Constellation, le dépôt institutionnel de l'Université du Québec à Chicoutimi

Résumé

Les organisations dépendent fortement des systèmes d’information pour soutenir leurs activités, mais cette dépendance les expose à des cybermenaces susceptibles d’entraîner des perturbations importantes sur les plans opérationnel, financier et stratégique. Pour faire face à ces menaces, plusieurs cadres normatifs existent en matière de gestion des incidents, d’investigation numérique, d’évaluation des risques et de gouvernance, mais ces cadres sont généralement conçus de façon indépendante, avec leur propre terminologie et leurs propres structures conceptuelles. Cette fragmentation complique l’intégration des connaissances entre ces domaines et limite la capacité à soutenir un raisonnement unifié, et peut engendrer des angles morts lors de la prise de décision.

Les ontologies constituent une approche reconnue pour répondre à ce type de problème, en permettant de formaliser explicitement les concepts d’un domaine ainsi que les relations qui les unissent, et en facilitant ainsi l’interopérabilité sémantique entre cadres hétérogènes. Plusieurs travaux ont déjà proposé des ontologies en cybersécurité, notamment orientées vers le renseignement sur les menaces (par exemple STIX) ou vers les artefacts d’investigation numérique (par exemple UCO), mais ces approches couvrent généralement un domaine spécifique sans intégrer explicitement la gestion des risques ou la gouvernance dans un même cadre sémantique.

Ce mémoire présente comme contribution principale une ontologie intégrée de cybersécurité visant à relier ces différents domaines au sein d’un cadre commun de représentation des connaissances. L’ontologie s’appuie sur un référentiel d’ancrage construit à partir de la norme ISO/IEC 27035, retenue pour son rôle central dans la gestion des incidents et ses liens explicites avec ISO/IEC 27001, et étendu par des correspondances ontologiques vers des concepts issus de la sécurité de l’information, de la gestion des risques, des investigations numériques et de la gouvernance. Elle formalise les relations entre les menaces, les vulnérabilités, les incidents, les preuves numériques, les risques, les contrôles de sécurité et les décisions de gouvernance. Afin de valider l’ontologie proposée, un scénario de cyberattaque a été simulé puis utilisé pour instancier ses concepts et relations. La validation a consisté à évaluer la capacité de l’ontologie à répondre à des questions de compétence mobilisant des connaissances inter-domaines, et à inférer de nouvelles connaissances au moyen d’un raisonneur.

Les résultats montrent que l’ontologie permet de répondre à l’ensemble des questions de compétence définies et que son raisonnement automatique confirme l’absence d’incohérence logique, constituant un cadre de représentation des connaissances pour soutenir une gestion plus intégrée de la cybersécurité organisationnelle.