Brevet FR3038093A1 — publié le 20161230

METHODE D'EVALUATION DE LA SURETE ET DES RISQUES DE SECURITE D'UN PROCEDE INDUSTRIEL La présente invention concerne le domaine de la sûreté et de la sécurité de procédés industriels. En particulier, elle divulgue une méthode pour évaluer à la fois les risques de sûreté et les risques de sécurité d'un procédé industriel par l'utilisation 5 d'une base de connaissances de procédés industriels. Le terme « procédé industriel » fait référence à tout procédé effectué dans tout type d'industrie. La production d'énergie électrique à partir d'une centrale nucléaire, la fabrication de pneus à partir d'une machine-outil unique, la récolte de fraises et le décollage d'un avion depuis un porte-avions constituent des exemples de 10 procédés industriels. Dans la présente description, une distinction est établie entre « risques de sûreté » et « risques de sécurité » de procédés industriels. Un risque de sûreté concerne un risque accidentel, comme une défaillance d'un dispositif, tandis qu'un risque de sécurité concerne une attaque malveillante, comme une cyberattaque. 15 Des infrastructures industrielles reposent sur des systèmes de commande industrielle (ICS). Les ICS proposent les moyens nécessaires pour commander et superviser de grandes infrastructures essentielles. Leur défaillance ou leur dysfonctionnement peut engendrer des conséquences défavorables sur le système et sur son environnement, c'est pourquoi leur sûreté est prise en compte avec attention 20 depuis longtemps. Historiquement, les ICS étaient isolés et basés sur des composants simples et des normes propriétaires qui étaient complètement maîtrisées. Pour faciliter la supervision et la commande du procédé industriel et pour réduire le coût d'exploitation du système, les ICS modernes intègrent de plus en plus des technologies d'informations et de communication (ICT). Par exemple, des ICS 25 peuvent s'appuyer sur des systèmes d'informations (IS). Les IS sont des systèmes composés de personnes et d'ordinateurs traitant ou interprétant des informations. Ainsi, les ICS sont en migration vers des protocoles standardisés et en format ouvert et ils utilisent de plus en plus des produits disponibles dans le commerce (COTS). Cette tendance engendre néanmoins une plus grande complexité des ICS et 30 les expose à des cyberattaques exploitant des vulnérabilités déjà existantes dans les composants ICT. De telles attaques peuvent atteindre des composants essentiels à 3038093 2 l'intérieur du système et modifier son fonctionnement en provoquant des dangers potentiels de sûreté. Pour des procédés industriels supervisés et commandés par des ICS modernes, comme SCADA (commande de supervision et acquisition de données), les risques de 5 sûreté et de sécurité convergent et peuvent avoir des interactions réciproques. Une analyse de risques conjointe couvrant à la fois les aspects de sûreté et de sécurité est devenue cruciale et elle conditionne une gestion de risques optimale ainsi qu'une optimisation des ressources. Plusieurs approches ont été proposées pour traiter séparément les risques de 10 sûreté ou les risques de sécurité, mais il n'y a que quelques approchés qui traitent conjointement les risques de sûreté et de sécurité. Parmi ces quelques approches, on trouve des approches génériques. Ces approches génériques s'appuient sur des exigences, généralement spécifiées dans des normes comme ISO/CEI 15026 ou ISO/CEI 27005, qui sont prises en compte lors de 15 la conception et de l'exploitation de procédés industriels. Des risques de sûreté et de sécurité sont ainsi évalués en vérifiant si ces exigences sont remplies. Ces vérifications sont traitées manuellement par des ingénieurs et des experts en sûreté/sécurité, ce qui prend beaucoup de temps et ce qui est très coûteux. En outre, ces approches génériques sont plus efficaces pour la phase de conception des 20 procédés industriels, mais pas forcément pour la phase d'exploitation à long terme des procédés industriels. Des approches basées sur des modèles ont également été proposées. Ces approches basées sur des modèles s'appuient sur une représentation formelle ou semi-formelle de procédés industriels. Chaque approche parmi les quelques 25 approches basées sur des modèles proposés pour l'évaluation à la fois des risques de sûreté et de sécurité nécessite qu'un analyste dédié construise manuellement un modèle correspondant au procédé industriel. En particulier, l'analyste doit interpréter le procédé industriel, sur la base de sa compréhension du système et de ses risques associés, pour construire 30 manuellement un modèle pouvant être traité par des outils de quantification. Cela nécessite donc un travail fastidieux de la part de l'analyste, ce qui prend également beaucoup de temps et ce qui est très coûteux. En outre, l'analyste doit reconstruire manuellement le modèle chaque fois que le procédé industriel change. 