Quels moyens composent la sécurité informatique ?
Des moyens techniques, organisationnels, juridiques et humains.
Quels sont les deux dangers majeurs pour les systèmes informatiques ?
La perte de données et la fuite de données ou les intrusions.
Quelle solution prévient la perte de données ?
La sauvegarde et la mise en place d’un système de back-up.
Que protège la confidentialité des communications ?
Le contenu des messages ou des données contre leur interception.
Que garantit l’intégrité des données et des services ?
Leur non-altération.
Que garantit la disponibilité d’un service ?
L’accès au service ou aux ressources.
Comment un virus se reproduit-il dans un autre programme ?
En infectant le programme et en le modifiant.
Comment un ver se propage-t-il ?
À travers le réseau.
Que dissimule un cheval de Troie sous une apparence utile ?
Du code destiné à créer une porte dérobée dans le système.
Quelles étapes composent le contrôle d’accès aux ressources ?
L’administration, l’identification, l’authentification et l’autorisation.
Que fait un sujet lors de l’identification ?
Il prétend avoir une identité et engage ainsi sa responsabilité pour ses actions.
À quoi servent les contrôles d’accès préventifs ?
À empêcher qu’une activité non autorisée se produise.
Quel est le but des contrôles d’accès détectifs ?
Découvrir une activité non autorisée.
Que rétablissent les contrôles d’accès correctifs après une activité non autorisée ou non désirée ?
Les systèmes à un état normal.
Que fait automatiquement un IDS avec les informations d’audit et les événements système ?
Il les analyse, y compris en temps réel.
Comment un NIDS détecte-t-il les attaques ou anomalies réseau ?
En capturant et en évaluant les paquets réseau.
Quels éléments compromis un HIDS identifie-t-il sur un hôte ?
Les fichiers et les processus.
Qu’est-ce qu’un pare-feu et quelles couches OSI analyse-t-il ?
Un système matériel ou logiciel contrôlant la circulation des paquets entre des réseaux grâce aux couches 3, 4 et 7.
Sur quels critères un pare-feu statique sans état décide-t-il d’autoriser l’accès ?
L’adresse source, l’adresse destination, le numéro de port et le protocole.
Quels états de connexion un pare-feu dynamique avec état conserve-t-il ?
NEW, ESTABLISHED, RELATED et INVALID.
Quelles disciplines comprend la cryptologie ?
La cryptographie et la cryptanalyse.
Qu’est-ce qu’une infrastructure à clé publique (PKI) ?
Un ensemble de solutions techniques fondées sur la cryptographie à clé publique.
Quel est le rôle d’une autorité de certification (AC) ?
Vérifier les informations d’un certificat de clé publique et le signer avec sa propre clé.
Selon quels critères la sécurité d’un système d’information est-elle évaluée ?
La disponibilité, l’intégrité, la confidentialité et la traçabilité.
Que certifie un organisme de certification accrédité pour ISO 27001 V2022 ?
La mise en œuvre d’un système de management de la sécurité conforme à ISO 27001 V2022.
Qu’imposent les articles 4 à 10 d’ISO 27001 à une organisation revendiquant sa conformité ?
Elle doit respecter toutes leurs exigences obligatoires.
À quoi le SMSI doit-il être conforme ?
À ISO 27001.
Quand faut-il envisager les tests de sécurité des applications ?
Pendant la transition à leur réception et avant la livraison d’une nouvelle version.
Qui doit connaître et appliquer la politique de sécurité ?
Tous les collaborateurs et sous-traitants.
À qui faut-il transmettre une copie de l’inventaire des actifs du projet ?
À l’équipe sécurité.
Comment un antivirus détecte-t-il les menaces informatiques ?
Avec une base d’empreintes de virus connus ou un système d’intelligence artificielle.
Quels flux de données un pare-feu contrôle-t-il ?
Les flux entrants et sortants.
Où se trouve un pare-feu réseau par rapport au réseau de l’entreprise ?
Entre un accès externe et le réseau de l’entreprise.
Que signifie SDLC et quel est son objectif général ?
Le cycle de vie du développement logiciel organise la création d’un logiciel de qualité répondant aux besoins des utilisateurs.
Quelles sont les phases du SDLC, dans l’ordre ?
Planification, analyse des exigences, conception, développement, tests, déploiement, maintenance et support.
Que décrivent les exigences fonctionnelles d’un logiciel ?
Ce que le logiciel doit faire.
Que recense l’OWASP Top 10 ?
Les principales vulnérabilités des applications web.
