Sécurité des systèmes d'information
Ce domaine évalue la capacité à protéger un système d'information : cadre de gouvernance, analyse de risque, contrôles techniques et conformité. Le jury attend une logique de défense en profondeur et des choix cryptographiques justifiés, pas un catalogue d'outils.
Cadre et gouvernance
- Critères DICP : disponibilité, intégrité, confidentialité, preuve/traçabilité.
- EBIOS Risk Manager (ANSSI) : cinq ateliers - cadrage et socle, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque.
- PSSI, ISO/IEC 27001 (SMSI) et 27002 (mesures), guide d'hygiène ANSSI.
- RGPD : registre des traitements, base légale, notification à la CNIL sous 72 h, AIPD si risque élevé, DPO.
Contrôles techniques
- Moindre privilège, séparation des tâches, MFA, comptes à privilèges isolés et gérés (PAM), revue périodique des accès.
- Chiffrement symétrique AES-GCM ; asymétrique RSA ou ECDSA pour l'échange de clés et la signature ; TLS 1.3 combine les deux.
- Mots de passe stockés en hachage salé (Argon2id, bcrypt), jamais chiffrés de façon réversible ; HMAC pour l'intégrité.
- PKI : racine hors ligne, AC intermédiaire, CRL/OCSP, contrôle du nom (SAN) et des dates à chaque connexion.
- Journalisation centralisée avec NTP, segmentation et DMZ, durcissement, gestion des correctifs.
Exemple raisonné
Un navigateur affiche un avertissement sur intranet.exemple.fr alors que le certificat semble valide.
Le client vérifie dans l'ordre : la chaîne remonte jusqu'à une AC de confiance, la signature de chaque certificat, la période de validité, la correspondance avec le nom demandé, puis la révocation par OCSP ou CRL. Si l'AC racine interne n'est pas dans le magasin de confiance du poste, la chaîne est incomplète : alerte, même si le certificat est parfaitement valide.
La correction n'est pas de cliquer sur « continuer », mais de déployer la racine interne par GPO et d'émettre le certificat serveur depuis l'AC avec le bon SAN.
Pièges qui coûtent des points
- Confondre hachage et chiffrement ; croire que Base64 protège une donnée.
- MD5 ou SHA-1 pour les mots de passe ; mot de passe en clair dans un script.
- Certificat auto-signé en production, révocation oubliée.
- Journaliser sans horloge synchronisée : les journaux deviennent inexploitables.
- Confondre authentification et autorisation ; croire que HTTPS protège d'une injection SQL.