3038093 3 Pour répondre à ces besoins, un premier aspect de l'invention concerne une méthode mise en oeuvre par ordinateur pour l'évaluation de risques de sécurité d'une architecture industrielle, comprenant : une étape préliminaire de : - construction d'une base de connaissances décrivant des risques industriels associés à des procédés industriels respectifs d'exploitation de ladite architecture industrielle, et des étapes courantes de : - réception, en entrée, d'une description d'un procédé industriel, - utilisation de ladite base de données pour évaluer un risque associé au dit procédé industriel, et - fourniture, en sortie, de données d'évaluation dudit risque, dans laquelle ladite base de connaissances comprend des données de fonction pour calculer des scores de risques industriels associés à la fois à : - des scénarios d'attaque de ladite architecture industrielle, et - des procédés industriels d'exploitation de ladite architecture industrielle, de manière à fournir, en sortie, des données d'une liste classée de scores d'évaluation de risques associés à des scénarios d'attaque à l'intérieur de procédés industriels d'exploitation de ladite architecture industrielle. Le terme « procédé industriel d'exploitation » n'est pas limité à une exploitation spécifique d'une structure. Au lieu de cela, il fait référence à tout procédé dans tout domaine d'application. Comme cela a été susmentionné, la production d'énergie électrique à partir d'une centrale nucléaire, la fabrication de pneus à partir d'une machine-outil unique, la récolte de fraises et le décollage d'un avion depuis un porte-avions constituent des exemples de procédés industriels d'exploitation. Le terme « architecture industrielle » fait référence à une méta-architecture virtuelle couvrant une pluralité de procédés industriels réels possibles. L'architecture industrielle est ainsi définie par la pluralité de procédés industriels compris dans la 30 base de connaissances et couverts par ladite architecture industrielle. Par exemple, la base de connaissances peut couvrir la méta-architecture industrielle virtuelle de production d'énergie. Dans ce cas, l'architecture industrielle est définie par tous les procédés industriels de production d'électricité couverts par la 3038093 4 base de connaissances (par exemple par une centrale nucléaire, un panneau solaire, une éolienne, etc.). Dans un mode de réalisation, l'architecture industrielle n'est pas limitée et elle couvre tous les procédés industriels existants. Puisque la base de connaissances est apte à évaluer des risques industriels par 5 la réception d'une description d'un procédé industriel en entrée, la méthode peut être facilement mise en oeuvre, même par un opérateur qui ignore le fonctionnement d'outils de quantification complexes. Le préambule de la revendication un fait référence à une méthode d'évaluation de risques de sécurité. Néanmoins, dans ce préambule de la revendication un, il faut bien comprendre que les « risques de 10 sécurité » signifient à la fois des risques de sûreté et/ou de sécurité comme cela a été précédemment défmi dans l'introduction de la présente description. En outre, la méthode permet une modélisation formelle du procédé industriel, ainsi que des attaques et des modes de défaillance qui lui sont associés, grâce à la base de connaissances. Le modèle généré est ensuite traité, ce qui engendre une 15 analyse qualitative et quantitative de risques. Il facilite les analyses de risques pour les ingénieurs et les non-experts puisqu'il génère automatiquement des scénarios d'attaques et de défauts/défaillances à l'origine d'un événement indésirable donné. L'automatisation de la génération de scénarios de risques facilite la modélisation de différentes hypothèses sur la même architecture de système. Il suffit d'ajouter ces 20 changements en intégrant de nouvelles entrées (sans avoir à recommencer depuis le début). Enfm, la méthode propose une approche robuste puisque l'architecture de système peut être directement et facilement modifiée et de nouveaux scénarios de risques peuvent être à nouveau générés. Dans un mode de réalisation, la méthode comprend l'utilisation de ladite base 25 de connaissances pour : - calculer d'éventuelles défaillances aléatoires en raison de procédés d'exploitation normaux de manière à évaluer des risques de sûreté, et calculer des défaillances en raison d'attaques de ladite architecture industrielle de manière à évaluer des risques de sécurité, - fournir un modèle de gestion de risques de sûreté et de sécurité, et évaluer des