Fondamentaux de la sécurité des systèmes d'information¶

1. Objectif du cours¶

Présenter les principes essentiels de la sécurité des systèmes d'information et une méthode pragmatique d'analyse et de traitement des risques, illustrée par l'audit d'une PME médicale (MediData). Donner les clefs pour prioriser les actions de sécurité en contexte métier et réglementaire (HDS, RGPD, NIS2).

2. Notions et définitions essentielles¶

Triade CID (Confidentialité, Intégrité, Disponibilité) : objectifs fondamentaux de sécurité.
Défense en profondeur : multiplier les couches de protection pour résilience en cas de contournement d'une couche.
Principe du moindre privilège : n'accorder que les droits nécessaires.
Risque = Menaces × Vulnérabilités × Impact : base de l'analyse des risques.
CVSS v4.0 : référentiel pour scorer et prioriser les vulnérabilités (0–10).
Vulnérabilités : techniques, organisationnelles ou humaines.
Groupes APT : acteurs sophistiqués visant persistance et objectifs géopolitiques.
NIST Cybersecurity Framework 2.0 : fonctions Identifier, Protéger, Détecter, Répondre, Récupérer.

3. Fonctionnement et principes¶

Application de la triade CID : évaluer qui doit accéder aux données (confidentialité), garantir traçabilité et non-altération (intégrité) et assurer continuité via redondance (disponibilité).
Défense en profondeur pragmatique : architecture multicouche (périmètre, segmentation, durcissement, contrôles d'accès, chiffrement, détection, plans de continuité). Chaque couche réduit la probabilité qu'un incident unique mène à une compromission totale.
Gestion des risques opérationnelle : identification des biens critiques, cartographie des sources de risques, scénarios prioritaires (probabilité × impact), plan de traitement (réduire/transférer/accepter).
Priorisation par score CVSS et criticité métier : corriger d'abord vulnérabilités à fort CVSS impactant biens critiques.
Chaîne d'attaque typique : phishing → compromission poste → exploitation de vulnérabilités/configurations → élévation de privilèges → exfiltration/chiffrement.
Importance conjointe des dimensions technique, organisationnelle et humaine : outils automatisés détectent les failles techniques mais pas les faiblesses processuelles ni la sensibilisation.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

Segmenter le réseau (VLANs) pour isoler postes, serveurs critiques et équipements médicaux.
Durcir systèmes selon guides ANSSI/CIS : désactiver services inutiles, appliquer patches réguliers.
Mettre en place sauvegardes externalisées chiffrées (HDS) et plans de continuité/récupération.
Réduire et gérer les comptes privilégiés via une solution PAM : comptes standards + élévation ponctuelle, coffre-fort de secrets, rotation et traçabilité.
Chiffrement des données sensibles en transit et au repos.
Déploiement de SIEM/détection d'intrusion pour surveillance continue et réponse.
Programme de sensibilisation différencié (personnel médical : formats courts; administratif : formations plus longues; IT : techniques).
Prioriser correctifs selon CVSS et impact HDS ; planifier interventions avec contraintes opérationnelles.

6. Points essentiels à retenir pour le TSSR¶

La triade CID guide l'évaluation et la conception des contrôles.
La défense en profondeur se déploie en couches complémentaires ; une seule protection périphérique est insuffisante.
Risque = Menaces × Vulnérabilités × Impact : quantifier pour prioriser.
CVSS v4.0 est l'outil standard pour prioriser les corrections techniques.
3 catégories de vulnérabilités : techniques, organisationnelles, humaines — chacune nécessite une réponse dédiée.
Les emails/phishing restent un vecteur majeur ; la formation réduit la probabilité d'intrusion initiale.
Les erreurs de configuration sont une source majeure d'incidents (rapport Verizon : 67 %).
La conformité HDS impose notamment des sauvegardes externalisées et la prise en compte des exigences réglementaires dans la priorisation.
PAM et réduction des comptes administrateurs sont critiques pour limiter l'impact d'une compromission.
Les APT visent la persistance et requièrent une défense adaptée (veille, segmentation, détection avancée).

7. Tableau récapitulatif¶

Élément	Définition / Exemple	Priorité courante	Vérifiable par
Confidentialité	Chiffrement des dossiers patients	Élevée (HDS/RGPD)	Présence chiffrement AES-256
Intégrité	Signatures numériques des dossiers	Moyenne/Élevée	Vérification d'empreintes/signatures
Disponibilité	Cluster/basculement automatique	Élevée pour soins	Test basculement / SLA
Vulnérabilités	Technique / Organisationnelle / Humaine	Corriger critiques CVSS>9 d’abord	Rapport scans CVSS
Vecteurs d'attaque	Email 45%, Apps web 23%, Remote 15%	Sensibilisation + patching	Taux clics phishing / correctifs appliqués
Défense (7 niveaux)	Pare-feu → VLAN → durcissement → PAM → chiffrement → SIEM → sauvegarde externe	Architecture intégrée	Existence & tests des couches

8. Vérifications pratiques¶

Vérifier que les mises à jour critiques sont appliquées sur le serveur principal (ex. absence de CVE-2021-34527).
Confirmer la désactivation du service Print Spooler sur serveurs si non nécessaire.
Contrôler l’existence d’une solution de sauvegarde externalisée chiffrée (hors site) et tests de restauration.
Compter et vérifier la réduction effective des comptes administrateurs (objectif ex. 25 → 5) et la mise en place d’un PAM avec traçabilité.
Valider la segmentation réseau (VLANs) entre postes, serveurs et équipements médicaux.
Vérifier l’activation d’un SIEM/alerting et la création d’indicateurs de suivi sur corrections.
Mesurer le taux de clics aux campagnes de phishing avant/après sensibilisation (référence : >60 % cliquants constatés avant).

9. Flashcards Anki¶

Qu'est-ce que la triade CID ? :: Confidentialité, Intégrité, Disponibilité Que signifie "défense en profondeur" ? :: Multiplier les couches de protection successives Formule de base pour l'analyse des risques :: Risque = Menaces × Vulnérabilités × Impact Quelles sont les 5 fonctions du NIST Cybersecurity Framework 2.0 ? :: Identifier, Protéger, Détecter, Répondre, Récupérer Quels sont les trois types de vulnérabilités classées dans le cours ? :: Techniques, organisationnelles, humaines Quel score CVSS est associé à CVE-2021-34527 (PrintNightmare) dans le document ? :: 9.3 Quel pourcentage des incidents est attribué aux erreurs de configuration (rapport Verizon) ? :: 67 % Dans la cartographie des vecteurs d'attaque de MediData, quel pourcentage est lié aux emails ? :: 45 % Nommer une mesure recommandée pour réduire le nombre de comptes administrateurs :: Mise en place d'une solution PAM et comptes standard + élévation ponctuelle Que doit obligatoirement contenir la solution de sauvegarde pour la certification HDS selon l'exemple ? :: Externalisation et chiffrement des sauvegardes