Que permet potentiellement une injection exploitant une validation insuffisante des entrées ?
L’exécution de commandes sur une base de données ou un système d’exploitation.
Quels diagrammes la stratégie de test doit-elle présenter et que doivent-ils mettre en évidence ?
Des diagrammes d’architecture fonctionnelle, d’interactions inter-systèmes, de packages et de serveurs, mettant en évidence les changements et leurs impacts.
Quelles exigences la stratégie de test doit-elle lister et relier aux diagrammes ?
Les exigences fonctionnelles et non fonctionnelles impactées par les différents diagrammes.
Que recense la matrice de couverture pour chaque exigence ?
Sa criticité, représentant son importance métier, et sa priorité, correspondant à son ordre au niveau du projet.
Qu’évalue un test d’intrusion, ou pentest ?
La sécurité d’un système informatique en simulant des attaques malveillantes pour identifier et corriger des vulnérabilités.
Quelles informations caractérisent les pentests Black Box, White Box et Grey Box ?
Black Box : aucune information préalable ; White Box : accès total au code et à l’architecture ; Grey Box : accès limité à certaines informations.
Quelles conditions préalables encadrent un pentest ?
Une autorisation préalable, le respect des lois en vigueur et un contrat définissant son périmètre et ses limites.
Quelle vulnérabilité implique celle des systèmes d’information qui en dépendent ?
La vulnérabilité des infrastructures informatiques et de télécommunication.
Quelles catégories de causes provoquent couramment une perte de données ?
Les accidents imprévus, les erreurs matérielles ou logicielles et les erreurs humaines.
Quelles sont les causes courantes de fuite de données et d’intrusion ?
L’indiscrétion, le furetage, l’appât du gain et l’espionnage industriel ou militaire.
Que vérifie l’authentification chez l’utilisateur ?
Son identité.
Contre quoi la non-répudiation protège-t-elle ?
La négation d’une action accomplie.
De quelles propriétés l’authenticité est-elle l’association ?
De l’authentification et de l’intégrité.
Qu’est-ce qu’un logiciel malveillant ?
Un programme qui infecte un système informatique.
Quels types de virus sont cités dans cette section ?
Les macro-virus, résidents, de boot, lents, défensifs ou rétrovirus, et furtifs.
Que fait un logiciel espion aux informations personnelles recueillies ?
Il les transmet généralement à une société pour du profilage.
Quels sont les moyens de mise en œuvre d’une politique de sécurité ?
Ils sont organisationnels et procéduraux, informatiques, ainsi que matériels ou physiques.
Que comprend l’administration des contrôles d’accès ?
La gestion des comptes utilisateurs et le suivi des activités.
Quels éléments peuvent servir à identifier un utilisateur ?
Un nom d’utilisateur, un ID de connexion, un numéro d’identification personnel ou une carte à puce.
Quelles données les journaux de suivi conservent-ils sur les usagers ?
Des traces associées à leurs identités.
Que sont les contrôles d’accès administratifs ?
Des politiques et procédures mettant en œuvre et appliquant le contrôle d’accès global.
Que peuvent gérer et protéger les contrôles d’accès logiques et techniques ?
L’accès aux ressources demandées.
À quoi servent les barrières des contrôles d’accès physiques ?
À éviter le contact direct avec les systèmes.
Quelles capacités un IDS peut-il utiliser pour empêcher la répétition d’attaques détectées ?
Il peut reconfigurer les routeurs et les pare-feux.
Quelles réponses un IDS peut-il déclencher après un événement ?
Il peut journaliser l’événement, envoyer un avertissement ou amorcer des actions.
Quelles limites caractérisent les IDS ?
Leur complexité, l’expertise requise, les fausses alertes et leur immaturité.
Quelles fonctions un pare-feu peut-il remplir pour le trafic réseau ?
Il peut acheminer ou bloquer le trafic, limiter son volume, contrôler les zones accessibles et l’enregistrer.
Comment un pare-feu applicatif traite-t-il le trafic et les requêtes ?
Il analyse la couche 7 pour appliquer une politique par application, puis traite, modifie, transmet ou bloque les requêtes et réponses.
Quel est l’objectif de la cryptographie pour l’envoi de données ?
Permettre leur envoi confidentiel sur un support donné.
Que cherche à retrouver la cryptanalyse à partir de textes chiffrés ?
Le texte clair, en exploitant les failles des algorithmes utilisés.
Quels éléments associe un crypto-système à un algorithme donné ?
Les clés possibles, les textes clairs et les textes chiffrés possibles.
Quel est le résultat de l’application d’un chiffrement à un texte clair ?
