Sécurité des SI

En clair. La sécurité mêle technique et organisation : le mot de passe faible reste la première faille.

Ce qu'on te demande au bac STMG : identifier un risque, sa conséquence et la parade adaptée.

Exemple simple. Un e-mail de phishing contourne l'antivirus en visant l'utilisateur.

Définition

La sécurité des systèmes d'information est l'ensemble des moyens techniques, organisationnels et juridiques visant à protéger les données et les traitements d'une organisation. Elle repose sur quatre exigences (critères DICP) :

• Disponibilité : le SI est accessible quand on en a besoin ;
• Intégrité : les données ne sont pas altérées sans autorisation ;
• Confidentialité : seules les personnes habilitées y accèdent ;
• Preuve / traçabilité : les actions sont journalisées et imputables.

Les principales menaces

Les mesures de protection

Techniques. Pare-feu et filtrage des flux, antivirus/EDR, chiffrement (HTTPS/TLS en transit, chiffrement de disque au repos), authentification forte à deux facteurs, mises à jour et correctifs, sauvegardes selon la règle 3-2-1 (3 copies, 2 supports, 1 hors site), segmentation du réseau et VPN pour le télétravail.

Organisationnelles. Politique de sécurité (PSSI), gestion des habilitations selon le principe du moindre privilège, charte informatique annexée au règlement intérieur, sensibilisation des utilisateurs, plan de continuité (PCA) et de reprise d'activité (PRA), journalisation des accès.

Juridiques. Le RGPD impose une base légale au traitement, la minimisation des données, l'information des personnes, un registre des traitements, la notification d'une violation à la CNIL sous 72 heures, et la désignation d'un DPO dans certains cas. Sanction possible : jusqu'à 4 % du chiffre d'affaires mondial ou 20 M€.

Exemple d'analyse de risque

Une PME de 40 salariés évalue le risque « rançongiciel » :

• Probabilité : élevée (postes non mis à jour, pas de 2FA sur la messagerie).
• Impact : critique (arrêt de la facturation pendant plusieurs jours).
• Criticité = probabilité × impact → priorité 1.
• Traitement : sauvegardes hors ligne quotidiennes, MFA, formation au phishing, test de restauration semestriel.

Erreurs fréquentes

• Réduire la sécurité à l'antivirus : la majorité des incidents commence par une action humaine.
• Confondre sauvegarde (copie permettant la restauration) et archivage (conservation à long terme à valeur probante), ou sauvegarde et synchronisation cloud (un fichier chiffré se propage à la copie synchronisée).
• Croire que le RGPD ne concerne que les grandes entreprises.
• Ne jamais tester la restauration : une sauvegarde non testée n'est pas une sauvegarde.

Quiz corrigé

1. Citez les quatre critères de sécurité d'un SI. → Disponibilité, intégrité, confidentialité, preuve (traçabilité).

2. Que prévoit la règle 3-2-1 ? → Trois copies des données, sur deux types de supports différents, dont une conservée hors site.

3. Sous quel délai une violation de données doit-elle être notifiée à la CNIL ? → 72 heures après en avoir pris connaissance.