conflits entre la gestion de sûreté et la gestion de sécurité, 3038093 5 - délivrer des données d'aide à la prise de décision sur la base de ladite évaluation de conflits pour aider un utilisateur en matière de prise de risque dans l'exploitation de ladite architecture industrielle. Un outil efficace pour améliorer des mesures de sûreté et de sécurité est ainsi 5 fourni. En particulier, l'interaction réciproque et la convergence des risques de sûreté et de sécurité sont prises en compte. Dans un autre mode de réalisation, l'attaque prise en compte par la base de connaissances est une cyberattaque. Ainsi, l'usage croissant des ICT dans des procédés industriels est pris en compte pour évaluer ce type de nouveaux problèmes 10 de sécurité. Dans un mode de réalisation, des données en entrée sont utilisées pour modéliser une architecture d'informations dans un réseau d'entreprise. En variante ou en combinaison, lesdites données en entrée sont utilisées pour modéliser une architecture de commande d'un réseau de supervision et de commande, et/ou d'un 15 réseau de procédé et de terrain. Le terme « réseau d'entreprise » fait référence à tout réseau utilisé par au moins un opérateur d'une entreprise. En particulier, il fait référence à un réseau utilisé par des opérateurs d'une entité responsable du procédé industriel. Tous les types de réseaux impliqués dans le procédé industriel peuvent être modélisés et le 20 modèle généré peut représenter complètement des entités impliquées dans le procédé industriel. Dans un mode de réalisation, la description du procédé industriel reçue en entrée comprend une description d'au moins un composant compris dans le procédé industriel. Ainsi, les compétences des opérateurs chargés de l'évaluation des risques 25 du procédé industriel peuvent être limitées à une connaissance complète du procédé industriel. En effet, la base de connaissances permet de construire un modèle à partir de la seule description de composants du procédé industriel, ce qui limite les compétences analytiques et de modélisation de l'opérateur au minimum. Le terme « composant » fait référence à toute entité physique ou non 30 physique comprise dans le procédé industriel ou reliée à celui-ci. Un poste de travail, un serveur, un processeur, un capteur, un actionneur, un réseau sans fil, un canal de signalisation, un port Ethernet, la qualification d'un intervenant, une localisation d'un dispositif impliqué dans le procédé industriel ou un risque spécifique relatif à un 3038093 6 dispositif impliqué dans le procédé industriel constituent des exemples de composants compris dans le procédé industriel. La description du composant comprend généralement un identifiant du composant ainsi que des paramètres et/ou des caractéristiques attachés à ce composant. 5 Dans un autre mode de réalisation, l'étape de la réception en entrée de la description du procédé industriel comprend : ^ affichage d'une interface graphique comprenant un élément graphique correspondant au composant compris dans le procédé industriel ; et ^ sur détection d'une sélection de l'élément graphique, la réception en entrée 10 de la description du composant. L'utilisation d'éléments graphiques pour recevoir une entrée de l'opérateur facilite davantage l'utilisation de la base de connaissances pour évaluer des risques. Dans un mode de réalisation, le procédé industriel comprend un système d'information, et l'étape de la réception en entrée de la description du procédé 15 industriel comprend : ^ analyse du système d'information pour détecter le composant compris dans le procédé industriel ; et ^ sur détection du composant compris dans le système d'information, l'extraction d'une description du composant à partir du système d'information pour 20 recevoir en entrée ladite description extraite du composant. Le terme « système d'information » fait référence à tout système composé de personnes et d'ordinateurs qui traite ou interprète des informations relatives au procédé industriel. Un système de gestion de relation client (CRM), un système de commande industrielle (ICS), une base de données de paramètres, une planification 25 dé ressources d'entreprise (ERP), un moteur de recherche, un réseau Ethernet, ou un système d'information géographique dans un circuit intégré constituent des exemples de systèmes d'information. Ainsi, les ressources humaines nécessaires pour évaluer des risques relatifs à un procédé industriel sont très limitées. En effet, la méthode permet l'extraction des 30 données nécessaires à la base de connaissances pour évaluer les risques. De cette manière, la tâche des opérateurs humains est réduite au contrôle des composants entrés automatiquement et, si nécessaire, à l'ajout de composants manquants. 