QCM : Cybersécurité et prévention des incidents (70 questions)

Explication

Une donnée est un enregistrement restituable d’une information, qui peut prendre plusieurs formes. La confondre avec l’information abstraite, avec une définition juridique générale ou avec le seul texte déforme cette définition.

Explication

Un système d’information réunit des ressources physiques et numériques organisées pour collecter, stocker, traiter, structurer et distribuer l’information. Le parc informatique néglige l’organisation et les fonctions, la base de données n’est qu’un élément possible, et le droit du numérique est un ensemble de règles.

Explication

La numérisation concerne ce que l’usage de données rend possible et s’arrête lorsque la chose elle-même ne peut pas être numérisée : le billet peut l’être, contrairement au voyage. Assimiler le trajet à son billet confond représentation et expérience physique; les autres réponses inversent ou restreignent cette distinction.

Explication

Pour l’ANSSI, la cybersécurité est l’état recherché afin que le système d’information résiste aux événements du cyberspace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données. La réduction aux pannes matérielles ou aux seules données personnelles est trop étroite, tandis qu’une garantie d’absence de tout événement dépasse la définition.

Explication

Le Conseil de l’Europe définit l’intelligence artificielle comme un ensemble de sciences, de théories et de techniques qui ambitionne d’imiter les capacités cognitives d’un être humain. La réponse sur le système automatisé renvoie à la définition de l’article 3 du RIA, tandis que les autres restreignent ou modifient cette définition.

Explication

Les chatbots fondés sur des LLM repèrent des tendances afin de deviner l’option suivante; l’IA repose sur des probabilités, non sur des vérités. Les traiter comme des moteurs de recherche confond génération et recherche documentaire, tandis qu’une prédiction probable ne constitue pas une preuve de vérité.

Explication

Le droit doit rendre possible l’utilisation de l’IA tout en encadrant la perte d’autonomie humaine et en prévoyant des mécanismes de responsabilité liés aux décisions qui lui sont confiées. L’interdiction empêcherait l’utilisation, tandis qu’une délégation sans limites ou une simple évaluation technique omettrait les enjeux d’encadrement et de responsabilité.

Explication

L’accountability fixe des principes directeurs, fournit des outils de mise en œuvre et demande aux organisations d’expliquer leurs choix. La méthode juridique classique vise plutôt à établir une règle précise en amont; la cartographie représente les flux et les acteurs; le DPO explique les traitements de données personnelles.

Explication

La démarche consiste à examiner le projet, repérer les principes auxquels il se confronte, choisir les outils juridiques permettant de les respecter, puis documenter les mécanismes et procédures mis en œuvre. Documenter d’abord inverse l’ordre de la démarche; fixer une règle unique confond accountability et méthode juridique classique; choisir les mécanismes avant l’analyse omet l’examen préalable du projet.

Explication

La protection by design consiste à prendre des mesures de protection des données et à vérifier leur adéquation à l’aide de listes de contrôle. La protection by default porte sur les réglages sécurisés dès le départ; la cartographie décrit les flux et les accès; l’accountability concerne la justification des choix de l’organisation.

Explication

La cartographie représente les flux de données et les acteurs qui peuvent y accéder; elle doit être continuellement mise à jour. Un registre documente les traitements sans nécessairement représenter les flux, une carte figée ne reste pas fiable après des changements, et une liste de contrôle ne décrit pas les accès.

Explication

L’ANSSI relève de l’autorité du Premier ministre. Les ministères de l’Intérieur, de l’Économie et de la Justice mobilisent d’autres services dans la lutte contre la cybercriminalité.

Explication

Un OIV est un opérateur public ou privé dont les établissements, installations ou ouvrages, s’ils deviennent indisponibles, risqueraient de diminuer fortement des capacités ou intérêts vitaux de la nation. Un SIIV désigne le système, et un opérateur de services essentiels relève d’une autre catégorie encadrée par NIS1; une autorité est un acteur institutionnel.

