Apport de l'utilisation de la fouille de processus pour améliorer la sécurité des SI

HAL Id: hal-01589600

https://hal.archives-ouvertes.fr/hal-01589600

Submitted on 18 Sep 2017

HAL is a multi-disciplinary open access archive for the deposit and dissemination of sci- entific research documents, whether they are pub- lished or not. The documents may come from teaching and research institutions in France or abroad, or from public or private research centers.

L’archive ouverte pluridisciplinaire HAL, est destinée au dépôt et à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d’enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

Apport de l’utilisation de la fouille de processus pour améliorer la sécurité des SI

Ronan Champagnat, Mourad Rabah

To cite this version:

Ronan Champagnat, Mourad Rabah. Apport de l’utilisation de la fouille de processus pour améliorer

la sécurité des SI. INFORSID (INFormatique des ORganisations et Systèmes d’Information et de

Décision) 2017, May 2017, Toulouse, France. �hal-01589600�

processus pour améliorer la sécurité des SI

Ronan Champagnat

, Mourad Rabah

Laboratoire L3i, Université de La Rochelle

Avenue Michel Crépeau - 17042 La Rochelle Cedex 1 - France {ronan.champagnat,mourad.rabah}@univ-lr.fr

RÉSUMÉ.

Dans cet article, nous étudions les apports de la fouille de processus pour la sécurité des SI. La fouille de processus est la discipline qui analyse les traces recueillies dans le SI pour en déduire le modèle des processus. Nous nous intéressons plus particulièrement aux SI qui intègrent des dispositifs mobiles producteurs et consommateurs de données pour lesquels les processus métiers évoluent.

ABSTRACT.

This article deals with the contributions of process mining to Information System security. The process mining analyzes the traces collected into the IS to derive the observed process model. We are particularly interested in information systems that integrate mobile de- vices producing and consuming data that make evolve the business processes.

MOTS-CLÉS :

Fouille de processus, politique d’accès aux données, sécurité des SI

KEYWORDS:

Process mining, data access policy, IS security

1. Introduction

Le système d’information représente l’ensemble de ressources et d’outils permet- tant d’organiser et de donner accès à l’information d’une organisation. Il est vu comme un système socio-technique incluant à la fois la structure organisationnelle, les pro- cessus métier ainsi que les données afférentes (Piccoli, 2007). La structure organisa- tionnelle représente les règles de répartition de l’autorité, des tâches, de contrôle et de coordination. Elle permet notamment de définir les différents acteurs du SI, leurs rôles et leurs droits. Les processus métier représentent les activités ou les enchaîne- ments d’activités relatives aux affaires de l’organisation concernée. Ces processus et activités consomment et produisent des données gérées par le SI. Un processus peut correspondre à un assemblage de traitements réalisés par un opérateur humain ou par appel de services extérieurs, tels que les services web, consommés durant le proces- sus. De plus, dans certains contextes, les processus utilisent des données collectées par des sources variées (équipements, humains, capteurs...) et depuis différents supports.

INFORSID 2017 – Sécurité des SI : technologies et personnes (2e édition)

2 INFORSID 2017 – Sécurité des SI : technologies et personnes (2e édition)

De par la nature sensible des données qui s’y trouvent, la sécurité du SI revêt un as- pect de plus en plus critique et prioritaire. La norme ISO/CEI 27001 (ISO/IEC 27001, 2013) définit la sécurité des SI comme la combinaison de 3 propriétés : disponibilité, intégrité et confidentialité (Laprie et al., 2004). Elle touche à la fois aux données, aux processus mais aussi aux acteurs intervenant dans les SI.

Tout ou partie des processus impliquées dans la vie d’un SI peuvent être déduits depuis les différentes traces recueillies dans le SI par l’observation et l’enregistre- ment des différents événements survenant dans le SI accompagnant ses activités. Ces traces d’exécution, variées mais structurées, peuvent être exploitées pour sécuriser le SI (Aalst et al., 2010).

Nous concentrons nos travaux sur des SI « faiblement structurés », comme par exemple des réseaux sociaux, pour lesquels des processus principaux ont été définis et dont les utilisateurs explorent d’autres processus pour développer un travail en coopé- ration. Par exemple, l’utilisation d’un réseau social de microblogage pour animer une séquence pédagogique dans une formation. Le réseau social offre alors un cadre avec des contraintes et des opportunités. Les utilisateurs mettent en place un usage qui leur permet de développer des services avec une valeur ajoutée.