Un texte chiffré, aussi appelé cryptogramme.
Que garantit la signature électronique pour l’information transmise ?
Elle garantit l’information transmise par une clé spécifique.
Que doivent garantir les systèmes à clés publiques lors de la publication à grande échelle d’une clé ?
Son appartenance au propriétaire, la confiance accordée à celui-ci et la validité de la clé.
Quelles opérations une infrastructure de gestion de clés réalise-t-elle ?
Elle traite les demandes, génère et protège les clés, certifie leur association aux utilisateurs et révoque les clés invalides.
Que prend en compte l’analyse d’un scénario de risque ?
Une méthode d’attaque, un élément menaçant et les vulnérabilités exploitables.
Quelle vulnérabilité caractérise le réseau WiFi dans l’exemple de risque décomposé ?
La possibilité de l’administrer à distance.
Qu’illustre une attaque passive et qu’illustre une attaque active ?
L’écoute illustre l’attaque passive et le ver informatique l’attaque active.
Que signifie l’usurpation dans le domaine de la sécurité informatique ?
Envoyer un message en se faisant passer pour une identité que l’on n’est pas.
Quel rôle les Operational Security Officers (OSO) jouent-ils auprès des opérations d’une Division ?
Ils les accompagnent dans l’application des dispositions de sécurité de l’information.
Que coordonnent transversalement aux Divisions les Site Security Advisor (SSA) ?
Les actions liées à la sécurité physique du site.
Quelle est la durée de validité du certificat ISO 27001 disponible dans SharePoint ?
Trois ans.
Que décrit ISO 27002 pour les mesures définies par ISO 27001 ?
Des bonnes pratiques d’implémentation.
Que permet la méthode de travail commune fournie par le SMSI ?
De délivrer des offres de façon standardisée de bout en bout, quel que soit le lieu ou le pays.
Quels usages IBM AppScan et CAST peuvent-ils servir à réaliser ?
L’analyse du code source, les tests statiques et les tests d’intrusion ou dynamiques.
À quel moment les coûts des tests de sécurité doivent-ils être identifiés ?
En AVV, en particulier ceux des tests de transition et des tests dynamiques.
À quoi sert un antivirus sur un poste ou un système informatique ?
À protéger contre les infections informatiques.
Combien de ports un ordinateur possède-t-il pour les échanges de données ?
65 536 ports.
Quels éléments la planification du SDLC étudie-t-elle ?
La faisabilité, les besoins métier, les ressources et les risques.
Quel livrable produit l’analyse des exigences du SDLC ?
Les spécifications des exigences logicielles (SRS).
Que fournit l’OWASP pour améliorer la sécurité des applications web ?
Des ressources, outils, guides et bonnes pratiques.
Quelle mesure protège contre les injections en limitant les privilèges accordés ?
Le principe du moindre privilège.
Quels risques de gestion des sessions sont cités ?
Mots de passe faibles, absence de verrouillage après plusieurs tentatives et stockage non sécurisé des sessions.
Quels documents sont utiles à la stratégie de test ?
L’expression des exigences, les définitions et spécifications techniques et fonctionnelles, le certificat du fabricant, les rapports de revenus internes et client, ainsi que le plan VRS.
Quand définit-on les critères d’acceptation et les règles générales de mise en production ?
Après l’attribution de la criticité et de la priorité aux exigences.
Quels sont les trois objectifs d’un pentest ?
Identifier les vulnérabilités, évaluer les impacts de leur exploitation et recommander des renforcements de sécurité.
Quelles étapes composent la reconnaissance d’un pentest ?
Collecter des informations publiques, scanner les ports, puis définir les systèmes à tester, les limites et l’autorisation officielle.
Quel organisme est cité comme exemple d’organisme certificateur ?
EY.
Combien de contrôles comprend l’annexe A d’ISO 27001:2013 ?
114 contrôles.
Teste tes connaissances avec un QCM de 55 questions sur Sécurité informatique et des systèmes.
1. Lors de la définition des besoins d’une application, une équipe doit distinguer une fonction demandée d’une contrainte de performance. Comment faut-il les classer ?
2. Pour une tâche de test, Lina réalise l’action, Marc valide le résultat, Nora apporte son avis et Sami reçoit l’information après achèvement. Quel rôle correspond à Marc dans la matrice RACI ?
Révisez le cours complet dans la fiche de révision de Sécurité informatique et des systèmes.
Voir la fiche →Importe ton cours et l'IA génère des flashcards en 30 secondes.
Générateur de flashcards