Explication

Un SIIV est un système dont l’atteinte à la sécurité ou au fonctionnement pourrait notamment présenter un danger grave pour la population. Un opérateur de services essentiels est défini par l’impact de l’interruption de son service; un OIV désigne un opérateur, et un service administratif est une entité institutionnelle.

Explication

Les trois critères incluent l’importance du service pour des activités critiques, sa dépendance aux réseaux et l’effet disruptif important qu’un incident aurait sur sa fourniture. Le rattachement au Premier ministre concerne l’ANSSI; la menace sur le potentiel de guerre renvoie à la définition d’un OIV; l’appartenance à une catégorie relève de la sélection des opérateurs, non du critère manquant.

Explication

L’hébergeur fournit les moyens technologiques permettant au service de fonctionner. Créer les données relève de l’éditeur, tandis que les transporter relève du fournisseur d’accès.

Explication

En l’absence de régime juridique cyber spécifique pour les prestataires, leurs clients leur imposent contractuellement le niveau de sécurité requis, notamment par des annexes. L’idée d’un régime spécifique confond leur situation avec celle d’acteurs soumis à des obligations propres.

Explication

Les intervenants comprennent notamment les forces de l’ordre, l’ANSSI, la CNIL, les administrations, les CSIRT, les associations, les lanceurs d’alerte et les RSSI. Les fournisseurs d’accès, éditeurs et hébergeurs sont des catégories d’acteurs numériques, non la liste des intervenants visée ici.

Explication

L’article prévoit une exonération pour le lanceur d’alerte qui, après le piratage, fournit des informations sur les vulnérabilités. Le vol d’informations n’est pas couvert, et l’exonération ne s’étend pas à une activité sans piratage ni signalement.

Explication

La loi informatique et libertés de 1978 établit un premier cadre français relatif à la coexistence de l’informatique et des libertés fondamentales. 1988 correspond à la loi Godfrain, 2004 à la loi sur la confiance dans l’économie numérique et 2016 à NIS et au RGPD.

Explication

La loi sur la confiance dans l’économie numérique, adoptée en 2004, définit ces trois catégories d’acteurs. La loi informatique et libertés date de 1978, la loi Godfrain de 1988 et NIS de 2016.

Explication

Adoptée en 2022, la directive NIS 2 vise à élargir le périmètre de cybersécurité et à durcir les exigences et les sanctions. La directive NIS et le RGPD ont été adoptés en 2016, tandis que DORA fait partie des textes récents de cybersécurité.

Explication

Les textes récents cités comprennent NIS 2, DORA, l’IA Act, le Cyber Resilience Act, le Digital Services Act et le Digital Markets Act. L’option regroupant NIS, le RGPD et la loi Godfrain mélange des textes antérieurs avec cette liste.

Explication

NIS 1, adoptée en 2016 et transposée en France en 2018, reste applicable tant que NIS 2 n’a pas été transposée. L’adoption européenne de NIS 2 ne signifie pas qu’elle est déjà transposée en France.

Explication

NIS 1 associe un cadre de coopération européen, une gouvernance dans chaque État membre et le renforcement de la cybersécurité des opérateurs de services essentiels et des fournisseurs de services numériques. Réduire ses objectifs à la seule coopération ou lui attribuer l’approche des chaînes d’approvisionnement confond ses objectifs avec des éléments plus spécifiques de NIS 2.

Explication

Sous NIS 1, un OSE doit se protéger, réagir aux attaques et notifier tout incident suffisamment grave pour affecter la continuité de son service. L’identification et la gestion détaillée des risques correspondent aux obligations des FSN, tandis qu’une interruption déjà réalisée n’est pas requise pour déclencher la notification.

Explication

NIS 2 étend le champ à davantage de secteurs et d’entités, prend en compte les chaînes d’approvisionnement, uniformise le signalement et renforce exigences et sanctions. Un périmètre restreint ou un allègement des obligations inverse cette évolution.

Explication

Le RGPD concerne les activités professionnelles, y compris associatives, et encadre les traitements de données personnelles au lieu de les interdire. L’idée d’une interdiction confond protection et prohibition, et l’exclusion des associations ne correspond pas à son champ.

