Chapitre 1 — CIA, Risque & Fondamentaux de la Sécurité

Ce chapitre couvre les principes fondamentaux sur lesquels repose toute la sécurité informatique. Vous devez maîtriser la triade CIA, les concepts de risque, la terminologie des menaces et les garanties générales pour le domaine 1 (12%).

La Triade CIA

Mémorisez ! La triade CIA (Confidentialité, Intégrité, Disponibilité) est le fondement de toute politique de sécurité. Chaque contrôle de sécurité protège au moins un de ces trois attributs.

Confidentialité

La confidentialité garantit que l'information n'est accessible qu'aux personnes autorisées. Elle est protégée par le chiffrement, le contrôle d'accès et les mécanismes d'authentification.

Chiffrement : transforme les données en texte illisible sans la clé correcte. AES-256 pour le chiffrement symétrique, RSA/ECC pour l'asymétrique.
Contrôle d'accès : limit qui peut lire quoi. Basé sur les identités, les rôles ou les attributs.
Stéganographie : dissimule des données dans d'autres données (image, audio). Différent du chiffrement — les données sont cachées, pas rendues illisibles.
Masquage des données : remplace les données sensibles par des valeurs fictives pour les tests/dev (ex. numéro de carte → XXXX-XXXX-XXXX-1234).

Scénario : Une organisation stocke des données de patients. Quels contrôles garantissent la confidentialité ? Chiffrement du disque (BitLocker/LUKS), TLS pour le transit, ACL sur les dossiers et authentification forte des utilisateurs.

Intégrité

L'intégrité assure que les données ne sont pas modifiées de manière non autorisée — que ce soit pendant le stockage, le transit ou le traitement.

Hachage : empreinte numérique d'un fichier. MD5 (obsolète), SHA-256, SHA-3. Si un seul bit change, le hash change complètement.
HMAC : Hash-Based Message Authentication Code — combine un hash avec une clé secrète pour vérifier à la fois l'intégrité ET l'authenticité.
Signature numérique : chiffrement asymétrique appliqué à un hash. Prouve l'origine et l'intégrité.
Contrôle de version : permet de détecter les modifications non autorisées et de revenir à un état antérieur.

Disponibilité

La disponibilité garantit que les systèmes et les données sont accessibles aux utilisateurs autorisés quand ils en ont besoin.

Redondance : RAID, clusters, sites de reprise (failover).
Résilience : capacité à se remettre d'une panne. RTO (Recovery Time Objective) et RPO (Recovery Point Objective).
Équilibrage de charge : distribue le trafic entre plusieurs serveurs.
Attaques DoS/DDoS : visent à détruire la disponibilité — contrecarrées par des services anti-DDoS, du rate-limiting et du scrubbing.

Astuce Examen

Si une question mentionne "bloquer l'accès aux utilisateurs légitimes" → Disponibilité. "Données modifiées sans autorisation" → Intégrité. "Un attaquant a lu des données privées" → Confidentialité. Ces distinctions apparaissent fréquemment dans les questions à choix multiples.

Non-répudiation & AAA

La non-répudiation empêche un expéditeur de nier avoir envoyé un message ou effectué une action. Elle combine l'authentification + l'intégrité via les signatures numériques et les journaux d'audit.

Le modèle AAA

Concept	Définition	Exemple
Authentication	Prouver qui vous êtes	Mot de passe, empreinte, carte à puce
Authorization	Déterminer ce que vous pouvez faire	ACL, rôles RBAC, politiques
Accounting	Enregistrer ce que vous avez fait	Journaux, SIEM, audit trail

Concepts de Risque

Mémorisez ! Risque = Probabilité × Impact. Le risque résiduel est ce qui reste après l'application des contrôles. L'appétit pour le risque est ce qu'une organisation accepte de subir.

Terminologie du risque

Menace (Threat) : toute circonstance pouvant causer un préjudice. Peut être intentionnelle (hacker) ou accidentelle (inondation).
Vulnérabilité : faiblesse dans un système pouvant être exploitée par une menace.
Vecteur d'attaque : le chemin emprunté par un attaquant pour exploiter une vulnérabilité.
Acteur de menace : entité qui lance une attaque (script kiddie, APT, initié malveillant, hacktiviste, état-nation).
Risque : la probabilité qu'une menace exploite une vulnérabilité, multipliée par l'impact résultant.
Exposition : degré auquel un actif est accessible aux menaces.
Contrôle / Safeguard : mesure qui réduit le risque.
Risque résiduel : risque restant après l'application des contrôles.

Traitements du risque

Traitement	Description	Exemple
Éviter	Éliminer l'activité risquée	Ne pas utiliser un logiciel vulnérable
Transférer	Déplacer le risque vers un tiers	Assurance cybersécurité
Atténuer	Réduire la probabilité ou l'impact	Pare-feu, antivirus, chiffrement
Accepter	Reconnaître le risque et continuer	Risque faible documenté

Calculs de risque quantitatifs

AV (Asset Value) : valeur monétaire de l'actif.
EF (Exposure Factor) : % de l'actif perdu lors d'un incident (0–1).
SLE (Single Loss Expectancy) = AV × EF. Perte pour un seul événement.
ARO (Annualized Rate of Occurrence) : fréquence annuelle d'un événement.
ALE (Annualized Loss Expectancy) = SLE × ARO. Perte annuelle attendue.

Exercice : Un serveur vaut 50 000 €. Une inondation détruirait 40% de sa valeur (EF = 0,4). SLE = 50 000 × 0,4 = 20 000 €. Si une inondation survient tous les 10 ans (ARO = 0,1), ALE = 20 000 × 0,1 = 2 000 €/an. Un contrôle coûtant moins de 2 000 €/an est rentable.

