Sécurité des systèmes d'information : exercices de Terminale STMG

Définition de la SSI : c'est l'ensemble des moyens mis en place pour empêcher qu'on utilise le système d'information sans autorisation, qu'on le détourne, qu'on le modifie ou qu'on en fasse un mauvais usage.⁴

Définition de la cybersécurité : ce sont les activités qui protègent les données et les systèmes d'information contre les menaces venant du cyberespace.²

Les quatre familles de moyens : techniques, organisationnels, juridiques et humains.⁴

Discussion : un antivirus est un moyen technique, donc une seule famille sur quatre. Il ne remplace ni les règles d'organisation, ni le respect de la loi, ni la vigilance des personnes. De plus, la sécurité ne peut pas être garantie à 100 %, donc un seul outil ne peut pas « tout régler ».⁴

Rappel : la norme ISO/CEI 27001 s'appuie sur la triade disponibilité, intégrité et confidentialité.⁴ La confidentialité réserve les informations aux personnes autorisées.⁴ L'intégrité concerne le fait que l'information n'est pas altérée ; la disponibilité concerne la possibilité de s'en servir quand on en a besoin.

A : un non-autorisé lit des salaires. L'accès indésirable n'a pas été empêché : c'est la confidentialité.

B : le site est inutilisable pendant une journée. Les utilisateurs ne peuvent plus accéder au service : c'est la disponibilité.

C : les prix ont été modifiés par un tiers. L'information n'est plus fiable car elle a été altérée : c'est l'intégrité.

D : des coordonnées bancaires sont diffusées à des personnes non autorisées : c'est la confidentialité. Ce type de fuite touche aussi la vie privée des clients.⁴

Affirmation 1 : fausse. On admet généralement que la sécurité ne peut pas être garantie à 100 %. On multiplie donc les mesures pour réduire les chances d'intrusion.⁴

Affirmation 2 : fausse. La sécurité est un enjeu majeur pour les entreprises et ne se limite plus au rôle de l'informaticien.⁴

Affirmation 3 : fausse. La défense en profondeur consiste à sécuriser chaque sous-ensemble du système, pas seulement l'entrée.⁴

Affirmation 4 : vraie. Une mauvaise sécurisation peut exposer la vie privée, notamment par la diffusion de coordonnées bancaires ou de codes confidentiels.⁴

Affirmation 5 : vraie. Des obligations légales, issues de la loi Informatique et Libertés, imposent de protéger les données qui concernent des personnes.⁴

Données : DCSSI en 2001, ANSSI en 2009.⁵

Calcul : $2009 - 2001 = 8$. Huit années séparent les deux créations.

Service de 1986 : le service central de la sécurité des systèmes d'information.⁵

Texte de 2001 : le décret no 2001-693 du 31 juillet 2001.⁵

Mot de passe 1 : $10^4 = 10\,000$ combinaisons.

Mot de passe 2 : $26^8 = 208\,827\,064\,576$ combinaisons.

Temps pour le mot de passe 2 : $\dfrac{26^8}{10^6} = 208\,827{,}064\,576$ secondes.

Conversion en heures : $\dfrac{208\,827{,}064\,576}{3\,600} \approx 58{,}01$ heures, soit un peu plus de deux jours. Pour le mot de passe 1, il faut seulement $\dfrac{10\,000}{10^6} = 0{,}01$ seconde.

Conseils : allonger le mot de passe et varier les types de caractères (chiffres, majuscules, symboles) augmente le nombre de combinaisons ; utiliser un mot de passe différent par compte limite les dégâts en cas de fuite.