Explication

L’article 32 prévoit une sécurité du traitement adaptée aux moyens des acteurs et à l’activité concernée, et non un niveau identique pour tous. Le volume de données ou le secteur pris isolément ne remplace pas ces deux critères.

Explication

DORA renforce la sécurité informatique du secteur financier, vise une réponse européenne unifiée et cherche à limiter les vulnérabilités systémiques ainsi que la multiplication des incidents. L’encadrement général des données personnelles relève plutôt du RGPD.

Explication

L’IA Act distingue les risques modérés, soumis à des obligations de transparence, des risques élevés, soumis à des obligations spécifiques, et des risques inacceptables, qui entraînent l’interdiction. L’interdiction et les obligations spécifiques correspondent donc à d’autres catégories.

Explication

Une information relève du secret des affaires si elle est secrète, tire une valeur de ce secret et fait l’objet de mesures de protection. Une simple information interne ne suffit pas sans valeur liée au secret, un droit d’auteur est une autre protection, et les mesures prises ne prouvent pas à elles seules une violation.

Explication

Les trois protections visent l’obtention illicite, l’utilisation illicite et la connaissance de l’origine illicite. « Protéger, prévenir et juger » désigne les objectifs, tandis que le secret, la valeur et les outils de protection sont les critères.

Explication

La violation du secret des affaires est sanctionnée au civil, et non par des sanctions pénales. Les sanctions administratives et disciplinaires relèvent d’autres cadres.

Explication

Le DSA et le DMA sont entrés en vigueur en 2023 pour encadrer les pratiques des géants du Web et des marchés numériques. 2022 anticipe la date, tandis que 2024 et 2025 la repoussent.

Explication

L’ANSSI a été créée en 2009, intervient sur l’ensemble du territoire français et relève de l’autorité du Premier ministre ; elle n’est pas indépendante. L’indépendance, le rattachement au ministre de l’Intérieur et le périmètre régional contredisent ces caractéristiques.

Explication

L’ANSSI intervient en défense et apporte des réponses aux systèmes d’information affectés, notamment ceux d’un hôpital. La sanction de la victime, la certification des soins et le remplacement général de son équipe ne décrivent pas cette mission.

Explication

NIS 1 vise la sécurité, tandis que NIS 2 renforce cet objectif en tenant notamment compte du risque d’espionnage par un prestataire cloud. La continuité seule ou le risque physique seul rétrécissent à tort le champ, et l’attribution de ce risque spécifique à NIS 1 inverse la distinction.

Explication

L’homologation s’appuie sur la cartographie des risques, la définition d’un niveau de risque objectif, le choix de moyens de sécurité, une éventuelle intervention extérieure et un suivi. Le choix des moyens avant l’analyse inverse la démarche, le contrôle extérieur peut être éventuel, et les risques doivent être évalués en amont.

Explication

La couverture de tiers vise la responsabilité de l’assuré envers d’autres personnes après un événement cyber. La couverture de première partie concerne les pertes propres, tandis que les frais de restauration et les pertes internes ne désignent pas l’action en responsabilité des clients.

Explication

L’indemnisation suppose le dépôt d’une plainte par la victime auprès des autorités compétentes dans les 72 heures. La déclaration à l’assureur ne remplace pas cette plainte, et les délais de cinq jours ou de 24 heures ne correspondent pas à la règle indiquée.

Explication

La Cour a jugé qu’une attaque informatique n’est pas imprévisible et ne constitue donc pas un cas de force majeure. L’extériorité ou le caractère malveillant ne suffit pas à rendre l’attaque imprévisible, et le délai de plainte relève d’une autre règle.

Explication

Une cyberattaque est un comportement malveillant dirigé contre un système informatique, avec des objectifs tels qu’un acte illicite, l’espionnage, le sabotage ou la déstabilisation. Une panne accidentelle n’a pas ce caractère malveillant, et une perte de données ne suffit pas à établir une attaque.

