Les Fondamentaux de La Cybersécurité

01/04/2022 09:08 Les fondamentaux de la cybersécurité
Les fondamentaux de la cybersécurité

Présentation de la cybersécurité
Qu'est-ce que la cybersécurité ?

15 Minutes
Présentation du module
Ce module aborde les fondamentaux de la cybersécurité pour vous aider à démarrer le cours. Vous allez découvrir les rubriques suivantes :
• Qu'est-ce que la sécurité des informations et la cybersécurité ?
• Objectifs de la sécurité des informations avec la triade CIA
• Principaux éléments de la cybersécurité
• Risque et méthodes de gestion du risque
• Idées erronées courantes sur la cybersécurité
• Importance de la législation et des considérations éthiques dans le secteur de la cybersécurité
https://bundles.yourlearning.ibm.com/students/cybersecurity-fundamentals/#XVPVVEVEJJVN3APJ/print 1/20
Sécurité des informations

Commençons par réfléchir à ce qu'est la cybersécurité et à ce que nous essayons de réaliser. La plupart des définitions de la cybersécurité tendent à se
focaliser sur la technologie. Une définition standard peut inclure la “sécurité des systèmes numériques” ou la “sécurité des communications”. Mais les
frontières entre les différentes définitions tendent très vite à s'estomper. Exemple :
• Imaginez qu'un fraudeur envoie un email à une personne en se faisant passer pour sa banque et lui demandant son code PIN. Est-ce un problème de
cybersécurité ?
• Supposez qu’un enquêteur privé appelle le salarié d'une entreprise pour lui demander d’imprimer des fichiers confidentiels et de lui déposer les
documents dans une pièce où il passera les chercher. Est-ce un problème de cybersécurité ?
Dans le monde réel, la plupart des attaques comportent en général des composantes numériques, mais font aussi entrer en jeu le facteur humain et
parfois une composante physique. C'est un aspect à garder à l'esprit. Vous ne devez pas vous focaliser uniquement sur le numérique, car ce parti pris
restreint votre réflexion et offre plus de marge de manœuvre aux agresseurs potentiels.
Réfléchissons à un nouveau concept appelé la sécurité des informations. La sécurité des informations fait passer en priorité la valeur des informations
que nous essayons de protéger et non les méthodes utilisées pour les protéger. Le diagramme suivant montre que la sécurité des informations
comporte des éléments physiques et des éléments numériques.
• La sécurité physique est la pratique consistant à protéger

physiquement les ressources telles que les bâtiments, les caméras de
sécurité, les équipements et les biens contre les menaces physiques :
vols, vandalisme, incendies et catastrophes naturelles.
• La cybersécurité est la pratique consistant à protéger et récupérer les

réseaux, les appareils, et les programmes suite à tous les types de
cyberattaques malveillantes.
• Une bonne sécurité implique à la fois une sécurité physique et la

cybersécurité et les deux doivent se concentrer sur les mêmes
objectifs.
EXEMPLE
Envisageons la situation du point de vue du client. Imaginez que vous vous rendez dans une agence de voyages et fournissez les informations de
votre passeport pour réserver un voyage. Par malchance, un employé de l'agence envoie par erreur les informations de votre passeport à la
mauvaise adresse ou perd dans un train les documents imprimés sur lesquels figurent vos informations. Le résultat est le même. Vos informations
personnelles ont été compromises. En sécurité des informations, l'accent est mis sur le résultat, et non sur la méthode elle-même.
Quel est le but recherché par les professionnels de la cybersécurité ?

Le NIST (National Institute of Standards and Technology (https://csrc.nist.gov/glossary/term/information_security)) donne la définition suivante de la
sécurité des informations : "La protection de l'information et des systèmes d'information contre les accès non autorisés, l'utilisation, la divulgation, la
disruption, la modification ou la destruction afin d'assurer la confidentialité, l’intégrité et la disponibilité.
Les objectifs de la sécurité des informations sont donc souvent définis en fonction de la triade CIA, qui constitue un bon point de départ. CIA est un
acronyme anglais qui correspond aux trois objectifs que sont la confidentialité (Confidentiality), l’intégrité (Integrity) , et la disponibilité (Availability).
La but de la confidentialité est d’éviter que les informations ne tombent pas

Confidentialité
entre les mains de personnes non autorisées à y accéder.

