Rappel sur la sécurité des systèmes d'information¶

1. Objectif du cours¶

Donner les notions fondamentales de la cybersécurité (modèles, menaces, cadre réglementaire) et fournir des pistes opérationnelles pour analyser les risques et prioriser des mesures de protection dans un contexte professionnel (ex. ESN).

2. Notions et définitions essentielles¶

Triade CIA : Confi dentialité (accès restreint), Intégrité (données non altérées), Disponibilité (accès aux services).
Propriétés complémentaires : non‑répudiation, authenticité, traçabilité.
Modèles de sécurité : modèle périmétrique (confi ance interne par défaut), défense en profondeur, Zero Trust (vérifi cation systématique).
Ransomware : logiciel chiffrant des données, souvent associé au vol (double extorsion) ; RaaS = Ransomware‑as‑a‑Service.
APT : campagne sophistiquée et persistante, souvent ciblée et longue.
Cadre réglementaire clé : RGPD (notification 72 h, amendes jusqu’à 4% du CA), directive NIS2 (extension du périmètre, responsabilité dirigeants), HDS, PCI‑DSS, ISA/IEC 62443, normes ISO 27001.

3. Fonctionnement et principes¶

Priorisation des contrôles : identifi er actifs critiques, évaluer impact métier par pilier CIA, définir objectifs mesurables, appliquer contrôles proportionnés et réévaluer.
Évolution des architectures : la défense en profondeur multiplie les couches (authentifi cation forte, chiffrement, segmentation, surveillance). Zero Trust impose authentifi cation/autorisation continues quel que soit l’emplacement.
Cycle d’une APT : reconnaissance passive → intrusion initiale → backdoors → élévation de privilèges → mouvement latéral → exfiltration → maintien de persistance. L’intrusion initiale est souvent déterminante.
Ransomwares modernes : double (voire triple) extorsion ; délai de détection critique (attackers restent des semaines pour repérer sauvegardes et systèmes critiques) ; professionnalisation via RaaS.
Vecteurs majeurs : ingénierie sociale (phishing, spear‑phishing, whaling), exploitation de vulnérabilités (corrigées ou zero‑day), attaques sur la chaîne d’approvisionnement.

4. Commandes et manipulations¶

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques¶

Principe du moindre privilège et segmentation réseau pour limiter la propagation.
Sauvegardes régulières selon règle 3‑2‑1 et tests de restauration périodiques.
Authentifi cation multi‑facteurs et chiffrement des données en transit et au repos.
Surveillance continue : logs, détection comportementale, surveillance des connexions sortantes.
Processus de gestion des vulnérabilités : prioriser par CVSS/exposition et corriger rapidement (objectif implicite : réduire fenêtre d’exploitation).
Gouvernance et conformité : registre des traitements RGPD, DPO si requis, processus de notifi cation d’incidents (72 h), cartographie des obligations sectorielles.
Sensibilisation : campagnes adaptées aux profils (devs, commerciaux, admin), simulations de phishing, ateliers pratiques, mesurer l’effi cacité.

6. Points essentiels à retenir pour le TSSR¶

Maîtriser la triade CIA et savoir identifier quel pilier est affecté lors d’un incident.
Zero Trust et microsegmentation : passer d’une logique périmétrique à une logique « ne jamais faire confi ance ».
Ransomware = menace prioritaire : double extorsion et RaaS requièrent sauvegardes testées et limitation des privilèges.
L’ingénierie sociale reste le vecteur le plus efficace : la formation des utilisateurs est cruciale.
Connaître le cadre RGPD (72 h) et NIS2 (étendue des obligations, responsabilité dirigeants).
Prioriser la gestion des vulnérabilités selon criticité, exposition et disponibilité d’exploits publics.
Surveiller indicateurs opérationnels : connexions sortantes anormales, mouvements latéraux, logs d’authentification.
Pour une ESN multi‑secteurs, cartographier les exigences HDS, PCI‑DSS, CNIL/ANSSI, ISA/IEC 62443.
Tester régulièrement les plans de continuité et restauration pour vérifier la résilience opérationnelle.
Mesurer l’impact économique (coûts directs/indirects) pour argumenter les budgets cybersécurité.

7. Tableau récapitulatif¶

Élément	Caractéristique clé	Conséquence si négligé
Modèle périmétrique vs Zero Trust	Périmètre fiable vs vérification systématique	Périmètre franchi → mouvements latéraux
Ransomware simple vs double extorsion	Chiffrement seul vs vol + chiffrement	Sauvegardes seules insuffisantes
Acteurs : script kiddies vs APT	Opportunistes vs ciblés/persistants	Durée et sophistication des attaques
RGPD vs NIS2	Protections données personnelles vs obligations de sécurité étendues	Amendes RGPD / responsabilité dirigeants NIS2

8. Vérifications pratiques¶

Tester la restauration des sauvegardes (vérifi cation que la règle 3‑2‑1 fonctionne).
Simuler phishing et mesurer le taux de clic (objectif mentionné < 5%) et l’augmentation des signalements (+50% visé).
Vérifier la détection : recherche de connexions sortantes inhabituelles et analyse des logs d’authentifi cation.
Contrôler la segmentation : essais de mouvement latéral simulés pour confirmer isolation entre zones (microsegmentation).
Auditer la matrice de conformité sectorielle (présence des preuves : registre, analyses d’impact, DPO si requis) et le respect des délais de notifi cation.

9. Flashcards Anki¶

Triade CIA :: Confi dentialité, Intégrité, Disponibilité Zero Trust :: Ne jamais faire confi ance par défaut, vérifier chaque accès Ransomware :: Logiciel chiffrant des données souvent accompagné d’un vol (double extorsion) RaaS :: Ransomware‑as‑a‑Service, modèle commercial criminel RGPD :: Oblige la notifi cation des violations sous 72 heures et amendes jusqu’à 4% du CA Directive NIS2 :: Étend le périmètre des entités concernées et responsabilise les dirigeants APT :: Campagnes ciblées et persistantes, souvent longues et sophistiquées 3‑2‑1 :: Règle de sauvegarde recommandée (3 copies, 2 supports, 1 hors site) HDS :: Certi fi cation obligatoire pour l’hébergement de données de santé en France MITRE ATT&CK :: Framework listant tactiques, techniques et procédures d’attaque