Cybersécurité des services informatiques
L'épreuve Cybersécurité des services informatiques (E6) porte sur la protection du patrimoine informationnel : analyse de risques, mise en œuvre de mesures techniques et organisationnelles, réaction à incident, conformité réglementaire.
Les fondamentaux
La sécurité se raisonne selon la triade DICP : disponibilité, intégrité, confidentialité, auxquels s'ajoute la traçabilité (journalisation). L'analyse de risques (démarche de type EBIOS Risk Manager) identifie les biens essentiels, les menaces et les scénarios, puis choisit des mesures selon leur coût et leur efficacité. Ces mesures sont organisationnelles (PSSI, charte, sensibilisation, procédure de sauvegarde testée), humaines et techniques.
Les mesures techniques attendues
- Cloisonnement : segmentation réseau, DMZ pour les services exposés, VLAN par usage, pare-feu en politique « tout interdire sauf ».
- Accès distants : VPN, MFA, principe du moindre privilège, comptes nominatifs, revue régulière des habilitations.
- Protection des données : chiffrement au repos et en transit (TLS), hachage salé des mots de passe - le hachage n'est pas du chiffrement.
- Détection : journaux centralisés, EDR, supervision des échecs d'authentification.
- Résilience : sauvegardes 3-2-1 dont une copie hors ligne, tests de restauration, PRA et PCA.
Exemple raisonné
Un poste en télétravail est infecté par un rançongiciel qui chiffre un lecteur réseau partagé. Qualification : incident de sécurité majeur (disponibilité et intégrité atteintes). Réaction : isoler le poste du réseau sans l'éteindre (préserver mémoire et traces), identifier le partage touché, restaurer depuis la sauvegarde hors ligne, réinitialiser les secrets d'authentification. Si des données personnelles ont été exfiltrées, la notification à la CNIL doit intervenir sous 72 heures. Correctifs durables : MFA, moindre privilège sur le partage, EDR, sensibilisation au phishing.
Les pièges
Croire que le HTTPS sécurise un serveur ; confondre authentification (qui je suis) et autorisation (ce que je peux faire) ; affirmer que « l'antivirus suffit » ; oublier la journalisation ; présenter la CNIL comme une loi alors que c'est l'autorité de contrôle du RGPD ; annoncer une restauration sans avoir testé la sauvegarde.