L'information est privée
L'intégrité signifie que l'information reste exacte et cohérente et que les

Intégrité
personnes non autorisées ne peuvent pas y apporter de modifications.
L'information n'a pas été
altérée
La disponibilité signifie la possibilité d'utiliser l’information et d'y accéder de

Disponibilité
façon opportune et fiable, chaque fois que nécessaire.

L'information est accessible
chaque fois que nécessaire
La triade CIA est un modèle qui guide les politiques d'information au sein d'une entreprise.
Les différents scénarios et entreprises peuvent conduire à donner la priorité à un objectif plutôt qu'un autre.
EXEMPLE
Voici quelques exemples qui replacent les objectifs de la sécurité des informations dans leur contexte.
• La confidentialité peut être l’objectif le plus important pour les organismes de renseignement gouvernementaux. Pensez aux mesures extrêmes
qu'ils prennent pour protéger la confidentialité des informations, à l'aide d'un chiffrement personnalisé ou d’accessoires physiques, par exemple
des attachés-cases doublés d’un fond en plomb, qui coulent à pic si on les jette dans l'eau.
• L'intégrité peut être l'objectif le plus important pour les banques. Imaginez que vous achetez une pizza pour 10 euros. La confidentialité de cette
transaction a peu de chances d’être un sujet de préoccupation pour vous. Par contre, si la transaction est modifiée frauduleusement et que l'on
vous prélève à la place 1000 euros pour votre pizza, vous allez avoir de graves problèmes financiers. Si vous transposez ce genre de fraude à
grande échelle dans une banque, elle risquerait même de faire faillite suite à la perte de confiance que cela provoquerait.
• La disponibilité peut être l'objectif le plus important pour un site Web. Supposons que vous teniez un blog. Sa confidentialité, ou le fait qu'un
éditeur vous aide à corriger les erreurs orthographiques, ne constituent pas pour vous des sujets de préoccupation particuliers. Ce que vous
voulez, c’est pouvoir accéder à votre blog à tout moment lorsque vous avez besoin de le mettre à jour ou de publier des articles.
Qu'en pensez-vous ?
Analysons l’impact des objectifs de sécurité des informations sur votre quotidien, en évaluant les actifs qui comptent pour vous. En cybersécurité, un
actif est défini comme une ressource qui a une valeur pour son propriétaire. Les actifs peuvent être numériques (par exemple un programme) ou
physiques (par exemple un serveur). Les informations sensibles telles que les bases de données, les recherches ou les enregistrements peuvent aussi
être définies comme des actifs d'information.
Pensez par exemple à votre compte bancaire personnel, à votre bibliothèque de photos, à vos comptes sur les médias sociaux, et à votre téléphone
mobile. Quel serait pour vous l'impact d'une perte de confidentialité, d'intégrité et de disponibilité sur chaque ressource ? Utilisez notre échelle de 1
à 5 pour indiquer votre évaluation dans les zones prévues à cet effet.
1) Faible conséquence : vous ne remarqueriez aucun impact sur votre quotidien.
3) Conséquence moyenne : vous observeriez un impact mineur, avec une perte de temps de quelques heures.
5) Conséquence élevée : vous constateriez un impact majeur et considérable, susceptible de durer plusieurs mois ou plusieurs années.
La valeur maximale est calculée automatiquement afin de vous permettre de comparer la valeur que vous accordez à vos actifs et à vos priorités.
EXEMPLE
Un exemple est déjà fourni : un commentaire envoyé dans le cadre d'un débat en ligne. Dans cet exemple :
• Une perte de confidentialité est considérée comme contrariante, mais n'aura qu'un impact mineur et reçoit donc une évaluation de 2.
• Une perte d'intégrité due à un tiers qui modifie votre contribution peut déclencher une dispute, et entraîner une perte de temps en raison des
mises à jour à effectuer. L'intégrité est donc évaluée à 3.
• Enfin, si votre commentaire en ligne disparaît totalement, ou devient inaccessible, l'impact est quasiment nul. Une perte de disponibilité est donc
évaluée à 1.
En utilisant le système d’évaluation ci-dessus, essayez de calculer vos évaluations.
Confidentialité Intégrité Disponibilité Valeur maximale
Commentaire lors d'un débat en ligne 2 3 1 3
Compte bancaire
Bibliothèque de photos
Compte sur les médias sociaux
Téléphone mobile
Lorsque vous avez terminé, vous constatez que certains actifs sont pour vous plus importants que d'autres. Ils doivent correspondre aux valeurs
maximales affichées. Certaines de vos évaluations vous surprennent-elles ?
Du point de vue de la sécurité, il est tout à fait sensé d'hiérarchiser vos protections en fonction des actifs qui sont les plus importants pour vous. Par
exemple, le mot de passe de votre gestionnaire de mots de passe peut avoir une longueur de 20 caractères et être tenu secret, tandis que vous pourrez
occasionnellement partager le mot de passe de votre connexion wi-fi à la maison avec vos amis et votre famille !
En cybersécurité, les entreprises sont constamment amenées à prendre ce genre de décisions.
© Copyright IBM Corporation 2020.
Principaux éléments de la cybersécurité