Principe : la défense en profondeur consiste à sécuriser chaque sous-ensemble d'un système. Elle vient d'une ancienne pratique militaire ; en France, elle est promue depuis 2001 par l'État, d'abord par la DCSSI puis par l'ANSSI qui l'a remplacée.⁴⁵

Critique du gérant : un pare-feu seul protège un seul niveau. Si une personne franchit cette barrière, ou si un salarié ouvre un message piégé, plus rien ne protège les bilans. On sait de plus que la sécurité ne peut pas être garantie à 100 %, d'où l'intérêt de plusieurs mesures.⁴

Mesure technique : sauvegarder les bilans, mettre à jour les postes et chiffrer le serveur.

Mesure organisationnelle : donner à chaque salarié seulement les droits dont il a besoin, c'est le principe de la confidentialité par permissions.⁴

Mesure juridique : respecter les obligations de la loi Informatique et Libertés pour les données personnelles des clients.⁴

Mesure humaine : former les salariés à reconnaître l'hameçonnage et à gérer leurs mots de passe, deux thèmes de l'éducation à la cybersécurité.²

Données : norme en 2005, directive en juillet 2016.⁴

Calcul : $2016 - 2005 = 11$. Onze années séparent les deux dates.

Objectif de NIS : améliorer la sécurité des systèmes d'information européens, avec un niveau de sécurité élevé et commun dans l'Union.⁴⁵

Rôle de l'ANSSI : en 2018, l'agence pilote la transposition de la directive.⁵

Nature des textes : la norme ISO/CEI 27001 porte sur les systèmes de management de la sécurité de l'information et impose une amélioration continue.⁴ La directive NIS est un texte européen qui vise la sécurité des systèmes d'information de l'Union.⁴ Leur nature et leur portée diffèrent.

Rançongiciel : programme malveillant qui bloque l'accès aux données. Il figure parmi les thèmes de l'éducation à la cybersécurité.² Ici, les services sont à l'arrêt : c'est d'abord la disponibilité qui est touchée.

L'ANSSI : service français à compétence nationale, créé par décret en juillet 2009. Il dépend du secrétariat général de la Défense et de la Sécurité nationale, qui assiste le Premier ministre. L'ANSSI a la charge de la sécurité des systèmes d'information nationaux.⁵

Le CERT-FR : ce centre, intégré à la sous-direction Opérations, apporte son soutien à la gestion d'incidents, notamment pour les collectivités territoriales.⁵ Une mairie en fait partie : elle peut donc être assistée.

Aide aux victimes : le dispositif national d'assistance aux victimes de cybermalveillance est présenté dans les ressources d'éducation à la cybersécurité.² L'ANSSI structure aussi, au niveau national, l'assistance aux victimes de cyberattaques.⁵

Après l'incident : la mairie doit revoir ses mesures (sauvegardes, droits d'accès, formation), car les conséquences d'une mauvaise sécurisation peuvent toucher aussi la vie privée des habitants.⁴

Critère atteint : des informations réservées sont tombées entre des mains non autorisées. C'est la confidentialité. Les clients sont touchés dans leur vie privée par la diffusion de leurs coordonnées bancaires.⁴

Cause technique : un seul niveau de protection, le pare-feu. Cause organisationnelle : un mot de passe unique pour tous les comptes administrateurs. Cause humaine : aucun salarié formé aux risques comme l'hameçonnage.²

Plan de réponse : (1) niveau technique : mots de passe distincts, sauvegardes, mises à jour ; (2) niveau organisationnel : droits d'accès limités selon les fonctions ; (3) niveau humain et juridique : formation des salariés et respect de la loi Informatique et Libertés pour les données personnelles.⁴ Cette démarche applique la défense en profondeur.⁴

Finalités : à court terme, que chacun ait accès aux informations dont il a besoin ; à moyen terme, la cohérence de l'ensemble du système ; à long terme, maintenir la confiance des utilisateurs et des clients.⁴

Zéro risque impossible : on admet généralement que la sécurité ne peut pas être garantie à 100 %. L'entreprise promet donc des mesures pour réduire les risques, pas leur disparition.⁴

Aide extérieure : l'entreprise victime peut se tourner vers le dispositif national d'assistance aux victimes de cybermalveillance.²