Explication

La cryptologie permet de chiffrer et de déchiffrer les données afin de protéger notamment leur confidentialité pendant leur stockage ou leur transmission. La traçabilité suit les flux, la minimisation limite les données conservées et l’anonymisation rompt le lien avec la personne.

Explication

L’anonymisation rompt totalement et définitivement le lien avec la personne ; une table qui permet de retrouver cette personne indique donc une pseudonymisation. Remplacer les noms ne suffit pas à anonymiser, et ni la minimisation ni le chiffrement ne décrivent ici le maintien d’un lien de réidentification.

Explication

Une donnée anonymisée de façon irréversible n’est plus une donnée à caractère personnel et sort donc du champ du RGPD. Une donnée pseudonymisée reste soumise au règlement parce qu’un lien d’identification subsiste ; le chiffrement, à lui seul, ne prouve pas une rupture irréversible du lien.

Explication

La minimisation réduit les risques en limitant les données conservées à ce qui est nécessaire et en appliquant des durées adaptées. La traçabilité concerne les flux, l’anonymisation rompt le lien avec la personne et la cryptologie protège les données par le chiffrement et le déchiffrement.

Explication

Le contrôle d’accès restreint l’accès aux personnes, services ou machines dûment autorisés, conformément au principe de nécessité et aux exigences de sécurité. L’authentification seule ne suffit pas, la commodité ne remplace pas la nécessité et les services comme les machines sont aussi concernés.

Explication

La biométrie regroupe des techniques qui reconnaissent automatiquement un individu à partir de caractéristiques physiques, biologiques ou comportementales. Les données déclarées ne sont pas en elles-mêmes des caractéristiques biométriques, et les comportements font bien partie des catégories possibles.

Explication

L’AI Act interdit la reconnaissance faciale par biométrie, tandis que l’analyse algorithmique d’images sans recherche d’identification peut être autorisée par les législations nationales. Confondre analyse et identification élargit à tort l’interdiction, et l’absence d’identification ne constitue pas une interdiction générale.

Explication

La vidéosurveillance concerne les lieux non ouverts au public, alors que la vidéoprotection vise les lieux publics ou ouverts au public. Le fait que plusieurs salariés ou une entreprise utilisent le lieu ne le rend pas accessible au public.

Explication

Les OIV doivent informer sans délai le Premier ministre d’un incident de sécurité, et un formulaire de déclaration est disponible sur le site de l’ANSSI. Le délai de 72 heures relève de certaines violations de données personnelles, et le site de l’ANSSI fournit le formulaire sans changer le destinataire.

Explication

Dans le cadre NIS, les fournisseurs de services numériques notifient les incidents qui affectent significativement la fourniture du service. Le critère de continuité concerne les OSE, tandis que le risque pour les droits et libertés relève de la notification prévue par le RGPD.

Explication

L’article 33 impose de notifier à l’autorité, dans les 72 heures, les violations de données personnelles susceptibles d’engendrer un risque pour les droits et libertés. La communication directe aux personnes concerne les violations particulièrement graves, et le critère NIS porte sur l’impact sur les services.

Explication

La méthode enchaîne l’évaluation de l’atteinte, la documentation, la notification, l’application des règles internes, la mise en place d’une cellule de crise et l’évaluation a posteriori du retour d’expérience. La notification ne précède pas l’évaluation et la clôture immédiate ne remplace pas le retour d’expérience.

Explication

La cybercriminalité comprend les infractions pénales tentées ou commises à l’encontre ou au moyen d’un système d’information et de communication. L’idée qu’une tentative échouée est exclue confond tentative et réussite, tandis que les autres réponses écartent à tort les infractions commises au moyen d’un système ou celles qui ne sont pas directement dirigées contre Internet.

Explication

La Convention de Budapest prévoit dans chaque pays un point de contact disponible 24 h/24 et 7 j/7 pour faciliter l’entraide urgente, notamment lors d’une cyberattaque en cours. L’harmonisation des peines n’est pas la fonction de ce point de contact, et les autres propositions substituent à ce mécanisme des dispositifs différents ou tardifs.