10 Minutes
Il existe de nombreuses solutions pour sécuriser les actifs informationnels. Choisir la meilleure approche est important en cybersécurité.
EXEMPLE
Imaginez que vous possédez un tableau de valeur et que vous devez le protéger. Une solution consiste à recruter des gardiens qui se tiendront à
côté du tableau et le surveilleront en permanence. Une autre solution consiste à demander à tous les visiteurs potentiels désireux de voir votre
tableau de verser un dépôt de garantie ou de fournir une attestation d'assurance. Vous pouvez aussi choisir d'installer des capteurs laser, des
caméras de sécurité et des détecteurs de mouvement pour déceler la présence d'intrus inconnus. Chacune de ces solutions comporte des
avantages et des inconvénients divers. Comme dans tous les grands films de braquages, il ne suffit pas d’opter pour une seule solution.
Vous devez prendre en compte trois éléments clés de la cybersécurité :
Ce sont les angles d'attaque possibles d'un agresseur et c'est sur ces aspects que les entreprises doivent faire porter leurs efforts. Nous allons les
analyser plus en détail dans cette leçon.
Personnes
Bien que cela semble contre-intuitif dans un secteur numérisé à l'extrême, ce sont les personnes qui jouent le rôle le plus important dans la
cybersécurité. D’une part, ce sont les personnes qui sont les utilisateurs finaux des systèmes numériques, et d'autre part, ce sont aussi elles qui sont
souvent chargées de la conception et de la maintenance des systèmes numériques. L'action humaine est de loin la cause principale des accidents de
cybersécurité. Lorsque les entreprises conçoivent un système sécurisé, elles doivent le faire en gardant les usagers humains à l'esprit.
La désensibilisation aux alertes est un exemple courant d'une mauvaise conception. Si les utilisateurs reçoivent trop de notifications ou d'alarmes, ils
finissent par s'en désensibiliser. Les bons systèmes sont conçus pour anticiper le comportement humain et en tenir compte.
Processus
La plupart des activités métier suivent une série d'étapes clairement définies. Ces processus peuvent venir en aide à la cybersécurité en tenant compte
de la sécurité à chaque étape, au contraire l'entraver en se révélant frustrants pour l'utilisateur final.
Imaginez un processus au cours duquel l'utilisateur aurait à répondre à 20 questions à chaque fois qu'il souhaiterait signaler une activité suspecte. De
nombreux utilisateurs qui pourraient pourtant fournir des informations utiles risqueraient d'être découragés et d’abandonner le processus.
Les caractéristiques d’un bon processus sont les suivantes :
• Ils sont clairs et aussi simples que possible. Chaque étape du processus doit indiquer de façon évidente les actions à entreprendre. Les processus ne
doivent pas utiliser de jargon inutile ou être rédigés de façon ambiguë.
• Ils sont accessibles ou bien connus. Tout utilisateur susceptible d’appliquer un processus quelle que soit l'étape concernée doit savoir comment
accéder au processus. Un bon exemple courant concerne les exercices d'évacuation anti-incendie. La plupart des gens savent où se trouvent les
points d’évacuation les plus proches parce qu'ils sont clairement indiqués.
• Ils sont cohérents. Les processus ne doivent pas se contredire mutuellement dans la mesure du possible. Si un processus comporte un grand
nombre d'exceptions ou de cas particuliers, sa complexité augmente. Vous verrez dans la suite de ce cours comment les cyberattaquants peuvent
exploiter cet aspect.
Technologie
La technologie désigne toute l'infrastructure sous-jacente.
En cybersécurité, la technologie englobe généralement des éléments tels que le chiffrement des appareils, les défenses du périmètre du réseau et les
solutions anti-malware.
Au sein de l’entreprise, un bon usage de la technologie permet de résoudre les problèmes sans créer de problèmes supplémentaires pour les
utilisateurs.
Un exemple d'une bonne sécurité technique est celui des logiciels de gestion des appareils, qui permettent d’effectuer le suivi des statuts des correctifs
logiciels et d'appliquer des mises à jour. Il s'agit souvent d'un outil essentiel pour les grandes entreprises. Si le système adopté est appliqué
correctement, la technologie est alors non-intrusive et les utilisateurs bénéficient d'une sécurisation passive. Par contre, si le système choisi est
médiocre, les utilisateurs risquent de tenter de désactiver complètement le logiciel. E tant qu'utilisateurs d’appareils, vous y êtes aussi confronté.
Le tableau suivant dresse la liste de certains progrès technologiques en matière de sécurité, les inconvénients tels qu'ils sont perçus et, du point de vue
des utilisateurs, certains désavantages liés à leur introduction.
Progrès technologique Avantage métier Inconvénient perçu Réactions indésirables des