Dans ce contexte, nous souhaitons nous focaliser sur plusieurs problèmes. Dans l’analyse des processus utilisateurs, il est nécessaire de vérifier qu’un utilisateur donné possède bien les niveaux d’autorisations nécessaires à ses activités et les droits d’accès adéquats et ajustés aux données dont il a besoin (Chehida et al., 2016). Il faut donc mettre en place des mécanismes qui permettent de contrôler que les procédures ont bien été appliquées, de détecter d’éventuelles anomalies ou attaques et de s’assurer que seule l’information nécessaire est diffusée.

Il est ensuite nécessaire de définir une mesure de confiance sur les données col- lectées. Les données proviennent potentiellement de différentes sources, internes ou externes, pouvant avoir des qualités inégales (Coste et al., 2016). Il est donc important de quantifier cette qualité et estimer la confiance qu’on y met.

Enfin, se pose la question de la confidentialité des données à la fois durant leur collecte mais aussi durant leur exploitation, comme c’est le cas par exemple d’un SI traitant des données médicales (Goudalo et al., 2016). Une ingénierie conjointe pour la confidentialité et le contrôle d’accès aux données privées doit être menée.

2. État de l’art

Nous souhaitons utiliser la fouille de processus pour assurer la sécurité des SI. Le

process mining est utilisé pour la découverte et le suivi des processus métiers à partir

des traces récupérées depuis le SI. Les techniques de fouille sont inspirées des mé-

thodes du sequence mining et de la fouille de données. La fouille de processus a pour

but d’identifier les processus qui se sont exécutés afin d’évaluer leur qualité. (Aalst,

2015) propose des méthodes pour estimer les traces enregistrées qui ne respectent pas

le modèle de processus.

La fouille de processus a été développée par Van der Aalst qui a cherché à exploiter les traces d’exécution pour la modélisation de processus (Aalst, 2015). Les techniques de fouille sont apparues dans le domaine du génie logiciel avec Cook et Wolf (Cook, Wolf, 1998) et ont été appliquées au log de workflow par Agrawal (Agrawal et al., 1998). La fouille de processus permet d’établir le lien entre les processus réalisés et les processus modélisés.

Divers travaux ont porté sur la fouille de processus à partir des traces. (Carmona et al., 2010) propose une méthode basée sur l’analyse des régions, qui permet d’obtenir un réseau de Petri borné minimal qui est valide vis-à-vis des traces observées. (Liu et al., 2017) utilisent l’analyse de séquences pour identifier les processus des utilisateurs d’un MOOC. Dans (Khodabandelou et al., 2013), les auteurs comparent les objectifs et intentions du domaine de la fouille de procédés et du domaine de la fouille d’inten- tion. En effet, ces deux domaines ont besoin de découvrir les séquences d’activités et processus dans un système d’information, mais leurs objectifs sont différents. Pour la fouille de processus il s’agit de construire un modèle qui décrit l’évolution des pro- cessus alors que la fouille d’intention a pour objectif de découvrir les objectifs de la réalisation d’un processus. (Leemans et al., 2013) proposent un algorithme de décou- verte des processus à partir de traces d’exécutions incomplètes à l’aide de méthodes statistiques pour identifier les relations entre évènements.

Van der Aalst considère trois domaines d’utilisation de la fouille de processus : la découverte des processus, l’analyse de la conformité des traces vis-à-vis d’un modèle et l’amélioration des processus d’un SI. Il nous semble tout à fait opportun d’utiliser la découverte des processus et l’analyse de la conformité dans le cadre de l’étude de la sécurité des SI. Par exemple, (Accorsi, Stocker, 2012) proposent d’utiliser l’analyse de conformité pour réaliser un audit d’un processus de validation de crédit. Cette analyse permet de d’identifier les processus qui dévient du modèle initial : pour lesquels les validations ont été accordées alors que l’employé ne disposait pas des autorisation nécessaires ou les contraintes de temps n’ont pas été respectées.

3. Fouille de processus appliquée à la sécurité des SI

Nous proposons plusieurs pistes pour résoudre les problématiques identifiées en nous servant de la fouille de processus.

3.1. Garantir les droit d’accès à une activité ou à une ressource

Les systèmes d’information socio-techniques mettent en œuvre des informations réparties sur différents services et l’accès peut se faire selon différentes modalités.

Les informations peuvent être sensibles soit par l’importance des données manipu-

lées (virement bancaire via une application mobile) soit parce que l’on manipule des

données personnelles (accès au dossier médical informatisé – DMI). Par exemple, une

entreprise de vente de produits spécialisés peut donner à ses commerciaux, accès à son

catalogue et les applications mobiles d’élaboration de devis et de suivi de commandes,

4 INFORSID 2017 – Sécurité des SI : technologies et personnes (2e édition)

à son service après-vente accès à une partie de la base clients et aux outils de gestion de tickets, à son service comptabilité accès aux bases données, clients, fournisseurs, personnel, à ses fournisseurs accès à des services web de consultation de catalogue...

