Security by Design : An asset-based approach to bridge the gap between architects and security experts

L’exigence sécurité doit être prises en compte dans toutes les étapes du développement d’un logiciel. L'une des approches les plus importantes pour ce faire est celle de la modélisation des menaces. Cette approche implique la collaboration lors de séances de brainstorming de plusieurs acteurs et tout particulièrement les architectes logiciels et les experts en sécurité. Car si les architectes connaissent bien les artefacts de conception qu’ils manipulent et les bonnes pratiques d’assemblage, ils ne sont pas toujours bien formés en matière de sécurité. Il n’est malheureusement pas toujours possible d'impliquer à chaque étape d’un développement ces experts en sécurité et cela pour des contraintes de disponibilité, de temps ou de budget. Même quand cette collaboration est possible, en raison du manque de guides, de l'absence d'un processus suffisamment formalisé, ces acteurs éprouvent souvent des difficultés à interagir. Les sessions de brainstorming sont donc souvent menées de manière non optimale et exigent des efforts importants. Le résultat est également dépendant du niveau de sensibilisation et d’expertise en sécurité de tous les acteurs impliqués. Pour améliorer cette approche et la prise en compte de la préoccupation sécurité, nous proposons de définir dans cette thèse une assistance à la sécurité qui s’appuie sur le concept de « biens ». Cette assistance est dédiée aux architectes et les aide à concevoir des systèmes sécurisés même s’ils ne disposent que d’une connaissance limitée en matière de sécurité. Le processus permet d'identifier les biens à la fois pertinents et vulnérables, ce qui facilite l'énumération des menaces lors du brainstorming.