QCM : Cybersécurité et conformité RGPD — 25 questions

Explication

La cybercriminalité regroupe les infractions pénales commises au moyen d’Internet ou de systèmes informatiques. La cybersécurité désigne plutôt les mesures destinées à prévenir ces infractions.

Explication

Le vol de données constitue une atteinte aux biens, tandis que l’usurpation d’identité vise directement une personne. La distinction repose donc sur la cible principale de l’infraction.

Explication

Les kits prêts à l’emploi et le Ransomware-as-a-Service facilitent la réalisation d’attaques par des acteurs moins spécialisés. Les réseaux internationaux et la recherche de revenus restent au contraire caractéristiques de cette criminalité.

Explication

La paralysie des systèmes relève de l’impact opérationnel, la perte de confiance de l’impact réputationnel et le stress de l’impact humain. Les effets de la cybercriminalité peuvent toucher plusieurs dimensions simultanément.

Explication

Une cybermenace est un danger susceptible de provoquer le vol, l’altération, l’interruption ou la destruction d’un système, d’un réseau ou de données. Les autres propositions décrivent des mesures, des outils ou des règles plutôt qu’un danger.

Explication

Les hacktivistes utilisent des actions numériques au service d’une cause idéologique ou politique. Un groupe cybercriminel recherche principalement un gain financier, tandis que les autres catégories répondent à d’autres motivations.

Explication

Le phishing repose sur des messages d’hameçonnage destinés à tromper l’utilisateur, alors que le ransomware chiffre les données et réclame une rançon. La saturation des serveurs correspond plutôt aux attaques DDoS, et l’enregistrement des frappes aux keyloggers.

Explication

En 2024, l’ANSSI a traité 144 cas de ransomware, tandis que les attaques DDoS ont augmenté de 53 %. La valeur de 5 Tbps concerne le volume de certaines attaques DDoS hyper-volumétriques, pas le nombre de cas de ransomware.

Explication

L’IA générative peut produire des hameçonnages réalistes, des deepfakes et des logiciels malveillants automatisés. Le Ransomware-as-a-Service organise la mise à disposition ou la vente de capacités de rançongiciel, plutôt que leur détection ou leur neutralisation.

Explication

L’authentification multi-facteur ajoute des facteurs de vérification et renforce ainsi l’accès aux comptes sensibles. La segmentation agit plutôt sur la circulation d’une attaque au sein du réseau.

Explication

La segmentation du réseau cloisonne les environnements et limite la propagation d’une attaque. Un antivirus détecte plutôt certaines menaces sur les terminaux sans assurer ce cloisonnement.

Explication

Des sauvegardes régulières, hors ligne, testées et versionnées facilitent une restauration après incident. Le chiffrement ou la compression peuvent être utiles, mais ne remplacent pas ces propriétés essentielles.

Explication

Vérifier l’expéditeur et les liens permet de repérer des messages frauduleux avant l’ouverture ou le clic. Des privilèges élevés et des sources non vérifiées augmentent au contraire l’exposition aux attaques.

Explication

Le RGPD est applicable depuis le 25 mai 2018. Cette réglementation renforce les droits des personnes physiques et responsabilise les organismes qui traitent leurs données.

Explication

Le RGPD peut s’appliquer lorsqu’une organisation cible des résidents européens, quelle que soit sa taille ou son lieu d’établissement. La taille de l’entreprise ne constitue pas le critère déterminant.

Explication

Une donnée personnelle se rapporte à une personne physique identifiée ou identifiable, directement ou par croisement avec d’autres informations. Une statistique véritablement agrégée ne permet pas ce rattachement individuel.

Explication

Le classement de fiches papier contenant des coordonnées est une opération réalisée sur des données personnelles et constitue donc un traitement. Un traitement peut concerner des supports papier, et pas seulement des bases numériques.

Explication

Un traitement conforme doit poursuivre une finalité déterminée et documentée, tout en reposant sur l’une des six bases légales prévues par le RGPD. La finalité décrit le but, tandis que la base légale justifie juridiquement le traitement.

Explication

Le Délégué à la Protection des Données est choisi pour ses connaissances du droit et des pratiques du RGPD et peut être interne ou externe. Aucun diplôme, agrément ou profession spécifique n’est obligatoire pour exercer cette fonction.

Explication

La mise en conformité commence par l’identification des interlocuteurs et la cartographie des traitements, puis comprend l’analyse des écarts, le plan d’action, la gestion des risques, la sécurité et la documentation. L’achat d’un logiciel ne remplace pas cette démarche structurée.

Explication

Le RGPD exige des mesures techniques et organisationnelles appropriées à chaque niveau de risque, ainsi qu’une vérification régulière de leur efficacité. Un dispositif uniforme ne tient pas compte de la diversité des risques encourus.

Explication

Un test d’intrusion doit se dérouler dans un environnement contrôlé et avec l’accord de toutes les parties concernées. Le recours à une organisation externe est possible, mais il ne remplace pas ces conditions.

Explication

L’audit commence par la définition de la mission dans une lettre de mission, avant l’évaluation des risques portant sur plusieurs composantes informatiques. La lettre de mission fixe les objectifs, tandis que l’évaluation examine l’environnement et ses risques.

Explication

La validation doit reproduire fidèlement l’environnement de production afin d’évaluer le correctif dans des conditions représentatives. Un déploiement direct en production augmente le risque de perturbation et ne constitue pas une validation préalable.

Explication

Un doute sur l’innocuité justifie le report du déploiement, avec une exception lorsque les failles existantes créent un risque critique avéré. Attendre une maintenance planifiée sans tenir compte de la gravité peut donc retarder une réponse nécessaire.