Dans ce contexte, un des défis de la sécurité dans les systèmes d’information concerne le contrôle d’accès à une activité et éventuellement à une ressource, en fonc- tion du rôle de l’utilisateur (Chehida et al., 2016). Les droits de l’utilisateur peuvent évoluer au cours du processus ou de la localisation, contexte d’exécution, à partir de laquelle il travaille.

La fouille de processus peut apporter une assistance suivant deux axes : décou- verte des workflows et processus métiers du système d’information et découverte du parcours d’une ressource. L’utilisation de technique de « conformance checking » per- met de mener un audit afin d’identifier les processus, qu’il s’agisse du workflow ou du parcours d’une ressource, et d’identifier les activités pour lesquelles les règles d’accès n’ont pas été respectées.

Détecter les workflow : L’identification des processus métiers permet de détermi- ner tous les « chemins », toutes les séquences d’activités, qui mènent à une activité particulière. Il est ainsi possible de vérifier les points de contrôles et d’en déduire le niveau de sécurité pour une activité sensible.

Cycle de vie d’une ressource : Il est possible de mener une approche similaire en utilisant le point de vue d’une ressource. Dans ce cas, il s’agit de mener une analyse de type fouille de processus. Il ne s’agira pas de focaliser sur les activités d’un workflow, mais de se focaliser sur une ressource. Les « processus » identifiés décriront le cycle de vie de la ressource. Par exemple, un document numérique est créé, modifié, puis détruit ou perdu. Au cours de ce cycle de vie, le document est utilisé dans différents contextes, par différentes personnes tierces, pour différents usages. Travailler sur le cycle de vie du document, et ses situations d’utilisation, permet de mettre en place des mécanismes pour garantir des niveaux de sécurité et d’accès (Sawadogo et al., 2016).

3.2. Identifier des usages anormaux/exceptionnels

Les processus ont pour finalité de produire une information ou une prise de dé- cision. Le résultat peut-être qualifié d’anormal si les informations produites sont er- ronées, de manière volontaire ou non, ou s’il permet à l’utilisateur de déclencher des activités pour lesquelles il n’est pas qualifié.

La complexité des systèmes et la multiplication des supports fait que les processus observés diffèrent des processus initialement définis. L’intérêt de détecter ces proces- sus anormaux est d’identifier les problèmes, et d’améliorer les processus métiers.

« Conformance checking » : (Accorsi, Stocker, 2012) propose d’utiliser les tech- niques de conformance checking (Aalst, 2015) pour réaliser un audit des processus.

Il s’agit d’identifier les processus qui ne respectent pas le modèle initial. Il est ainsi

possible de comprendre l’origine de situations d’erreur, soit pour enrayer une attaque,

soit pour guider l’utilisateur pour qu’il ne reproduise plus les activités générant des données erronées.

« Intention mining » : Selon (Khodabandelou et al., 2013), il permet de détermi- ner les buts que cherche à atteindre l’utilisateur. Pour cela on identifie un ensemble de sous-objectifs à réaliser. Il est alors possible de mettre en évidence les liens de causalité entre des activités et des situations « anormales ».

3.3. Protéger les données personnelles partagées pour réaliser une activité

Le partage de données entre systèmes d’information, en particulier entre réseaux sociaux, peut-être important, comme pour utiliser les mécanismes d’identification à partir d’un autre réseau social. Dans ce cas, les informations partagées par l’utilisa- teur peuvent sortir du cadre du système d’information et éventuellement dépasser les besoins de leur utilisation. Par exemple, il n’est pas nécessaire de donner son lieu de naissance quand seule l’information date de naissance est nécessaire ou de fournir la date complète alors qu’on doit juste vérifier l’âge.

La confidentialité, le partage et la qualité des données collectées est un enjeu des réseaux sociaux. Dans ce type de systèmes, les données sont utilisées par les gestion- naires du réseau social pour produire des informations à destination des gestionnaires et des utilisateurs (qualifiés selon leurs profils éventuellement).

La fouille de processus permet d’identifier dans les processus quelles sont les ac- tivités internes et externes. Ainsi, en fonction du processus, et de la qualité souhaité, il est possible de déterminer les données qui vont être partagées et restreindre l’accès uniquement aux données indispensables.