3038093 7 Dans un mode de réalisation, une description d'une pluralité de composants compris dans le procédé industriel est reçue en entrée, ladite pluralité de composants constituant le procédé industriel. Ainsi, la tâche de l'opérateur est limitée à l'entrée des composants. 5 Dans un autre mode de réalisation, la base de connaissances comprend un bloc logiciel exécutant un programme orienté objet comprenant une pluralité de classes, au moins une classe de ladite pluralité de classes correspondant à un composant de l'architecture industrielle. Dans ce mode de réalisation, l'étape de l'utilisation de ladite base de données pour évaluer un risque relatif au dit procédé 10 industriel comprend en outre ^ instanciation d'au moins un objet à partir de ladite classe en fonction de la description du composant reçu en entrée ; ^ construction d'un modèle textuel à partir dudit au moins un objet. Comme cela a été expliqué ci-dessus, l'architecture industrielle est une méta- 15 architecture virtuelle couvrant plusieurs procédés industriels possibles. L'architecture industrielle comprend généralement un grand nombre de composants disponibles qui peuvent être utilisés dans un procédé industriel couvert par l'architecture industrielle. Dans ce mode de réalisation, des composants de l'architecture industrielle correspondent à des classes, au sens de la programmation orientée objet. 20 Dans la programmation orientée objet, une classe est un modèle programme- code extensible destiné à créer des objets en fournissant des valeurs initiales d'état (variables de membres) et des mises en oeuvre de comportement (fonctions ou méthodes de membres). Une classe peut être comparée à un moule qui, lorsqu'il est rempli, donne un objet ayant la forme du moule avec toutes ses caractéristiques. Par 25 conséquent, lorsque l'opérateur indique une description d'un composant compris dans le procédé industriel, la base de connaissance appelle la classe correspondant au composant et instancié un objet sur la base de la description du composant. Des propriétés de la programmation orientée objet sont particulièrement pertinentes pour cette méthode. En particulier, l'héritage permet de modifier 30 dynamiquement le modèle textuel en ajoutant des objets d'une manière simplifiée. En effet, lors de l'ajout d'un composant, comme un nouveau port dans un serveur, un nouvel objet peut être facilement instancié en appelant directement la sous-classe appropriée qui hérite de la classe parent utilisée pour instancier l'objet correspondant 3038093 8 au serveur. En outre, le mécanisme d'héritage permet de structurer facilement les connaissances et d'éviter les redondances. Ainsi, ce mode de réalisation propose une approche robuste puisque le modèle correspondant au procédé industriel peut être directement et facilement 5 modifié et de nouveaux scénarios de risques peuvent être générés à nouveau d'une manière dynamique. Dans un autre mode de réalisation, la liste classée de scores d'évaluation de risques est fournie par l'application d'un outil de quantification au modèle textuel, ledit outil de quantification comprenant au moins un élément parmi un outil de 10 simulation de Monte-Carlo et un outil de méthode de Markov. Ainsi, des outils efficaces sont utilisés pour obtenir la liste classée de scores. Un deuxième aspect de l'invention concerne un produit de programme informatique enregistré sur un support de mémorisation et exécutable par un ordinateur sous la forme d'un logiciel comprenant au moins un module logiciel 15 configuré pour mettre en oeuvre la méthode selon le premier aspect de l'invention. Un troisième aspect de l'invention concerne un dispositif informatique comprenant un circuit de traitement comprenant une unité de mémoire mémorisant un programme informatique pour effectuer la méthode selon le premier aspect de l'invention. 20 Un quatrième aspect de l'invention concerne un dispositif pour évaluer des risques d'une architecture industrielle, comprenant : - un processeur apte à effectuer : - une étape préliminaire de construction d'une base de connaissances décrivant des risques industriels associés à des procédés industriels respectifs 25 d'exploitation de ladite architecture industrielle ; - des étapes courantes de : - réception, en entrée, d'une description d'un procédé industriel, - utilisation de ladite base de données pour évaluer un risque associé au dit procédé industriel, et 30 - fourniture, en sortie, de données d'évaluation dudit risque, - une mémoire pour mémoriser la base de connaissances, ladite base de connaissances comprenant des données de fonction pour calculer des scores de risques industriels associés à la fois à des scénarios d'attaque de ladite architecture 3038093 9 