QCM : Sécurité informatique et des systèmes (55 questions)

Explication

Une exigence fonctionnelle décrit ce que le logiciel doit faire, tandis que la performance relève des qualités ou contraintes non fonctionnelles. Confondre les deux catégories inverse leur rôle; le fait qu’une exigence soit mesurable ou définie tôt ne change pas sa nature.

Explication

Dans une matrice RACI, l’approbateur valide la tâche; le responsable réalise l’action, les personnes consultées donnent leur avis et les personnes informées sont avisées une fois la tâche achevée. Associer Marc à l’exécution, à la consultation ou à l’information confond ces fonctions distinctes.

Explication

Le contrôle d’accès administre l’accès aux ressources et comprend l’administration, l’identification, l’authentification et l’autorisation. L’autorisation vérifie les droits, l’authentification établit l’identité et l’administration couvre notamment la gestion des comptes et le suivi.

Explication

L’autorité de certification vérifie la véracité et la validité des informations du certificat, puis le signe avec sa propre clé. Une PKI désigne l’ensemble des solutions, tandis qu’une autorité de dépôt conserve les certificats.

Explication

L’évaluation considérée porte sur la disponibilité, l’intégrité, la confidentialité et la traçabilité, qui exige des traces conservées et exploitables. L’authentification ou la sauvegarde peuvent contribuer à la sécurité, mais ne remplacent pas ces critères.

Explication

Un contrôle préventif vise à empêcher qu’une activité non autorisée se produise. Le contrôle détectif sert à la découvrir, le contrôle correctif à restaurer un état normal et le contrôle administratif repose sur des politiques et procédures.

Explication

Un NIDS est installé sur le réseau et détecte les attaques ou anomalies en capturant et en évaluant les paquets réseau. Un HIDS se concentre sur les fichiers et processus compromis d’un hôte ; un contrôle d’accès logique gère et protège l’accès aux ressources.

Explication

Un pentest exige une autorisation préalable, le respect des lois en vigueur et un contrat qui précise son périmètre et ses limites. Une demande informelle, une définition postérieure du cadre ou un contrat incomplet ne satisfait pas ces conditions.

Explication

Le PAS traduit en dispositions opérationnelles les exigences de sécurité convenues entre le client et l’entreprise. L’inventaire, la politique générale et le plan de tests désignent des éléments distincts.

Explication

La politique de sécurité doit être connue et appliquée par les collaborateurs comme par les sous-traitants. La limiter aux salariés, aux consignes du prestataire ou à l’équipe de sécurité écarte une partie des personnes concernées.

Explication

Un pentest évalue la sécurité d’un système en simulant des attaques malveillantes afin d’identifier et de corriger des vulnérabilités. Un audit de conformité, une attaque non encadrée ou une simple surveillance ne correspondent pas à cette définition.

Explication

L’analyse des risques répertorie les risques, estime leur probabilité et étudie leur impact, notamment le coût des dommages potentiels. L’inventaire relève de l’identification des besoins, tandis que la surveillance et la vérification évaluent les mesures mises en place.

Explication

Le Grey Box correspond à un accès limité à certaines informations. Le Black Box se fait sans information préalable, le White Box donne accès au code source et à l’architecture, et la reconnaissance active désigne une démarche de collecte ou d’analyse, non un type de pentest.

Explication

Un IDS analyse automatiquement les informations recueillies par les mécanismes d’audit de sécurité ainsi que les événements du système, y compris en temps réel. L’octroi des droits relève de l’autorisation, tandis que le chiffrement et la restauration ne définissent pas le mécanisme d’analyse d’un IDS.

Explication

Les quatre domaines à mettre en œuvre sont la sécurité physique, la sécurité logique, la sécurité applicative et la sécurité des télécommunications. L’authentification, la confidentialité, l’intégrité et la disponibilité sont des propriétés ou services, et la sauvegarde ainsi que la détection sont des mesures particulières.

Explication

La formule est $Risque = \frac{Menace \times Vulnérabilité}{Contre\text{-}mesures}$ ; ici, $\frac{12 \times 6}{3}=24$. $72$ omet la division, $21$ additionne les facteurs et $\frac{1}{24}$ inverse le quotient.

Explication

Les exigences des articles 4 à 10 sont obligatoires : une organisation qui revendique sa conformité ne peut s’affranchir d’aucune d’entre elles. Les traiter comme des recommandations ou croire qu’un contrôle de l’annexe A ou une mesure compensatoire permet de les écarter confond des notions distinctes.

Explication

Les deux dangers majeurs sont la perte de données et la fuite de données ou les intrusions. Les pannes et erreurs sont des causes possibles de perte, tandis que la confidentialité, l’intégrité et la disponibilité sont des propriétés de sécurité.

Explication

L’intégrité garantit la non-altération des données, des traitements et des services ; une valeur modifiée sans autorisation la compromet. La confidentialité protège contre la lecture par un espion, la disponibilité porte sur l’accès, et l’authentification vérifie l’identité.