Explication

La convention de l’ONU vise à compléter, et non à remplacer, la Convention de Budapest, notamment pour rechercher un terrain d’entente avec des États comme la Russie et la Chine. La réponse qui parle de remplacement reprend précisément la confusion entre complémentarité et substitution.

Explication

L’accès initial peut être régulier alors que le maintien devient frauduleux si la personne poursuit son utilisation sans autorisation et avec une intention frauduleuse. L’autorisation passée ne couvre pas la poursuite de l’accès, et la modification des données désigne une conduite distincte.

Explication

L’article 323-1 punit l’accès ou le maintien frauduleux de trois ans d’emprisonnement et de 100 000 € d’amende. Les peines de cinq ans et 150 000 € concernent notamment les infractions des articles 323-2 et 323-3, et la peine de sept ans et 300 000 € correspond à une aggravation particulière.

Explication

L’article 323-2 réprime l’entrave ou la falsification effective du fonctionnement du système, tandis que l’article 323-3 vise notamment les opérations frauduleuses sur les données qu’il contient. La réponse inversant ces objets traduit la confusion centrale entre atteinte au fonctionnement et atteinte aux données.

Explication

L’article 323-3-1 sanctionne notamment la détention, sans motif légitime, de moyens spécialement adaptés aux infractions informatiques, sous réserve d’exceptions telles que la recherche ou la sécurité informatique. L’article 323-1 concerne l’accès ou le maintien frauduleux, le 323-2 le fonctionnement du système et le 323-3 les données.

Explication

Les amendes administratives peuvent sanctionner une violation délibérée ou négligente et ont une fonction punitive ; la réparation prévue à l’article 82 vise le préjudice subi. Confondre les deux fonctions inverse leur rôle, attribuer l’amende à la victime méconnaît la compétence de l’autorité, et exclure la négligence contredit les conditions de sanction.

Explication

Il y a détournement de finalité lorsque des données sont utilisées pour un objectif autre que celui couvert par le fondement légal et proportionné du traitement. La collecte initiale légale ne rend pas conforme un usage ultérieur différent ; la conservation excessive concerne la durée, et la collecte illicite concerne la manière de recueillir les données.

Explication

La conduite recommandée consiste à figer les preuves, débrancher le système sans l’éteindre, sécuriser ce qui reste sous contrôle, puis déposer plainte ou une main courante avant d’envisager la remédiation. Éteindre détruit potentiellement des éléments utiles, remédier trop tôt intervient avant les étapes prévues, et attendre retarde la préservation des preuves.

Explication

Le PCA prépare le fonctionnement de l’organisation pendant l’incident, tandis que le PRA organise le redémarrage de l’activité ; ensemble, ils anticipent le rétablissement après une attaque. La remédiation intervient après l’incident, le PRA n’est pas le plan de continuité, et la PSSI organise la sécurité plutôt que ces deux fonctions de rétablissement.

Explication

Les outils juridiques sont les règles de droit, tandis que les outils techniques sont les mesures concrètes mises en œuvre en application de ces règles. Inverser les catégories confond leur nature, assimiler les mesures à la PSSI confond un outil organisationnel avec les mesures elles-mêmes, et les règles de droit ne sont pas des procédures techniques.

Explication

Le Cyber Resilience Act entre en vigueur le 10 décembre 2024, mais son application générale commence le 11 décembre 2027. Le 7 janvier 2025 est une date contradictoire figurant dans l’extrait, et 2026 ne correspond pas à l’échéance indiquée.

Explication

Le programme d’Interpol gère une base de données internationale accessible aux services d’enquête des pays qui en demandent l’accès. La convention confond la base avec un texte juridique, le réseau national avec sa portée internationale, et la base européenne avec son échelle mondiale.

Explication

Le plafond correspond au montant le plus élevé entre 10 millions d’euros et 2 % du chiffre d’affaires mondial : $0{,}02 \times 800 = 16$ millions d’euros. Retenir 10 millions revient à négliger la comparaison, 10 milliards reprend un montant erroné, et 26 millions additionne les deux plafonds.