La sécurité informatique est un enjeu important lors de l’utilisation de matériel numérique, dans le cadre personnel ou professionnel. Pour améliorer la sécurité des systèmes sociotechniques, des politiques et mécanismes de sécurité sont conçus et intégrés aux systèmes interactifs, ou à leur usage. Cependant, l’ajout et la maintenance de ces politiques et mécanismes de sécurité se sont longtemps faits sans égard aux autres composantes des systèmes sociotechniques, comme les utilisateurs, ou aux priorités des systèmes sociotechniques telles que l’utilisabilité, la fiabilité.
Cette thèse repose sur l’hypothèse que les politiques et mécanismes de sécurité peuvent être conçus et intégrés aux systèmes sociotechniques en prenant en compte la sécurité et l’utilisabilité de façon conjointe, à l’aide de la modélisation des composantes des systèmes sociotechniques. Cette thèse vérifie l’hypothèse que l’utilisation de modèles exécutables comme le formalisme ICO permet l’ingénierie de systèmes interactifs fiables intégrant des mécanismes de sécurité fiables, et que l’utilisation de modèles de tâches comme la notation HAMSTERS permet l’évaluation de la sécurité et de l’utilisabilité de politiques et de mécanismes de sécurité comme l’authentification.
Pour répondre à ces enjeux, cette thèse propose une vue de la sécurité au sein des systèmes sociotechniques identifiant les différents acteurs et artefacts impliqués dans la sécurité. Elle propose un processus de conception de mécanismes de sécurité fiables et exécutables grâce au formalisme ICO, et un processus pour évaluer l’utilisabilité et la sécurité de ces mécanismes de sécurité de façon objective et prédictive grâce aux modèles de tâches du formalisme HAMSTERS. Cette thèse propose ensuite un processus pour intégrer des mécanismes de sécurité fiables à un système interactif de manière fiable. Elle propose aussi un processus pour créer des formations adaptées aux connaissances des utilisateurs grâce aux modèles de tâches, et l’applique pour créer un programme de formation contre le phishing. Les processus de conception et d’évaluation sont validés à travers des études de cas appliquées aux mécanismes d’authentification textuelle avec un champ de mot de passe avec une possibilité de masquage et de démasquage. Cette étude de cas démontre la faisabilité et l’évolution à l’échelle de ces processus.
Le but de ces travaux est de montrer que l’utilisation de modélisations permet de concevoir et évaluer les politiques et mécanismes de sécurité, et de les intégrer aux systèmes sociotechniques. |
Computer security represents a major challenge in the use of information systems, both in personal and professional contexts. To enhance the security of sociotechnical systems, security policies and mechanisms are designed and integrated into interactive systems and their associated practices. However, the design and maintenance of such policies and mechanisms have traditionally been undertaken with limited consideration of other components of sociotechnical systems, particularly users, as well as system-level priorities such as usability and reliability.
This thesis is grounded in the hypothesis that security policies and mechanisms can be designed and integrated into sociotechnical systems, taking into account both security and usability through the joint modelling of their relevant components. More specifically, it investigates the hypothesis that the use of executable models, such as the ICO formalism, enables the engineering of reliable interactive systems incorporating reliable security mechanisms. It further examines whether task models, such as those specified using the HAMSTERS notation, can support the objective and predictive evaluation of the security and usability of security policies and mechanisms, particularly authentication mechanisms.
To address these challenges, this thesis proposes a perspective on security within sociotechnical systems, identifying the various actors and artifacts involved in security. It introduces a design process for engineering reliable and executable security mechanisms using the ICO formalism, as well as an evaluation process for objectively and predictively assessing the usability and security of these mechanisms through task models based on the HAMSTERS formalism. The thesis then proposes a process for reliably integrating reliable security mechanisms into interactive systems. In addition, it presents a process for designing training programs tuned to users' existing knowledge through the use of task models, and applies this approach to the development of a phishing-awareness training program.
The proposed design and evaluation processes are validated through case studies involving textual authentication mechanisms featuring password fields with masking and unmasking mechanisms. The results of these case studies demonstrate the feasibility and scalability of the proposed processes.
Overall, this work demonstrates that modelling techniques enable the design and evaluation of security policies and mechanisms, while also supporting their reliable integration into sociotechnical systems. |