4. Conclusion

Dans cet article nous avons exploré des pistes d’utilisation de la fouille de proces- sus pour améliorer la sécurité des système d’information. Nous avons décrit comment l’utilisation des tests de conformité peuvent être utilisés pour vérifier les droits d’ac- cès pour un processus. Puis, nous avons présenté comment utiliser la découverte de processus pour identifier les processus « hors normes ». Enfin, nous avons discuté de l’intérêt de la fouille de processus pour identifier les activités internes et externes dans la perspective de protéger les données personnelles des utilisateurs.

Nous souhaitons mener ces analyses sur le cas des SI pour la gestion de crises. En

effet, il s’agit de SI avec des niveaux d’autorisation différents, dont les processus sont

mis en place, généralement, de façon ad hoc, et qui de plus en plus se basent sur des

données collectées à partir des réseaux sociaux ou d’objets connectés.

6 INFORSID 2017 – Sécurité des SI : technologies et personnes (2e édition)

Bibliographie

Aalst W. M. P. van der. (2015). Business process simulation survival guide. In Handbook on business process management 1: Introduction, methods, and information systems, p. 337–

370. Springer Berlin Heidelberg.

Aalst W. M. P. van der, Hee K. M. van, Werf J. M. van der, M. V. (2010). Auditing 2.0: Using process mining to support tomorrow’s auditor. Computer, vol. 43, n

3, p. 90–93.

Accorsi R., Stocker T. (2012). On the exploitation of process mining for security audits: The conformance checking case. In Proceedings of the 27th annual acm symposium on applied computing, p. 1709–1716. ACM.

Agrawal R., Gunopulos D., Leymann F. (1998). Mining process models from workflow logs.

In Proceedings of the 6th international conference on extending database technology: Ad- vances in database technology, p. 469–483. London, UK, Springer-Verlag.

Carmona J., Cortadella J., Kishinevsky M. (2010, mars). New region-based algorithms for deriving bounded petri nets. IEEE Trans. Comput., vol. 59, n

3, p. 371–384.

Chehida S., Idani A., Ledru Y., Rahmouni M. K. (2016). Combining UML and B for the specification and validation of RBAC policies in business process activities. In 2016 IEEE Tenth Int. Conf. on Research Challenges in Information Science (RCIS), p. 1–12.

Cook J. E., Wolf A. L. (1998, juillet). Discovering models of software processes from event- based data. ACM Trans. Softw. Eng. Methodol., vol. 7, n

3, p. 215–249.

Coste B., Ray C., Coatrieux G. (2016). Évaluation de la confiance dans un environnemnet multisources. In Workshop sécurité, INFORSID, p. 1–7. Grenoble, France, Hermès Sc.

Goudalo W., Kolski C., Vanderhaegen F. (2016). Vers une ingénierie conjointe de la sécurité, de l’utilisabilité et de la résilience dans les systèmes socio-techniques. In Workshop sécurité, INFORSID, p. 1–7. Grenoble, France, Hermès Science Publication.

ISO/IEC 27001. (2013). Prévisualiser technologies de l’information – techniques de sécurité – systèmes de management de la sécurité de l’information – exigences. Norme ISO/IEC.

Khodabandelou G., Hug C., Deneckère R., Salinesi C. (2013). Process mining versus inten- tion mining. In Enterprise, Business-Process and Information Systems Modeling: 18th Int.

Conf., EMMSAD 2013, Valencia, Spain, vol. 147, p. 466–480. Springer.

Laprie J. C., Randell B., Landwehr C., Member S. (2004). Basic concepts and taxonomy of dependable and secure computing. IEEE Tr. on Dep. and Sec. Comp., vol. 1, n

1, p. 11–33.

Leemans S. J. J., Fahland D., Aalst W. M. P. van der. (2013). Discovering block-structured process models from event logs - a constructive approach. In J.-M. Colom, J. Desel (Eds.), Application and theory of petri nets and concurrency: 34th int. conf., petri nets 2013, milan, italy. proceedings, p. 311–329. Berlin, Heidelberg, Springer Berlin Heidelberg.

Liu S., Hu Z., Peng X., Liu Z., Cheng H. N. H., Sun J. (2017). Mining learning behavioral patterns of students by sequence analysis in cloud classroom. IJDET, vol. 15(1), p. 15–27.

Piccoli G. (2007). Information systems for managers: Texts and cases (1st éd.). Wiley Pub.

Sawadogo D., Champagnat R., Estraillier P. (2016). Adaptive digital resource modeling as

service provider and consumer. Int. Jour. of Modeling and Opt., vol. 6, n

1, p. 25–32.