industrielle, et des procédés industriels d'exploitation de ladite architecture industrielle, de manière à fournir, en sortie, des données d'une liste classée de scores d'évaluation de risques associés à des scénarios d'attaque à l'intérieur de procédés 5 industriels d'exploitation de ladite architecture industrielle. La présente invention est illustrée à titre d'exemple, et non pas à titre de limitation, sur les figures des dessins annexés, sur lesquels des numéros de référence similaires renvoient à des éléments similaires et sur lesquels : - la figure 1 représente un contexte d'utilisation de la présente invention selon 10 un mode de réalisation de la présente invention ; - la figure 2 représente un organigramme des étapes d'une méthode selon un mode de réalisation de l'invention ; - la figure 3 représente une vue d'ensemble d'un bloc logiciel compris dans la base de connaissances selon un mode de réalisation de l'invention ; 15 - la figure 4 représente une illustration de composants d'un procédé industriel pour lequel des risques sont évalués, selon un mode de réalisation de l'invention ; - la figure 5 représente un dispositif de mise en oeuvre de l'invention selon un mode de réalisation de l'invention. L'invention est décrite ci-après dans son application de l'évaluation de 20 risques dans le domaine de la production d'énergie. Néanmoins, l'invention n'est pas limitée à cette application et elle peut facilement être appliquée à d'autres domaines/secteurs d'activités, comme la fabrication de biens, la logistique, l'agriculture, l'armée, etc. La figure 1 illustre, selon un mode de réalisation de l'invention, une centrale 25 nucléaire 1 comprenant un serveur 3, un ordinateur 4 et un actionneur 5 reliés par un réseau interne, comme un système de commande industrielle (ICS). Dans ce mode de réalisation, la centrale 1 est utilisée pour exploiter un procédé industriel et le serveur 3, l'ordinateur 4 et l'actionneur 5 sont des composants de ce procédé industriel. Les composants 3, 4 et 5 sont également reliés à un réseau externe 6, comme l'Internet. 30 Un dispositif 2, décrit ci-après en référence à la figure 5, est utilisé par un opérateur pour évaluer des risques du procédé industriel exploité par la centrale 1, comme cela est détaillé ci-après en référence aux étapes 9 à 14 de la figure 2 en particulier. 3038093 10 La figure 2 est un organigramme décrivant des étapes de la méthode pour évaluer des risques du procédé industriel selon un mode de réalisation de l'invention, Une étape préliminaire 8 de construction d'une base de connaissances décrivant des risques industriels associés à des procédés industriels respectifs 5 d'exploitation d'une architecture industrielle est traitée par un développeur 7. Comme cela a été susmentionné, l'architecture industrielle est une méta-architecture virtuelle couvrant une pluralité de procédés industriels réels possibles. Dans le présent exemple de l'industrie de production d'énergie, l'architecture industrielle comprend tous les procédés industriels possibles relatifs à la production 10 d'énergie. Par conséquent, la base de connaissances est apte à couvrir la production d'électricité par une centrale nucléaire, la maintenance d'un barrage, l'installation d'une nouvelle ligne d'électricité, etc. Dans cet exemple, la base de connaissances est ainsi capable de traiter tous les types de composants pouvant être utilisés ou concernant la production d'énergie. 15 Comme cela va être détaillé ci-après, un objectif de la base de connaissances est de construire un modèle compréhensible par des outils de quantification à partir d'une description du procédé industriel. Pour cela, la base de connaissances doit être apte à identifier des composants et à les ajouter au modèle. Dans un mode de réalisation, la base de connaissances comprend un bloc 20 logiciel exécutant un programme orienté objet comprenant une pluralité de classes, au moins une classe de ladite pluralité de classes correspondant à un composant de l'architecture industrielle. Le bloc logiciel est généralement compris dans un programme logiciel apte à exécuter la méthode selon l'invention. Le bloc logiciel peut également être le programme logiciel complet. 