QCM : Hygiène informatique et cybersécurité — 29 questions

Explication

Un système d’information organise des ressources pour collecter, stocker, traiter et distribuer l’information. Les autres réponses décrivent des activités opérationnelles de l’entreprise plutôt que la fonction centrale du système d’information.

Explication

Un système d’information associe des technologies matérielles, logicielles et de télécommunication aux processus métier et aux données. Les autres ensembles regroupent des ressources économiques ou organisationnelles qui ne constituent pas cette définition complète.

Explication

Le système d’information est devenu indispensable au fonctionnement de l’entreprise, ce qui explique son rôle vital. Il ne remplace pas la décision managériale et ne garantit pas automatiquement la rentabilité.

Explication

Un ERP gère les processus internes de l’entreprise, notamment la production et la comptabilité. Un CRM concerne plutôt la relation client, tandis que la messagerie et la navigation web répondent à d’autres usages.

Explication

Un CRM est conçu pour gérer la relation client. La planification de la production et la comptabilité relèvent plutôt de processus internes pouvant être pris en charge par un ERP.

Explication

Le fonctionnement des logiciels dépend simultanément de l’environnement logiciel, matériel, réseau et humain. Réduire cet environnement aux applications, aux équipements ou aux utilisateurs écarte des composantes nécessaires.

Explication

Les risques pesant sur un système d’information comprennent notamment les accidents involontaires et les actes de malveillance volontaires. La distinction repose donc sur l’intention, et non sur le type de ressource touchée.

Explication

La sécurité vise à réduire les risques afin de limiter leurs impacts sur le fonctionnement et les activités métiers de l’organisation. Elle ne peut pas supprimer toutes les menaces et son objectif n’est pas directement d’automatiser les décisions commerciales.

Explication

La méthode MEHARI articule l’appréciation des risques, leur traitement, puis la gestion des plans d’action associés. L’analyse des incidents et la restauration des services relèvent d’autres activités de sécurité, mais ne constituent pas les trois étapes de cette méthode.

Explication

L’appréciation identifie les risques, estime leur potentialité et leur impact, puis combine ces éléments pour obtenir leur gravité. Le propriétaire ou le niveau de chiffrement peuvent intervenir dans la gestion du risque, mais ne résultent pas de ce calcul.

Explication

Transférer un risque consiste à en faire porter les conséquences ou la responsabilité par un tiers. L’accepter signifie conserver le risque sans mesure de réduction, tandis que le réduire vise à diminuer sa probabilité ou son impact.

Explication

La sûreté vise les accidents et dysfonctionnements involontaires, alors que la sécurité vise les actions malveillantes intentionnelles. Une panne ou une erreur relève donc de la sûreté, tandis qu’une intrusion relève de la sécurité.

Explication

Une vulnérabilité est une faiblesse pouvant découler de la conception, de la réalisation, de l’installation, de la configuration ou de l’utilisation d’un bien. Une cause potentielle d’incident définit plutôt une menace, tandis qu’une action malveillante constitue une attaque.

Explication

Une menace est une cause potentielle d’incident qui pourrait provoquer des dommages si elle se concrétisait. Une faiblesse correspond à une vulnérabilité et une action qui l’exploite correspond à une attaque.

Explication

Une attaque est une action malveillante qui porte atteinte à la sécurité, concrétise une menace et exploite une vulnérabilité. Une panne accidentelle relève de la sûreté, tandis que l’évaluation d’un risque appartient à l’appréciation des risques.

Explication

La surface d’attaque correspond à l’ensemble des points par lesquels le système communique ou peut être atteint depuis l’extérieur ou l’intérieur. Les sauvegardes et les mesures de protection sont des éléments de défense, pas des composantes de la surface d’attaque.

Explication

Une surface d’attaque plus étendue offre davantage de points susceptibles d’être exploités, ce qui augmente l’exposition et rend la défense en profondeur plus importante. Multiplier les communications ne réduit pas par lui-même le risque et ne supprime pas le besoin d’analyse.

Explication

La surface d’attaque se décompose en dimensions logicielle, réseau, humaine et physique. Le phishing relève notamment de la dimension humaine, tandis que l’accès aux machines relève de la dimension physique.

Explication

Le BYOD correspond à l’emploi de machines personnelles situées hors du périmètre contrôlé, ce qui complique l’évaluation et la maîtrise de leurs vulnérabilités. La connexion d’équipements fournis par l’organisation ne relève pas de cette définition.

Explication

Un plan de reprise d’activité regroupe des procédures techniques, organisationnelles et de sécurité destinées à reconstruire l’infrastructure et à relancer rapidement les applications. L’analyse des journaux peut contribuer à une enquête, mais elle ne constitue pas l’objectif principal de la reprise.

Explication

Les attaques DDoS figurent parmi les menaces particulières, au même titre que l’écoute réseau, les intrusions physiques ou les problèmes d’alimentation. Une mise à jour planifiée et une réplication vérifiée sont des opérations de sécurité ou de continuité, non des menaces en elles-mêmes.

Explication

Le phishing repose sur la tromperie et l’usurpation d’un interlocuteur légitime afin d’obtenir une action ou une information. Le cassage de mot de passe tente directement des combinaisons, sans nécessairement passer par une manipulation de la victime.

Explication

L’ingénierie sociale exploite le facteur humain, notamment au moyen du phishing par courriel, des appels frauduleux ou de macros malveillantes. La capacité de stockage, le refroidissement et la segmentation concernent l’infrastructure technique plutôt que la manipulation des personnes.

Explication

Un lien reçu dans un courriel suspect ne doit pas être utilisé, car il peut conduire vers une page frauduleuse ou malveillante. Le fait d’employer un appareil personnel ou de transférer le lien ne supprime pas le risque associé à son contenu.

Explication

La robustesse mesure la résistance au cassage et dépend de la longueur, de la complexité et du caractère aléatoire du mot de passe. Le nombre de comptes ou la marque du dispositif peuvent influencer les pratiques de sécurité, mais ne définissent pas directement cette robustesse.

Explication

Lorsque chaque position peut prendre l’une des $N$ valeurs et que le mot de passe comporte $L$ positions, le nombre de combinaisons est $N^L$. L’expression $L^N$ inverse les rôles de la longueur et du nombre de caractères disponibles.

Explication

Un mot de passe unique et robuste par compte réduit l’impact d’une compromission, tandis qu’un gestionnaire facilite leur utilisation. Réutiliser un même mot de passe augmente au contraire le risque qu’une fuite donne accès à plusieurs comptes.

Explication

Des renouvellements fréquents conduisent souvent les utilisateurs à modifier très peu leurs mots de passe, ce qui limite le bénéfice de la mesure. La double authentification et les gestionnaires de mots de passe ne sont pas rendus incompatibles par cette pratique.

Explication

L’administrateur doit définir une politique raisonnable, remplacer les mots de passe par défaut et activer la double authentification. Conserver les identifiants initiaux laisse les équipements exposés, tandis que le partage des comptes réduit la traçabilité.