utilisateurs
Gestion automatique des Tous les logiciels sont à jour Interruptions de l'utilisation L'utilisateur ne met pas les
correctifs de l'appareil appareils hors tension
Mots de passe obligatoires Les mots de passe sont plus Fastidieux à utiliser M@tdep0sse!
très complexes difficiles à deviner par les
agresseurs
Les mots de passe Les mots de passe ne A toutes les chances d’être MdpJan puis MdpFév
obligatoires ont une durée de peuvent pas rester répétitif
vie de seulement 30 jours compromis très longtemps
Emails chiffrés Les agresseurs ne peuvent Configuration supplémentaire Désactivation de la fonction
pas lire les emails en transit et complexité accrue de chiffrement
Ce tableau montre bien pourquoi il est important que les entreprises expliquent aux utilisateurs pour quelles raisons exactes une technologie donnée a
été mise en œuvre, et pourquoi ce qui est perçu comme un inconvénient est cependant nécessaire.
Qu'en pensez-vous ?
Voici quelques questions qui peuvent servir de pistes de réflexion. Tapez votre réponse à chaque question dans les zones correspondantes. Le fait d'y
réfléchir et de rédiger une réponse clarifie les idées. Ces réponses sont enregistrées dans ce cours uniquement pour votre propre référence et
réservées à votre usage personnel. N'oubliez pas de cliquer sur Enregistrer la réponse.
Pensez à un moment où vous avez analysé votre sécurité numérique personnelle pour votre ordinateur et/ou vos appareils.
1. Concernant les personnes, avez-vous essayé de vous former afin d'améliorer votre approche de la sécurité ?
Enregistrer la réponse Enregistrer la réponse Enregistrer la réponse Enregistrer la réponse