25 Typiquement, un langage orienté objet pouvant être utilisé pour le bloc logiciel est le langage FIGARO. FIGARO permet la représentation de modèles stochastiques avec des états discrets et une échelle de temps continue grâce à deux types de règles : les règles d'occurrence et d'interaction (décrites ci-après). Dans la base de connaissances, FIGARO est utilisé pour modéliser les différents composants 30 du système. La figure 3 représente une vue d'ensemble de classes possibles comprises dans la base de connaissances, dans un mode de réalisation de l'invention. Cette 3038093 11 figure décrit des composants de l'architecture industrielle, leurs attributs associés ainsi que les attaques et les défaillances possibles sur chaque composant. Une brève description des classes impliquées dans la figure 3 est donnée ci-après. La figure 3 représente un exemple de classes comprises dans une architecture 5 industrielle qui est plus élargie que l'architecture industrielle dans le domaine de la production d'énergie. Pour cette base de connaissances, il est ci-après supposé que différentes machines (physical_cpt) sont reliées à un réseau (network_zone) et hébergent différents services (software_cpt). Des composants logiciels échangent différents flux de données (data_flow) et peuvent héberger certaines vulnérabilités 10 (vulnerabilite) qui peuvent être exploitées par un assaillant (assaillant). Des précisions concernant d'autres hypothèses faites pour cette base de connaissances sont également données après la liste suivante de classes. - Classe « composant » : la super classe composant modélise un composant qui peut tomber en panne accidentellement ou qui peut être compromis par un 15 assaillant La classe composant comporte deux types d'événements de risques : le premier est une défaillance accidentelle qui modélise une défaillance accidentelle d'un composant pouvant survenir aléatoirement ; le deuxième est une étape d'attaque appelée accès. L'élément booléen « physical_access » est initialement réglé à VRAI ou FAUX selon qu'il est possible ou non d'accéder physiquement au composant. Si 20 l'élément physical_access est réglé à VRAI, l'étape d'attaque d'accès peut survenir avec un taux de danger constant lambda et le composant est compromis. Les éléments booléens « echec » et « compromised_host » modélisent respectivement le fait que le composant est défaillant et le fait que le composant est compromis par un assaillant. 25 Les deux classes héritant des caractéristiques de cette classe sont « network_zone » et « physical_cpt ». - Classe « network_zone » : la classe network_zone modélise un ensemble de machines reliées l'une à l'autre en utilisant des technologies filaires ou sans fil. La classe network_zone prend le contrôle de l'étape d'attaque d'accès pour la 30 conditionner à la détermination si le réseau est filaire et peut être accédé physiquement par l'assaillant ou s'il est sans fil et sans mécanisme d'authentification. Pour les réseaux sans fil, l'attaque de brouillage peut survenir aléatoirement. Des règles d'interaction, expliquées ci-après, propagent l'effet d'indisponibilité pour des 3038093 12 données envoyées par des éléments reliés au réseau, en cas de défaillance de réseau ou d'attaques de brouillage. - Classe « physical_cpt » : une distinction est établie dans cette base de connaissances entre les composants physiques (physical_cpt) qui représentent les 5 machines dans le réseau et les composants logiciels (software_cpt) s'exécutant sur ces machines. Cette relation est modélisée par la classe « link_machine_soft ». Un composant physique appartient à une zone de réseau et peut héberger un composant logiciel ou de nombreux composants logiciels. Les règles d'interaction modélisent le fait que, lorsqu'un composant physique 10 physical_cpt est compromis, alors tous les composants logiciels s'exécutant sur celui-ci sont également compromis, et lorsqu'un composant logiciel software_cpt est défaillant, alors toutes les données envoyées depuis ses composants logiciels hébergés ne sont pas disponibles. - Classe « software_cpt » : cette classe modélise un composant logiciel 15 s'exécutant sur un hôte donné, par exemple des applications client-serveur. Un composant logiciel software_cpt peut envoyer et recevoir des données à partir d'autres composants logiciels. L'interface de données modélise une donnée de sortie output_data du composant logiciel software_cpt. Il est supposé, pour cette base de connaissances, qu'un logiciel ne peut pas 20 être défaillant. Il peut néanmoins être altéré par un assaillant (compromised_software). - Classe « data_flow » : cette classe modélise un flux de données entre deux composants logiciels. Dans cette base de connaissances, des données peuvent être soit fausses soit indisponibles. 25 - La classe « IT_sys_cpt » modélise une machine généralement utilisée à des niveaux élevés de l'architecture d'information de système et fournissant des fonctionnalités évoluées. Cette machine exécute un système d'exploitation donné qui peut être Windows ou Linux dans cette base de connaissances. L'attribut « privilege » modélise le privilège par défaut dont l'utilisateur légitime dispose sur sa 30 machine. « Vuln_configuration » modélise une vulnérabilité provoquée par une mauvaise configuration de la machine. Un assaillant peut exploiter une telle vulnérabilité, si elle existe, pour obtenir des privilèges racine (ou root, en anglais) sur la machine (privilege_escalation_attack). 