Explication

L’inventaire couvre tous les actifs du projet, est actualisé à chaque ajout, suppression ou modification, et une copie est remise à l’équipe sécurité. L’actualisation différée ou partielle et la transmission à un autre destinataire ne répondent pas à cette règle.

Explication

L’identification est l’étape où un sujet prétend avoir une identité, ce qui engage sa responsabilité pour ses actions. L’authentification vérifie cette identité, l’autorisation porte sur les droits et l’administration concerne notamment les comptes et le suivi.

Explication

Agile convient au besoin décrit, car il fonctionne par cycles courts et s’appuie sur un feedback continu. Waterfall est séquentiel, Spiral privilégie la gestion des risques et RAD repose sur le prototypage rapide.

Explication

Un pare-feu est placé entre un ou plusieurs réseaux et contrôle, voire bloque, les paquets en analysant des informations des couches 3, 4 et 7. Le système de détection d’intrusion signale des événements, la liste d’accès est un ensemble de règles et le routeur sans filtrage n’assure pas cette fonction de contrôle.

Explication

AES traite des blocs de 128 bits et accepte des clés de 128, 192 ou 256 bits; il correspond donc aux paramètres décrits. DES utilise des blocs de 64 bits et une clé de 56 bits plus 8 bits de parité.

Explication

La cryptologie est la science mathématique qui comprend la cryptographie et la cryptanalyse. La cryptographie porte sur les méthodes de confidentialité, la cryptanalyse cherche à retrouver le texte clair et le chiffrement par blocs désigne une famille d’algorithmes.

Explication

Une injection exploite une validation insuffisante des entrées pour insérer du code malveillant dans une requête, ce qui peut entraîner l’exécution de commandes sur une base de données ou un système d’exploitation. L’interception d’identifiants, l’altération de l’affichage et la mauvaise gestion des clés décrivent d’autres risques.

Explication

DES est un chiffrement symétrique par blocs utilisant des blocs de 64 bits et une clé de 56 bits, accompagnée de 8 bits de parité. AES utilise des blocs de 128 bits et des clés de 128, 192 ou 256 bits; les bits de parité de DES ne portent pas sa clé utile à 64 bits.

Explication

La sécurité informatique combine des moyens techniques, organisationnels, juridiques et humains afin de conserver, rétablir et garantir la sécurité de l’information, des systèmes et des ressources informatiques. La réduction aux dispositifs techniques néglige les autres moyens, la protection des seuls systèmes rétrécit le périmètre, et la limitation à la confidentialité omet l’intégrité et la disponibilité.

Explication

L’OWASP Top 10 recense les principales vulnérabilités des applications web et est régulièrement mis à jour. Un guide de développement, un classement d’outils ou une liste visant les systèmes d’exploitation ne correspondent pas à cette définition.

Explication

Le SMSI est l’ensemble commun de processus, modèles et outils conformes à ISO 27001, avec des règles et pratiques accessibles aux collaborateurs. ISO 27002 décrit des bonnes pratiques d’implémentation, l’annexe A regroupe des contrôles et le certificat atteste la certification.

Explication

Le pare-feu statique sans état décide à partir des adresses source et destination, du port et du protocole, sans conserver l’état des connexions. Le suivi des connexions caractérise le pare-feu dynamique, tandis que l’analyse de couche 7 et l’intermédiation relèvent du pare-feu applicatif.

Explication

L’authentification établit l’identité du sujet, tandis que l’autorisation vérifie ses droits sur l’objet ou l’activité; une identité vérifiée ne garantit donc pas la permission demandée. L’idée qu’une authentification valide suffit confond identité et droits, tandis que l’administration des comptes ne constitue pas la décision d’autorisation.

Explication

La stratégie répertorie les exigences fonctionnelles et non fonctionnelles et indique lesquelles sont impactées par les différents diagrammes. Se limiter aux exigences fonctionnelles omet une catégorie, et ne pas établir le lien avec les diagrammes manque l’information attendue.

Explication

Un pare-feu dynamique avec état conserve des états tels que NEW, ESTABLISHED, RELATED et INVALID pour interpréter les paquets dans le contexte des connexions. Le filtrage sans état examine des critères de paquet, l’analyse propre aux applications caractérise un proxy et la journalisation ne constitue pas le suivi d’état.

Explication

La sauvegarde et la mise en place d’un système de back-up constituent la solution présentée pour prévenir la perte de données et permettre leur récupération. La protection des locaux vise les risques physiques, le contrôle d’accès encadre les utilisateurs et la détection d’intrusion cible les accès malveillants.

Explication

L’approche ISO 27001 décrite associe politique adaptée aux besoins, mesures choisies selon les risques, surveillance de leur efficacité et amélioration continue fondée sur des vérifications objectives. L’analyse de scénario identifie les éléments d’un risque, et l’inventaire recense les actifs.