2. Concernant les processus, avez-vous mis en place de nouveaux processus, par exemple l'activation de l'authentification à deux facteurs à chaque
connexion ?
Enregistrer la réponse

3. Concernant la technologie, avez-vous acheté ou utilisé une nouvelle technologie pour améliorer votre sécurité personnelle ?
Enregistrer la réponse
Gestion des risques

10 Minutes
Les risques font partie de la vie de tous les jours et instinctivement, nous sommes tous familiarisés avec cette notion. Un risque est la possibilité qu'un
événement suivi d'une conséquence néfaste se produise. La gestion du risque est au cœur de la plupart des entreprises et de nombreux secteurs
d’activités, tels que celui des assurances. Les entreprises performantes comprennent et gèrent les risques avec efficacité pour se doter d'un avantage
concurrentiel.
Dans cette leçon, nous allons explorer des concepts clés sur le risque et leur rapport avec la cybersécurité.
Évaluation du risque
Tous les risques n'ont pas la même importance. Certains peuvent nécessiter d’être traités en urgence, d'autres peuvent être ignorés. Les risques
majeurs sont appelés risques élevés. Nous vous proposons ici une équation simple qui permet de calculer la valeur d'un risque :
Valeur d'un risque = Conséquence x Probabilité
La conséquence est l'impact et les dommages qui en découlent.
La probabilité est la fréquence du risque.
L'idéal, pour des raisons mathématiques, serait de disposer de bonnes informations statistiques sur chaque risque. Par exemple, si nous savons que
chaque année, 1 voiture sur 10 aura une crevaison, il est aisé de calculer la valeur de risque correspondante.
EXEMPLE
Voici un exemple possible de l'équation de la valeur du risque appliqué à ce scénario de crevaison. Une personne peut perdre l'équivalent de la
productivité d'une journée entière si le pneu de sa voiture éclate alors qu'elle se rend au travail. La conséquence de ce risque est la perte d'une
journée de travail. Elle est contrariante, mais il ne faut pas oublier que la probabilité du risque est faible : 1 voiture sur 10 par an. On peut donc
évaluer la valeur globale du risque comme faible.
En cybersécurité, la probabilité est difficile à mesurer directement, en raison de l'évolution constante de la technologie et du rôle joué par les
agresseurs extérieurs. En règle générale, la probabilité qu'une entreprise soit attaquée dépend en partie de trois caractéristiques, comme suit :
Probabilité = Capacité de l'adversaire x Motivation de l'adversaire x
Gravité de la vulnérabilité
Un adversaire est un terme général qui décrit une entité souhaitant compromettre un système d'information. Dans la suite de ce cours, vous
apprendrez comment classer les adversaires en différentes catégories. Ceci vous permettra d’attribuer des valeurs à leurs capacités et leurs
motivations.
Les vulnérabilités sont des faiblesses potentielles au sein d'un système qui sont susceptibles d’être exploitées en vue de le compromettre. Par
exemple, une vulnérabilité peut être une page Web qui n'authentifie pas correctement un utilisateur.
EXEMPLE
Voici un exemple qui illustre cette deuxième équation. Imaginons qu'une banque soit ciblée par un groupe criminel qui chercher à dérober les
identifiants et les mots de passe de connexion bancaire des clients.
• La capacité de l'adversaire peut être évaluée comme moyenne, parce que ces cybercriminels peuvent utiliser toute une gamme d'outils, voire
développer leurs propres outils si nécessaire.
• Leur motivation peut être évaluée comme élevée car ils pourraient tenter plusieurs attaques sur une période donnée.
• Une vulnérabilité identifiée pourrait être évaluée comme élevée car elle est relativement facile à exploiter. Par exemple, des descriptions de
certaines vulnérabilités sont publiées en ligne, ce qui permet aux agresseurs de reproduire facilement les attaques.
Remarque : L'utilisation des termes d'évaluation tels que "faible", "moyen" et "élevé" est un exemple d'analyse qualitative du risque. Dans l'idéal,
on utiliserait des nombres exacts ou des pourcentages, mais il peut être difficile de les déterminer et les estimations sont souvent les seules
solutions disponibles.
Réponse au risque
Lorsqu'une entreprise a évalué tous ces risques, la priorité est donnée à la gestion du risque, ou réponse au risque. En général, il y a quatre réponses
possibles à un risque. Elles sont décrites dans le tableau suivant.
L'entreprise accepte le risque sous sa forme existante. Il s'agit d'une décision qui est prise par l'un de ses
Accepter
responsables senior, appelé le “propriétaire du risque”.
L'entreprise peut décider qu'un risque est trop important pour être accepté et tenter de le réduire d'une
Réduire
façon ou d'une autre. La tactique adoptée peut consister à réduire la probabilité ou la conséquence.
L'entreprise peut souhaiter qu'un tiers accepte le risque, ou une partie du risque, au lieu de l'accepter elle-
Transférer
même. Dans ce cas, elle a recours à une assurance.
L'entreprise peut décider qu'un risque est trop important et dans ce cas, se retirer pour éviter d'être affectée
Rejeter par lui. L'impact métier est considérable, avec par exemple des fermetures de sites ou la décision de ne pas
commercialiser sur certains marchés.