3038093 13 - La classe « vulnerabilite » modélise une vulnérabilité associée au logiciel IT (pour technologies de l'information, ou « Information Technology » en anglais), qui peut avoir les conséquences suivantes : élévation des privilèges, perte de confidentialité, perte d'intégrité ou refus de service. 5 - La classe « IT_soft_cpt » modélise un composant logiciel s'exécutant sur une machine IT_sys_cpt. Un composant logiciel informatique peut avoir de nombreuses vulnérabilités ou aucune vulnérabilité. Quatre étapes d'attaques génériques sont associées à cette classe pour modéliser des vulnérabilités d'exploitation avec les quatre conséquences possibles d'une vulnérabilité. Des règles 10 d'interaction propagent l'effet d'altération de données en cas d'élévation des privilèges ou de perte d'intégrité et l'effet d'indisponibilité de données en cas de refus de service. - La classe « assaillant » modélise un assaillant qui se trouve initialement sur une machine physique. Cette machine constitue donc un hôte compromis. 15 Pour la construction de cette base de données, les hypothèses suivantes ont été adoptées. - Il est établi une distinction entre des machines physiques et des composants logiciels s'exécutant sur celles-ci. Cette hypothèse permet d'avoir un niveau suffisant de détails dans lequel des défaillances et des attaques, comme d'accès physique, sont 20 associées aux machines physiques et des cyberattaques exploitant des vulnérabilités sont associées au composant logiciel qui héberge une vulnérabilité spécifique. - Il est dit qu'une machine physique est compromise si un assaillant parvient à obtenir des privilèges racine sur celle-ci. Si tel est le cas, il peut compromettre tous les composants logiciels s'exécutant sur cette machine. Cette hypothèse est assez 25 crédible puisque le fait qu'un logiciel soit compromis sur cette machine ne signifie pas que l'assaillant peut compromettre tous les autres services à moins d'être parvenu à obtenir des privilèges racine. - Une vulnérabilité peut être associée à un composant logiciel ou à une machine physique. Si elle est associée à une machine physique, la vulnérabilité 30 modélise une mauvaise configuration de machine (par exemple des fichiers système qui ne sont pas protégés en écriture) qui est censée permettre une élévation des privilèges lorsqu'elle est exploitée par un assaillant. 3038093 14 - Pour les réseaux de niveau IT, comme un réseau d'entreprise, l'accent est mis sur la propagation d'attaque (plusieurs étages, plusieurs sauts) entre différentes machines de niveau IT jusqu'à ce qu'un composant ayant une action de commande sur le procédé soit atteint. Lorsque le réseau de commande est atteint, l'accent est 5 mis sur l'intégrité/disponibilité de données (fausses/indisponibles) puisque la modification ou l'indisponibilité constitue généralement la raison principale engendrant des événements indésirables. Ainsi, la base de connaissances peut être considérée comme un langage spécifique au domaine permettant de décrire les composants types d'infrastructures 10 industrielles numériques et les attributs de sécurité associés (authentification, contrôle d'accès, redondance). Chaque composant est associé aux attaques et aux modes de défaillance pouvant survenir sur celui-ci. La base de connaissances comprend deux types de règles, à savoir les règles d'occurrence et les règles d'interaction (également appelées « règles de 15 l'interaction »). Les règles d'occurrence spécifient les attaques et les dysfonctionnements pouvant survenir sur chaque type de composant de l'architecture. Un exemple de règle pour une instance associée à une machine comprise dans le procédé industriel est présenté ci-après : GROUP groupe simu IF ((access OR ITEXISTS x A hostedsof~ware SUCE THAT compromised tware( OR IT EXISTS r A n twcrk SUCE_TRAT ccmpromise st(y)) AND privilege=iuser' AND vuln_configpra MAY OCCUR FAULT privilege e-calation DIST EXP(0.001) 20 INDUCING privilege REVENDICATIONS1. Méthode mise en oeuvre par ordinateur pour l'évaluation de risques de sécurité d'une architecture industrielle, comprenant 5 une étape préliminaire (8) de - construction d'une base de connaissances décrivant des risques industriels associés à des procédés industriels respectifs d'exploitation de ladite architecture industrielle, et des étapes courantes de : - réception (9), en entrée, d'une description d'un procédé industriel, 10 - utilisation de ladite base de données pour évaluer (13) un risque associé au dit procédé industriel, et - fourniture (14), en sortie, de données d'évaluation dudit risque, dans laquelle ladite base de connaissances comprend des données de fonction pour calculer des scores de risques industriels associés : 15 - à des scénarios d'attaque de ladite architecture industrielle, et - à des procédés industriels d'exploitation de ladite architecture industrielle, de manière à fournir, en sortie, des données d'une liste classée de scores d'évaluation de risques associés à des scénarios d'attaque à l'intérieur de procédés industriels d'exploitation de ladite architecture industrielle. 