300) comporte une étape d'élaboration d'un plan de veille.Revendications 1. Procédé d'analyse et de gestion caractérisé en ce qu'il comporte les étapes suivantes : - Définition et quantification des scénarios du point de vue de l'agresseur ; - Analyse de risques (200) du point de vue du défenseur ; l'étape de définition et de quantification des scénarios du point de vue de l'agresseur comportant les étapes préalables suivantes : Définition (110) des faits redoutés par le défenseur sur le système cible de l'analyse ; Définition (120) des objectifs des scénarios du point de vue de l'agresseur à partir des faits redoutés par le défenseur ; Définition (130) d'un vecteur gain Vga associé à chacun de ces dits objectifs en fonction d'attributs prédéfinis Définition (140) des scénarios en succession d'actions élémentaires du point de vue de l'agresseur permettant d'atteindre ces dits objectifs ; Quantification (150) desdites actions élémentaires constitutives des scénarios à l'aide d'un vecteur d'effort Ve(AE;), avec i un indice d'une action élémentaire associé, i un entier compris entre 1 et 1, et / le nombre total d'action élémentaires en fonction d'attributs prédéfinis, cette quantification comportant les étapes suivantes : Définition (151) de J attributs, c'est-à-dire des J critères pris en compte dans l'évaluation desdites / actions élémentaires ; Définition (152) d'une échelle d'évaluation associée à chaque attribut ai et décomposée en Ki différents paliers paM), avec j un indice entier d'un des J attributs associé, ki un indice entier d'un des Ki paliers associé à un attribut agi. Quantification (153) desdits paliers paM) associés à un attribut ai par des valeurs numériques ; Évaluation (154) desdits attributs ai par l'attribution d'une valeur numérique fonction de la quantification dudit palier pai(ki) associé ; Définition (155) d'un vecteur d'effort Veai(AE;) tel que ses J coordonnées sont l'ensemble des J valeurs numériquesNai(AEi) avec Nai(AEi ) la valeur numérique de l'attribut ai associé à l'action élémentaire AEi, d'où Dim(Veai(AE;))=J. Quantification (160) mise en oeuvre par ordinateur des scénarios en vecteurs d'efforts Ve(S) à l'aide des vecteurs d'efforts Ve(AEi) des actions élémentaires qui les composent,: caractérisé en ce que ledit vecteur d'effort des scénarios Ve(S) est calculé en fonction des vecteurs d'efforts des actions élémentaires Ve(AEi) de la manière suivante : (k; 1)= Card {d i E [1;1 I E IN*>AEi E AE(S)/Veaj (AEi- ) - k; -1}+ `~°j (k' ) Pa > > seuil(ki ) Avec : 15 - Veni(S) la composante relative à un attribut ai de vecteur d'effort du scénario S, Dim(Vea j (S))= J ; pa l'ensemble des paliers possibles de l'échelle d'un attribut ai, Ki le nombre de paliers sélectionnables pour l'attribut agi, pnj (ki) la valeur cumulée des actions élémentaires de coût inférieure ou 20 égale au palier agrégées sur la base du palier ki pour l'attribut agi. 2. Procédé d'analyse et de gestion de risques, selon l'une quelconque des revendications 2 à 7, caractérisé en ce que l'étape (170) de classement des scénarios du point de vue de l'agresseur en fonction des quantifications Ve(S)a 25 et Vga comporte les étapes suivantes : - Définition (171) d'une pondération Pi à chaque attribut ai; Calcul (172) de la notation Ve(S) des n scénarios tel que : Ve (Sn )a = E Pl .Veaj (Sn). - Classement (173) des n scénarios b'j E [VI ,J E IN*, Vea j (S) = note (min* { ki E lei k. > 11) où :, et Vki E E IN*, pnj(Ki)=Card{bit E[1;I] ,I EIN*,AE; EAE(S)/Venj(AE;)=Ki} 3. Procédé d'analyse et de gestion de risques, selon la revendication 8, caractérisé en ce que lesdites « zones de risques » sont les suivantes : Risque fort ; Risque intermédiaire ; - Risque faible. 4. Procédé d'analyse et de gestion de risques, selon la revendication 1, caractérisé en ce que ladite étape d'analyse de risques (200) du point de vue du défenseur comporte en particulier les étapes suivantes : - Calcul (210) du vecteur d'impact Vid pour chaque évènement redouté ; Calcul (220) mis en oeuvre par ordinateur des scénarios en vecteurs d'efforts Ve(S)d du point de vue du défenseur Impression graphique comportant en abscisse Ve(Sn)d et en ordonnées Vid. Classement final (240) par comparaison desdits classements en « zones de risques » selon les deux points de vue respectifs de l'agresseur et du défenseur ;