EXEMPLE
Voici un exemple qui illustre ces quatre réponses à un risque donné. Imaginez que vous décidez de lancer une activité de confection de pâtisserie à
domicile. Vous courez le risque de voir votre cuisine endommagée si votre four prenait feu pendant la cuisson de vos gâteaux. Plusieurs réponses à
ce risque sont possibles.
• Acceptation : vous examinez le risque, et, sûr de vos compétences en pâtisserie, vous décidez que le risque que les choses tournent mal est peu
probable. Si un accident se produisait, vous pouvez remonter votre cuisine et êtes disposé à le faire.
• Réduction : vous décidez que vous préférez que votre cuisine et votre four ne soient pas exposés à un risque trop important, et vous choisissez
donc de réduire le risque. Vous pouvez réduire la probabilité de déclenchements d'incendies en installant un détecteur de fumée qui vous
avertira rapidement. Vous pouvez aussi réduire la conséquence d'un incendie en installant un système anti-incendie. Ces deux solutions
impliquent un petit investissement financier, mais vous pensez qu'elles en valent la peine.
• Transfert : vous vous adressez à votre agent d'assurance et souscrivez une police plus étendue qui couvre les incendies déclenchés en cuisine.
Votre assureur effectue sa propre évaluation du risque. Vous convenez mutuellement du montant à lui verser pour couvrir ce risque. Si votre four
prenait feu, votre assurance prendra en charge les coûts du sinistre. Cet arrangement implique un coût initial, mais limite votre responsabilité.
• Rejet : vous décidez que le risque d’incendie de votre four est trop élevé. Vous pouvez opter pour d'autres recettes pour confectionner des
pâtisseries sans four, ou renoncer à lancer votre nouvelle activité.
Comme le montre cet exemple, le nombre de facteurs à prendre en compte est élevé. Les entreprises dont la technologie IT évolue rapidement sont
confrontées à des risques en constante évolution. La gestion des risques est une occupation à temps plein dans de nombreuses entreprises et
détermine un nombre important de décisions stratégiques et tactiques.
L'appétit au risque
L'appétit au risque est le niveau de risque qu'une entreprise est disposée à accepter.
• On dit qu'une entreprise à un appétit au risque élevé si elle est disposée à accepter un fort niveau de risque.
• On dit qu'une entreprise à un appétit au risque faible si elle rechigne à accepter un risque.
Qu'en pensez-vous ?
Voici une question qui peut vous servir de piste de réflexion. Tapez votre réponse dans la zone correspondante. Le fait d'y réfléchir et de rédiger une
réponse clarifie les idées. Votre réponse est enregistrée dans ce cours uniquement pour votre propre référence et réservée à votre usage personnel.
N'oubliez pas de cliquer sur Enregistrer la réponse.
Réfléchissez à un risque que vous avez rencontré récemment dans votre vie.
Quel était ce risque et quelle a été votre réponse ? L'avez-vous accepté, réduit, transféré ou rejeté ?
Votre réponse a été enregistrée. Cliquez sur "X" pour continuer. ×
Idées erronées courantes