20 2. Méthode selon la revendication 1, comprenant l'utilisation de ladite base de connaissances pour : - calculer d'éventuelles défaillances aléatoires en raison de procédés d'exploitation normaux de manière à évaluer des risques de sûreté, et calculer des défaillances en 25 raison d'attaques de ladite architecture industrielle de manière à évaluer des risques de sécurité, - fournir un modèle de gestion de risques de sûreté et de sécurité, et évaluer des conflits entre la gestion de sûreté et la gestion de sécurité, - délivrer des données d'aide à la prise de décision sur la base de ladite évaluation de 30 conflits pour aider un utilisateur en matière de prise de risque dans l'exploitation de ladite architecture industrielle. 3038093 24 3. Méthode selon l'une quelconque des revendications 1 et 2, dans laquelle ladite attaque est une cyberattaque. 4. Méthode selon l'une quelconque des revendications précédentes, dans laquelle 5 lesdites données en entrée sont utilisées pour modéliser une architecture d'informations dans un réseau d'entreprise. 5. Méthode selon l'une quelconque des revendications 1 à 3, dans laquelle lesdites données en entrée sont utilisées pour modéliser une architecture de commande d'un 10 réseau de supervision et de commande et/ou un réseau de procédé et de terrain. 6. Méthode selon l'une quelconque des revendications précédentes, dans laquelle la description du procédé industriel reçue en entrée comprend une description d'au moins un composant (3, 4, 5, 15, 16, 17) compris dans le procédé industriel. 15 7. Méthode selon la revendication 6, dans laquelle l'étape de la réception en entrée de la description du procédé industriel comprend : ^ affichage (10) d'une interface graphique comprenant un élément graphique correspondant au composant compris dans le procédé industriel ; et 20 ^ sur détection d'une sélection de l'élément graphique, réception en entrée de la description du composant. 8. Méthode selon la revendication 6, dans laquelle le procédé industriel comprend un système d'information, et 25 dans laquelle l'étape de la réception en entrée de la description du procédé industriel comprend : ^ analyse (10) du système d'information pour détecter le composant compris dans le procédé industriel ; et ^ sur détection du composant compris dans le système d'information, extraction 30 d'une description du composant à partir du système d'information pour recevoir en entrée ladite description extraite du composant. 3038093 25 9. Méthode selon l'une quelconque des revendications 6 à 8, dans laquelle une description d'une pluralité de composants compris dans le procédé industriel est reçue en entrée, ladite pluralité de composants constituant le procédé industriel. 10. Méthode selon l'une quelconque des revendications précédentes, dans laquelle la base de connaissances comprend un bloc logiciel exécutant un programme orienté objet comprenant une pluralité de classes, au moins une classe de ladite pluralité de classes correspondant à un composant de l'architecture industrielle, et dans laquelle l'utilisation de ladite base de données pour évaluer un risque relatif au dit procédé industriel comprend en outre : ^ instanciation d'au moins un objet à partir de ladite classe en fonction de la description du composant reçu en entrée ; ^ construction (11) d'un modèle textuel à partir dudit au moins un objet. 11. Méthode selon la revendication 10, dans laquelle la liste classée de scores d'évaluation de risques est fournie par l'application d'un outil de quantification au modèle textuel, ledit outil de quantification comprenant au moins un élément parmi un outil de simulation de Monte-Carlo et un outil de méthode de Markov. 12. Produit programme informatique enregistré sur un support de mémorisation et exécutable par un ordinateur sous la forme d'un logiciel comprenant au moins un module logiciel configuré pour mettre en oeuvre la méthode selon l'une quelconque des revendications 1 à 11. 13. Dispositif informatique (2) comprenant un circuit de traitement comprenant une unité de mémoire mémorisant un programme informatique pour effectuer la méthode selon l'une quelconque des revendications 1 à 11. 25