Fiche de révision : Fondamentaux de la cybersécurité

📋 Plan du Cours

1. Enjeux et objectifs de la cybersécurité
2. Systèmes de traitement des données
3. Familles d’attaques contre les STAD
4. Intrusions et perturbations techniques
5. Malwares et scénarios d’infection
6. Ingénierie sociale et attaques physiques
7. Écosystème français de cybersécurité
8. Réagir et protéger ses données
9. RGPD et droits numériques

📖 1. Enjeux et objectifs de la cybersécurité

📝 Points essentiels

• En France, 90 % des entreprises ont subi une cyberattaque en 2023 selon l’ANSSI, un Français sur 4 a déjà été victime d’une escroquerie en ligne selon l’IFOP et le coût moyen d’une cyberattaque pour une PME est de 50 000 €.

📌 La cybersécurité vise à comprendre, anticiper et traiter les menaces qui touchent les utilisateurs, les étudiants, les professionnels et les organisations.

💡 Astuce mémo

Vulnérabilité → attaque → perte de données, d’argent ou d’activité

📖 2. Systèmes de traitement des données

🔑 Notions clés & Définitions

• STAD : Tout système informatique capable de stocker, traiter ou transmettre des données de manière automatisée.

★ À maîtriser

• Un STAD comprend trois composantes principales:

  • le matériel
  • les logiciels
  • les données

• Les objectifs principaux des cybercriminels sont:

  • voler des données
  • saboter un système
  • espionner les activités
  • utiliser les ressources du système

Compléments

• Les principaux exemples de STAD sont:
  • les ordinateurs personnels
  • les smartphones
  • les serveurs web
  • les réseaux d’entreprise
  • les services cloud
  • les objets connectés IoT

💡 Astuce mémo

Un STAD comme un organisme composé de matériel, logiciels et données

📖 3. Familles d’attaques contre les STAD

📝 Points essentiels

• Les cinq grandes familles d’attaques sont:
  • les attaques par intrusion
  • les attaques par déni de service
  • les attaques par malware
  • les attaques par ingénierie sociale
  • les attaques physiques

💡 Astuce mémo

I-M-S-D-P : Intrusion, Malware, Social, Déni, Physique

📖 4. Intrusions et perturbations techniques

🔑 Notions clés & Définitions

• Accès frauduleux : Consiste à pénétrer dans un STAD sans autorisation et relève de l’article 323-1 du Code pénal.
• Maintien frauduleux : Consiste à rester dans un STAD après y être entré, même légalement au départ, et relève de l’article 323-2 du Code pénal.
• Obstacle au fonctionnement : Consiste à bloquer, ralentir ou perturber un STAD et relève de l’article 323-3 du Code pénal.

📝 Points essentiels

📌 Une attaque DoS utilise une source pour surcharger un service, tandis qu’une attaque DDoS distribue la surcharge entre plusieurs machines, souvent contrôlées par un botnet.

💡 Astuce mémo

Accès frauduleux = entrer ; maintien frauduleux = rester ; obstacle = perturber

📖 5. Malwares et scénarios d’infection

🔑 Notions clés & Définitions

• Malware : Programme conçu pour nuire à un STAD.

📝 Points essentiels

• Les principaux types de malwares sont:

  • le virus
  • le ver
  • le cheval de Troie
  • le rançongiciel
  • le spyware
  • l’adware
  • le rootkit
  • le botnet

• Un rançongiciel infecte le système, s’exécute, chiffre les fichiers, affiche une demande de rançon et peut entraîner une perte définitive des données si elles ne sont pas restaurées.

• En 2017, WannaCry, à la fois rançongiciel et ver, a infecté 200 000 ordinateurs dans 150 pays, paralysé des hôpitaux britanniques avec l’annulation de 19 000 rendez-vous et causé un coût estimé à 4 milliards de dollars.

💡 Astuce mémo

Infection → exécution → chiffrement → rançon

📖 6. Ingénierie sociale et attaques physiques

🔑 Notions clés & Définitions

• Ingénierie sociale : Technique qui manipule les utilisateurs pour leur faire révéler des informations ou effectuer des actions dangereuses.

★ À maîtriser

• Les principales attaques d’ingénierie sociale sont:
  • le phishing
  • le spear phishing
  • le vishing
  • le smishing
  • le pretexting
  • le baiting
  • le quid pro quo

Compléments

• Les principales attaques physiques sont:
  • le vol de matériel
  • l’accès non autorisé à un local
  • la destruction de matériel
  • le keylogger physique
  • l’USB Drop Attack

💡 Astuce mémo

Ingénierie sociale = manipuler l’humain ; attaque physique = accéder au matériel

📖 7. Écosystème français de cybersécurité

★ À maîtriser

• L’ANSSI, créée en 2009 sous l’autorité du Secrétariat Général de la Défense et de la Sécurité Nationale, protège les systèmes d’information des administrations, des OIV et des entreprises stratégiques.

• Pharos, créée en 2009 et gérée par l’OCLCTIC, permet de signaler des contenus illicites sur Internet.

• Cybermalveillance.gouv.fr propose:

  • le diagnostic
  • les conseils
  • le signalement
  • la formation

Compléments

• L’OCLCTIC, créé en 2000 sous l’autorité de la Police Nationale, lutte contre la cybercriminalité par les enquêtes, la coordination et la formation.

• Le CERT-FR répond aux incidents de sécurité, le CLUSIF organise les échanges entre professionnels et France Cybersecurity soutient la filière française de cybersécurité.

💡 Astuce mémo

ANSSI protège, Pharos signale, Cybermalveillance aide, CNIL régule, OCLCTIC enquête

📖 8. Réagir et protéger ses données

📝 Points essentiels

📌 Les mesures essentielles de protection sont la mise à jour des logiciels, l’utilisation de mots de passe forts avec un gestionnaire, l’activation de la double authentification et la sauvegarde des données.

• En cas d’attaque, une victime peut signaler un contenu illicite à Pharos, une cyberattaque à Cybermalveillance.gouv.fr et une atteinte à ses données personnelles à la CNIL.

💡 Astuce mémo

Prévenir → détecter → signaler → restaurer

📖 9. RGPD et droits numériques

🔑 Notions clés & Définitions

• RGPD : Loi européenne entrée en vigueur en 2018 qui encadre le traitement des données personnelles des citoyens européens.

📝 Points essentiels

• Les principaux droits et obligations du RGPD sont:
  • le consentement
  • le droit d’accès
  • le droit à l’oubli
  • le droit à la portabilité
  • la notification des fuites

📌 Une entreprise doit notifier une fuite de données aux personnes concernées dans les 72 h.

• La CNIL peut sanctionner les entreprises qui ne respectent pas le RGPD par une amende pouvant atteindre 4 % du chiffre d’affaires mondial.

📊 Tableaux de synthèse

Plateformes françaises et missions