Le fichier des 1 200 membres d'une association
L'association « Jeunesse Active » gère un fichier de 1 200 membres dans un unique tableur enregistré sur le portable personnel du secrétaire. Quatre personnes utilisent le même mot de passe, « ja2024 ». Une clé USB non chiffrée circule entre le bureau et le domicile des bénévoles. Aucune sauvegarde n'a jamais été effectuée. Un bénévole parti il y a six mois a conservé une copie du fichier sur son téléphone. Un donateur important écrit : « Envoyez-moi la liste complète des membres avec noms, adresses et numéros, j'en ai besoin sous 48 heures pour ma communication. » Le trésorier a par ailleurs reçu un courriel intitulé « Vérification de votre compte - action requise » qui renvoie vers un lien et demande les identifiants de la boîte de l'association.
1. Classez les risques en trois niveaux (critique, élevé, modéré) en justifiant par l'impact et la probabilité, et proposez une mesure corrective par risque.
Read the worked answer
Le classement combine deux dimensions : l'impact (perte de données, atteinte aux personnes, préjudice juridique) et la probabilité.
Critique
- Aucune sauvegarde : un vol ou une panne détruit définitivement le fichier de 1 200 membres. Impact maximal, probabilité certaine sur la durée. Mesure : sauvegarde hebdomadaire sur deux supports distincts (dont un conservé hors du bureau) et test de restauration une fois par trimestre.
- Mot de passe partagé par quatre personnes : aucune traçabilité, départ d'un bénévole = accès maintenu. Mesure : quatre comptes nominatifs, mots de passe distincts, révocation immédiate au départ.
Élevé
- Copie détenue par l'ancien bénévole : fuite possible et non maîtrisée. Mesure : demande écrite de restitution et de suppression, avec confirmation.
- Courriel de phishing : un clic compromet la boîte et permet la réinitialisation des autres comptes. Mesure : procédure de signalement, double authentification.
Modéré
- Clé USB non chiffrée : perte matérielle probable, exploitation malveillante plus incertaine. Mesure : chiffrement ou remplacement par un espace partagé avec droits d'accès.
2. Rédigez la réponse au donateur en cinq ou six phrases, en distinguant ce qui est possible et ce qui ne l'est pas.
Read the worked answer
« Monsieur, nous vous remercions de votre soutien et comprenons votre besoin d'éléments pour votre communication. Nous ne pouvons pas transmettre la liste complète des membres avec leurs coordonnées : ces personnes nous ont confié ces informations pour le fonctionnement de l'association, et nous ne pouvons pas en disposer librement pour un usage commercial sans leur accord. Nous pouvons en revanche vous adresser sous 48 heures des données agrégées et anonymisées : nombre de membres par commune, répartition par tranche d'âge et par activité, ce qui suffit généralement à étayer un message de communication. Si vous souhaitez citer des parcours individuels, nous demanderons aux membres concernés une autorisation écrite et vous transmettrons les témoignages recueillis. Nous restons disponibles pour construire avec vous un format qui serve votre communication tout en protégeant les membres. »
Logique de la réponse : ne pas refuser sèchement, proposer immédiatement une alternative utilisable, et rappeler que la contrainte ne vient pas de l'association mais de la personne qui a donné ses coordonnées.
3. Le courriel « Vérification de votre compte » : identifiez trois indices permettant de le reconnaître comme une tentative d'hameçonnage et décrivez la procédure interne à instaurer.
Read the worked answer
Indices :
- L'urgence et la menace (« action requise », délai implicite) : la pression temporelle empêche la vérification et c'est précisément le but.
- La demande d'identifiants : aucun service légitime ne demande un mot de passe par courriel. C'est le critère décisif, suffisant à lui seul.
- Le lien et l'expéditeur : l'adresse d'envoi et le domaine du lien ne correspondent pas au domaine officiel ; il faut les examiner sans cliquer, en survolant le lien.
Procédure interne à formaliser en quatre étapes :
- Ne pas cliquer, ne pas répondre ; transférer le message à la personne responsable du numérique.
- Vérifier par un autre canal : appeler l'établissement concerné au numéro connu, jamais celui du message.
- Si un clic a eu lieu : changer immédiatement le mot de passe depuis un autre appareil, activer la double authentification, déconnecter toutes les sessions ouvertes.
- Consigner l'incident dans un registre et sensibiliser les quatre utilisateurs du fichier, car l'attaque vise les personnes avant de viser les machines.