Le respect et la manière de faire respecter les bonnes pratiques élémentaires de sécurité¶

1. Objectif du cours¶

Donner les bonnes pratiques élémentaires pour protéger les données et les systèmes (mots de passe, mises à jour, comptes, sauvegardes, vigilance). Sensibiliser aux risques quotidiens (phishing, SimSwap, ransomware) et aux mesures simples à appliquer en entreprise et en déplacement.

2. Notions et définitions essentielles¶

Mot de passe : outil d'authentification prouvant l'identité d'un utilisateur.
Donnée personnelle : information se rapportant à une personne physique identifiée ou identifiable (définition CNIL mentionnée).
Hameçonnage / phishing : e-mails frauduleux visant à soutirer des informations personnelles.
SimSwap : fraude consistant à usurper une identité et transférer une ligne mobile pour détourner les SMS.
Vishing : phishing vocal (appel ou message vocal frauduleux).
Ransomware : logiciel malveillant bloquant l'accès à un système jusqu'au paiement d'une rançon.
Cheval de Troie : malware déguisé en logiciel légitime.
Ingénierie sociale : manipulation humaine pour amener des personnes à enfreindre des pratiques de sécurité.

3. Fonctionnement et principes¶

Mises à jour : les éditeurs corrigent des vulnérabilités ; appliquer les mises à jour réduit la surface d'attaque.
Principe de moindre privilège : utiliser un compte "Utilisateur" pour un usage courant et réserver les droits "Administrateur" aux interventions système.
Sauvegarde et redondance : dupliquer les données importantes sur un support distinct (serveur de sauvegarde situé ailleurs) pour résilience en cas d'incident.
Authentification renforcée : préférer une authentification multi-facteurs robuste (éviter l'usage exclusif du SMS pour les codes).
Ingénierie sociale et malwares : phishing, vishing et SimSwap exploitent la confiance et les procédures humaines ; les malwares (ransomware, chevaux de Troie) s'exécutent via pièces jointes, téléchargements ou supports contaminés.
Séparation des usages : séparer usages personnels et professionnels limite la contamination des systèmes de l'entreprise.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

(Précautions explicitement abordées dans le document) - Mots de passe : ne pas garder les mots de passe par défaut sur équipements (imprimantes, box, etc.), ne pas les pré-enregistrer dans les navigateurs, sensibiliser à l'usage d'un gestionnaire de mots de passe. - Mises à jour : mettre en place une politique de mises à jour; télécharger les mises à jour depuis le site de l'éditeur; configurer les mises à jour automatiques si possible. - Comptes : réserver les comptes Administrateur au service informatique, attribuer des comptes Utilisateur identifiables, supprimer comptes génériques/anon. - Sauvegardes : effectuer sauvegardes régulières (quotidiennes/hebdomadaires), stocker sur un support différent et idéalement sur un serveur de sauvegarde situé ailleurs. - Réseau Wi‑Fi : privilégier le filaire, ne pas laisser de tiers sur le Wi‑Fi principal, utiliser un chiffrement robuste (WPA2), créer un réseau invité. - Smartphones/tablettes : n'installer que des apps issues de marketplaces certifiées, vérifier les permissions, activer PIN/schéma et extinction automatique courte (≤ 15 s), ne pas pré-enregistrer les mots de passe, sauvegarder régulièrement. - Authentification : utiliser une double authentification renforcée ; privilégier une application d'authentification plutôt que les codes SMS. - Déplacements : n'emporter que le nécessaire, sauvegarder avant le départ, ne pas laisser ses appareils sans surveillance, désactiver Wi‑Fi/Bluetooth, ne pas utiliser clés USB offertes. - Messagerie : vérifier l'identité de l'expéditeur avant d'ouvrir pièces jointes ou liens ; ne jamais transmettre d'informations sensibles par mail ; analyser les pièces jointes avec un antivirus avant ouverture. - Téléchargements et paiements : télécharger depuis le site officiel de l'éditeur, refuser logiciels complémentaires, vérifier la présence du cadenas et le https://, vérifier l'orthographe de l'URL.

6. Points essentiels à retenir pour le TSSR¶

Un mot de passe fort est indispensable ; évitez mots par défaut et pré-enregistrement dans navigateurs.
Maintenir systèmes et applications à jour protège des vulnérabilités connues.
Utiliser un compte "Utilisateur" pour l'usage quotidien ; réserver "Administrateur" aux interventions techniques.
Sauvegarder régulièrement sur un support distinct et hors site pour assurer reprise après incident.
Méfiez-vous du phishing, vishing et SimSwap : ne communiquez jamais de code ou d'informations sensibles à des interlocuteurs non vérifiés.
Sur mobile, n'installer que des apps officielles et activer PIN/auto-verrouillage court.
Téléchargez toujours depuis le site de l'éditeur et vérifiez https/cadenas avant tout paiement.
Séparez usage personnel et professionnel ; limitez les informations partagées en ligne.

7. Tableau récapitulatif¶

Élément	Bonne pratique	Risque si non respecté
Compte	Utilisateur pour usage quotidien / Admin réservé	Modifications non autorisées, propagation de menaces
Sauvegarde	Support distinct + serveur ailleurs	Perte définitive en cas d'incident (incendie, vol)
Mise à jour	Automatique depuis l'éditeur	Exploitation de vulnérabilités connues
Wi‑Fi	WPA2, réseau invité	Interception de données, utilisation malveillante
Authentification	MFA via application	Compromission par transfert SIM ou interception SMS

8. Vérifications pratiques¶

(Procédures concrètes mentionnées pour constater qu'une mesure fonctionne) - Vérifier la présence du cadenas et que l'URL commence par https:// avant tout paiement. - Confirmer l'adresse e-mail complète et l'alias de l'expéditeur avant d'ouvrir une pièce jointe ou de cliquer sur un lien. - S'assurer que les sauvegardes existent sur un support différent et, en entreprise, sur un serveur de sauvegarde distinct et situé ailleurs. - Vérifier que les mises à jour automatiques sont activées quand possible et que les logiciels proviennent du site de l'éditeur. - Contrôler que le verrouillage automatique de l'écran du smartphone/tablette est réglé à 15 secondes maximum et qu'un code PIN est activé. - Confirmer l'absence de comptes génériques/anonymes et la présence de comptes identifiables pour chaque employé.

9. Flashcards Anki¶

Combien de temps minimal doit faire un mot de passe fort ? :: 12 caractères Quels types de caractères doit contenir un mot de passe fort ? :: majuscules, minuscules, chiffres, caractères spéciaux Où faut-il télécharger les mises à jour et logiciels ? :: Sur le site de l'éditeur Quel chiffrement Wi‑Fi est recommandé dans le cours ? :: WPA2 Que signifie SimSwap ? :: fraude par échange de carte SIM visant à rediriger les messages Qu'est-ce que le vishing ? :: phishing vocal via appel ou message vocal frauduleux Que faire avant d'ouvrir une pièce jointe reçue par mail ? :: Vérifier l'identité de l'expéditeur et analyser le fichier avec un antivirus Où doivent être stockées les sauvegardes importantes en entreprise ? :: Sur un serveur de sauvegarde et sur un support différent situé ailleurs Quelle durée maximale d'extinction automatique de l'écran est recommandée pour smartphone/tablette ? :: 15 secondes Pourquoi ne pas utiliser un site tiers pour télécharger un logiciel ? :: Risque d'y télécharger un programme contenant un virus ou cheval de Troie