SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

1. Problématique

La planification de la cybersécurité pour les entreprises, en particulier les PME, se heurte à un dilemme majeur : comment obtenir une protection adéquate sans dépasser le budget alloué ?

• Déficit d'investissement : Le manque d'investissements et les incitations économiques perverses sont des causes racines des cyberattaques.
• Complexité de la décision : Les entreprises peinent à évaluer les risques techniques et économiques simultanément. Elles ne disposent souvent pas de modèles pour déterminer le niveau d'investissement optimal, risquant soit de sous-investir (exposition aux pertes), soit de sur-investir (gaspillage de ressources).
• Manque d'outils accessibles : Bien que des modèles économiques existent (comme le modèle Gordon-Loeb), leur application pratique est complexe, peu intuitive pour les non-experts et nécessite une segmentation fine des actifs informationnels qui est difficile à mettre en œuvre manuellement.

2. Méthodologie

L'article propose SECAdvisor, un outil open-source et visuel conçu pour automatiser et simplifier la planification de la cybersécurité basée sur l'économie. La méthodologie repose sur l'intégration de deux modèles économiques clés :

A. Modèles Économiques Utilisés

1. Modèle Gordon-Loeb (GL) étendu :

   • Ce modèle détermine le niveau d'investissement optimal ($z^*$) en maximisant le Bénéfice Net Espéré de l'Investissement en Sécurité de l'Information (ENBIS).
   • Il intègre la segmentation de l'information : au lieu de traiter l'entreprise comme un bloc monolithique, SECAdvisor divise l'entreprise en segments (ex: base de données, serveur web, réseau interne).
   • Pour chaque segment $i$, l'investissement optimal est calculé en fonction de la valeur de l'information ($L_i$), de la vulnérabilité ($v_i$) et d'une fonction de probabilité de brèche (BPF).
   • Une règle clé du modèle GL est que l'investissement optimal ne devrait jamais dépasser environ 37% de la perte attendue sans investissement.

2. Retour sur Investissement en Sécurité (ROSI) :

   • Une fois les protections recommandées, le ROSI est calculé pour évaluer leur rentabilité.
   • Formule : $ROSI = \frac{(ALE \times Ratio d'atténuation) - Coût de la solution}{Coût de la solution}$.
   • Un ROSI $\ge 1$ indique une solution économiquement viable (les pertes évitées dépassent le coût de la solution).

B. Architecture de l'outil (SECAdvisor)

L'outil est structuré en trois couches principales :

1. Couche de Segmentation (Segment Layer) :
   • Permet de définir les segments de l'entreprise.
   • Estime la valeur monétaire de chaque segment (avec aide de données externes).
   • Calcule l'investissement optimal par segment en utilisant le modèle GL.
   • Permet de configurer la Fonction de Probabilité de Brèche (BPF).
2. Couche de Recommandation (Recommendation Layer) :
   • Interagit avec un moteur de recommandation externe (MENTOR).
   • Sélectionne des mesures de protection (pare-feu, antivirus, etc.) adaptées aux besoins et au budget calculé.
   • Calcule le ROSI pour chaque solution recommandée.
3. Couche de Données (Data Layer) :
   • Stocke les profils d'entreprise, les segments, les configurations de modèles et les historiques dans une base de données MongoDB.

Implémentation technique : L'outil est développé avec AngularJS (frontend) et NestJS (backend), utilisant MongoDB pour le stockage et la bibliothèque nerdamer pour les calculs mathématiques complexes. Il est déployable via Docker.

3. Contributions Clés

• Premier outil de son genre : SECAdvisor est présenté comme le premier outil intégrant de manière transparente et extensible des modèles économiques (GL et ROSI) pour la planification de la cybersécurité.
• Segmentation automatisée et calcul d'investissement optimal : L'outil permet de calculer un budget optimal par segment d'information, offrant une vision plus précise que les approches globales.
• Interface utilisateur intuitive : Il rend les concepts économiques complexes accessibles aux décideurs non techniques via des tableaux de bord visuels, des estimateurs de valeur et des calculatrices de ROSI.
• Comparaison de solutions : Il permet de comparer différentes mesures de protection non seulement sur leur efficacité technique, mais aussi sur leur coût-efficacité (via le ROSI).
• Modèle extensible : Les utilisateurs peuvent modifier les paramètres du modèle (comme la BPF) pour s'adapter à la réalité spécifique de leur secteur.

4. Résultats et Évaluations

L'évaluation de l'outil a été menée sur deux axes : l'utilisabilité et l'application pratique dans des formations.

• Évaluation de l'utilisabilité (Usability) :

  • Participants : 13 personnes (étudiants, consultants, chercheurs) avec des niveaux techniques variés.
  • Taux de réussite : Le taux de réussite global aux tâches était de 87,2 %.
    • Tâches simples (identification de vulnérabilités, calcul de pertes) : 92-100 %.
    • Tâches avancées (ajustement de la fonction de probabilité de brèche) : 69,2 % (ce qui reste acceptable pour une fonction complexe).
  • Score SUS (System Usability Scale) : L'outil a obtenu un score de 82,1, ce qui le classe dans la catégorie "excellent" (au-dessus de 70). Les utilisateurs ont trouvé l'outil intuitif et facile à utiliser.

• Activités pratiques réelles :

  • L'outil a été utilisé dans le cadre de formations (cours "Becoming a Cybersecurity Consultant", Master à l'Université de Zurich, école doctorale NeCS).
  • Des centaines de participants ont pu appliquer les concepts d'économie de la cybersécurité pour la première fois.
  • Les retours ont été majoritairement positifs, soulignant l'utilité de l'outil pour la formation et l'application industrielle.

5. Signification et Impact

• Pour les PME et les entreprises : SECAdvisor offre une méthode structurée pour justifier les budgets de cybersécurité auprès de la direction en utilisant des arguments économiques tangibles (ROI, pertes évitées) plutôt que de simples arguments techniques.
• Pédagogie : L'outil comble un vide éducatif en permettant aux étudiants et aux consultants de visualiser et de manipuler des modèles théoriques complexes (GL, ROSI) dans un environnement simulé réaliste.
• Stratégie de sécurité : Il favorise une approche équilibrée entre risque et investissement, aidant les entreprises à éviter le gaspillage de ressources tout en minimisant l'exposition aux pertes financières.
• Avenir : L'article suggère des améliorations futures, notamment l'intégration de simulations de Monte Carlo, l'utilisation de l'IA pour estimer automatiquement les valeurs des actifs, et des tests plus poussés avec des données réelles du secteur industriel.

En conclusion, SECAdvisor représente une avancée significative en rendant l'économie de la cybersécurité opérationnelle, transformant des modèles théoriques en un outil pratique pour la prise de décision stratégique.