Explication

La politique de sécurité est le document de référence qui fixe les objectifs de sécurité et les moyens destinés à les assurer. Un registre d’incidents, un inventaire et un rapport d’audit remplissent des fonctions différentes.

Explication

Le pare-feu contrôle les flux de données entrants et sortants, ce qui permet de bloquer des menaces et d’éviter des fuites d’informations. L’analyse des fichiers relève de l’antivirus, tandis que le chiffrement et la vérification d’identité ont d’autres fonctions.

Explication

L’autorisation détermine si un sujet authentifié peut accéder à un objet ou effectuer une activité selon les droits et privilèges accordés. L’authentification établit l’identité, l’identification la revendique et l’administration gère notamment les comptes.

Explication

Un contrôle correctif vise à restaurer les systèmes à un état normal après une activité non autorisée ou non désirée. La prévention agit avant l’incident, la détection le découvre, et les contrôles administratifs reposent sur des politiques et procédures.

Explication

Le pare-feu réseau est un boîtier placé entre un accès externe et le réseau de l’entreprise; le pare-feu personnel est un logiciel protégeant le poste où il est installé. Un antivirus analyse des menaces sur les fichiers, tandis qu’un réseau privé virtuel sécurise l’accès distant.

Explication

Le SDLC est un processus systématique qui organise la conception, le développement, les tests et la maintenance afin de gérer les coûts et délais et de répondre aux exigences des utilisateurs. Le déploiement, les spécifications et les tests automatisés sont des activités ou des aspects plus restreints que son objectif général.

Explication

Le SDLC suit la séquence planification, analyse des exigences, conception, développement, tests, déploiement, puis maintenance et support. La conception ne précède pas l’analyse, les tests ont lieu avant le déploiement et la maintenance vient après celui-ci.

Explication

Une attaque est une tentative volontaire de violer une ou plusieurs propriétés de sécurité ; l’intrusion suppose une violation effective de la politique. Parler d’intrusion confond tentative et réussite, tandis qu’une menace accidentelle ne décrit pas une tentative volontaire.

Explication

Les tests de sécurité sont à envisager pendant la période de transition à la réception des applications et avant la livraison d’une nouvelle version. Les autres réponses déplacent ces tests vers la mise en production, la maintenance ou l’après-livraison.

Explication

Les diagrammes doivent représenter les interactions inter-systèmes, les packages et les serveurs, tout en faisant ressortir les changements et leurs impacts. L’absence des impacts néglige l’effet des modifications, une liste d’exigences relève d’un autre livrable, et les rôles relèvent de la matrice RACI.

Explication

L’annexe A d’ISO 27001:2013 regroupe 114 contrôles dans 14 chapitres, numérotés de A.05 à A.18. La réponse « 14 contrôles » inverse les nombres, « 12 chapitres » omet deux domaines, et les articles 4 à 10 désignent les exigences obligatoires de la norme, non les contrôles de l’annexe A.

Explication

Dans ce mécanisme, la clé publique chiffre le message et la clé privée sert à le déchiffrer. Utiliser la clé privée pour chiffrer inverse ces rôles; le certificat et le pare-feu remplissent d’autres fonctions.

Explication

La certification est délivrée par un organisme de certification accrédité, qui intervient comme tierce partie et évalue la mise en œuvre du SMS conforme à ISO 27001 V2022. Un OSO accompagne les opérations, un organisme d’accréditation a un autre rôle et la déclaration de conformité ne constitue pas une certification tierce partie.

Explication

Un contrôle détectif est déployé pour découvrir une activité non autorisée. Le contrôle préventif cherche à l’empêcher, le correctif restaure les systèmes et l’administratif applique le contrôle global par des politiques et procédures.

Explication

La confidentialité protège le contenu d’un message ou de données contre un espion qui écouterait les communications. L’intégrité concerne la non-altération, la disponibilité garantit l’accès et l’authentification vérifie l’identité.

Explication

Un HIDS identifie les fichiers et processus compromis sur un hôte ; installé sur un PC, il peut détecter des intrusions locales, mais pas à lui seul les intrusions réseau. Attribuer une portée réseau autonome au HIDS confond son périmètre avec celui d’un NIDS, tandis que l’identification de fichiers n’est pas la capture de paquets.

Explication

Les audits de surveillance sont organisés en deux vagues annuelles, au premier et au troisième trimestre. Le deuxième et le quatrième trimestre correspondent à l’onboarding des nouveaux sites, tandis que les autres couples proposés mélangent ces calendriers.

Explication

Une PKI regroupe des solutions techniques reposant sur la cryptographie à clé publique. L’autorité de certification est un tiers de confiance, le canal sécurisé concerne l’échange des clés et le dépôt sert à conserver les certificats.

Explication

La criticité exprime l’importance métier de l’exigence, tandis que la priorité indique son ordre au niveau du projet. Inverser ces notions attribue à la priorité l’importance métier; la difficulté technique ne définit ni l’une ni l’autre.