Principes de Conception de la Sécurité

Défense en profondeur : plusieurs couches de contrôles. Si l'une échoue, les autres résistent.
Moindre privilège : n'accorder que les accès minimum nécessaires à une fonction. Limite les dommages en cas de compromission.
Séparation des tâches : aucune personne seule ne devrait contrôler un processus critique de bout en bout. Deux personnes pour autoriser un virement.
Rotation des tâches : les employés pivotent entre postes — détecte les fraudes et empêche qu'une seule personne accumule des connaissances critiques.
Vacances forcées : obligent les employés à prendre des congés — détecte les activités frauduleuses nécessitant leur présence continue.
Zero Trust : "Ne jamais faire confiance, toujours vérifier." Aucun utilisateur ou appareil n'est intrinsèquement fiable, même sur le réseau interne. Micro-segmentation, authentification forte systématique.
Fail-safe/Fail-secure : en cas de défaillance, le système se verrouille (sécurité) plutôt que de s'ouvrir.
Security by Design : intégrer la sécurité dès la conception, pas en ajout après coup.
Privacy by Design : intégrer la protection des données personnelles dès la conception du système.
KISS (Keep It Simple) : les systèmes simples sont moins susceptibles d'avoir des failles de sécurité.

Mémorisez ! Le Zero Trust n'est pas un produit unique — c'est une architecture basée sur trois principes : vérifier explicitement, utiliser le moindre privilège, et supposer une violation.

Quiz — CIA & Risque

1. Une banque veut s'assurer qu'aucun employé seul ne puisse autoriser et exécuter un virement bancaire. Quel principe de sécurité applique-t-elle ?

Moindre privilège Séparation des tâches Rotation des tâches Défense en profondeur

La séparation des tâches exige que plusieurs personnes soient impliquées dans les processus critiques. La rotation change qui effectue la tâche dans le temps, mais ne divise pas les privilèges pour une même transaction.

2. Un serveur de base de données vaut 100 000 €. Un incendie détruirait 60% de sa valeur (EF=0,6). Une telle perte survient en moyenne une fois tous les 5 ans. Quelle est l'ALE ?

60 000 € 20 000 € 12 000 € 100 000 €

SLE = 100 000 × 0,6 = 60 000 €. ARO = 1/5 = 0,2. ALE = SLE × ARO = 60 000 × 0,2 = 12 000 €/an.

3. Lequel des éléments suivants est le plus directement lié à la protection de la confidentialité ?

Hachage SHA-256 RAID-5 Signatures numériques Chiffrement AES-256

Le chiffrement AES-256 protège la confidentialité. Le hachage et les signatures numériques protègent l'intégrité. RAID protège la disponibilité.

4. Une organisation décide de souscrire à une assurance cybersécurité pour couvrir les coûts d'un éventuel ransomware. Quelle stratégie de gestion du risque cela représente-t-il ?

Transfert du risque Acceptation du risque Atténuation du risque Évitement du risque

L'assurance est un transfert de risque financier vers un tiers. L'atténuation réduirait la probabilité ou l'impact (ex: EDR, sauvegardes). L'acceptation ne fait rien. L'évitement supprimerait l'activité risquée.

5. Quel attribut de la triade CIA est directement ciblé par une attaque par déni de service (DoS) ?

Confidentialité Disponibilité Intégrité Non-répudiation

Une attaque DoS vise à rendre le service indisponible — elle cible la Disponibilité. Elle ne lit pas de données (confidentialité) et ne les modifie pas (intégrité).

6. Un attaquant envoie un e-mail et prétend ensuite ne jamais l'avoir envoyé. Quel contrôle empêcherait cela ?

Chiffrement symétrique Pare-feu applicatif Signature numérique Authentification à deux facteurs

La non-répudiation est assurée par les signatures numériques. Elles lient cryptographiquement l'identité de l'expéditeur au message — impossible de nier l'avoir envoyé.

7. Le principe Zero Trust suppose que :

Le réseau interne est sûr Les utilisateurs distants sont non fiables mais les locaux sont fiables Les VPN suffisent pour sécuriser l'accès Aucun réseau, appareil ou utilisateur n'est intrinsèquement fiable

Zero Trust = "Never trust, always verify." Même un utilisateur sur le réseau interne doit s'authentifier et être autorisé. La micro-segmentation limite les mouvements latéraux.

8. Lequel des éléments suivants représente le "risque résiduel" ?

Le risque restant après l'application de tous les contrôles Le risque avant toute atténuation L'ALE calculée pour une menace Le risque transféré à un assureur

Le risque résiduel = risque inhérent − réduction apportée par les contrôles. Il est impossible d'éliminer tous les risques ; il reste toujours un risque résiduel.

9. Quelle est la différence entre un vecteur de menace (threat vector) et une vulnérabilité ?

Ce sont des synonymes dans la terminologie Security+ Un vecteur est le chemin d'attaque ; une vulnérabilité est la faiblesse exploitée Un vecteur est la conséquence ; une vulnérabilité est l'attaquant Un vecteur est quantifiable en euros ; une vulnérabilité ne l'est pas

Vecteur d'attaque = comment l'attaquant entre (phishing, USB, exploit web). Vulnérabilité = la faiblesse dans le système (patch manquant, mot de passe faible) qui est exploitée par le vecteur.

10. Un technicien informatique est absent deux semaines (vacances obligatoires). Pendant son absence, son supérieur découvre qu'il détournait des données clients. Quel principe de sécurité a permis cette découverte ?

Séparation des tâches Moindre privilège Vacances forcées (Mandatory Vacation) Rotation des tâches

Les vacances forcées obligent quelqu'un d'autre à couvrir le travail, ce qui révèle souvent des activités frauduleuses. C'est différent de la rotation (changement planifié de poste).