5 Minutes
De nombreuses idées reçues sur la cybersécurité sont devenues monnaie courante de nos jours. Elles vont des clichés peu réalistes d’attaques de
systèmes informatiques, issus tout droit des films hollywoodiens, en passant par des stéréotypes éculés sur les profils des professionnels de la
cybersécurité. Nous allons passer en revue quelques-unes de ces idées reçues et les clarifier.
Développez chaque idée reçue et découvrez la réponse qui la réfute.
Tous ceux qui travaillent dans la cybersécurité viennent du milieu IT.


La plupart des rôles dans la cybersécurité s'appuient pour tout ou partie de l'IT, mais ne sont pas forcément tous des informaticiens de
formation. Comme vous l'avez sans doute remarqué, la cybersécurité couvre des domaines si vastes qu'elle nécessite des talents dans de
nombreux domaines. Les compétences vont de la gestion humaine et la communication en passant par les mathématiques et la science
des données. Le fait de disposer d'un ensemble d’expériences et de compétences diversifiées aide également les équipes à approcher les
problèmes sous des angles nouveaux, ce qui est un atout très précieux.
Tous les pirates informatiques sont des criminels.


Le mot anglais "hacker" qui signifie pirate informatique, désignait à l'origine une personne aimant adapter les choses et découvrir
comment elles fonctionnaient. Cette définition a fini par se confondre avec celle des vrais pirates qui tentent d'accéder de façon illégale
aux systèmes informatiques pour manipuler leurs opérations. Aujourd'hui, il existe des milliers de pirates informatiques qui sont employés
dans différents rôles IT et qui travaillent légalement sur la compréhension des systèmes IT, pour le compte de nombreuses entreprises.
Leur curiosité et leur enthousiasme sont des atouts précieux pour garantir une conception sécurisée des systèmes IT.
Je n'ai pas les compétences requises pour la cybersécurité.


Chacun peut avoir un rôle à jouer, du fait de l’évolution constante de la cybersécurité et sa grande ampleur. La diversité des rôles nécessite
une grande diversité de compétences. Analyse stratégique, capacité à anticiper l'évolution des entreprises IT, ou encore vigilance et
patience pour ceux chargés de la surveillance de systèmes, la gamme est vaste. N'oubliez pas non plus qu'il existe des formations très
nombreuses.
Je suis trop vieux ou trop jeune pour travailler dans ce secteur.


Un bon test pour évaluer la diversité d'une équipe consiste à regarder toutes les tranches d'âge présentes au sein d'une équipe. Une bonne
équipe se caractérise par un éventail varié d’expériences et de points de vue. La cybersécurité doit aborder les problèmes à la fois en
posant un regard neuf sur eux, tout en s'appuyant sur l'expérience. Que vous pensiez que telle ou telle approche soit bonne ou mauvaise,
vous détenez sans doute déjà la moitié de la solution et votre opinion sert à enrichir le débat.
Qu'en pensez-vous ?
Voici une question qui peut vous servir de piste de réflexion. Tapez votre réponse dans la zone correspondante. Le fait d'y réfléchir et de rédiger une
réponse clarifie les idées. Votre réponse est enregistrée dans ce cours uniquement pour votre propre référence et réservée à votre usage personnel.
N'oubliez pas de cliquer sur Enregistrer la réponse.
A ce stade de votre formation, quel regard posez-vous sur le secteur de la cybersécurité ? À la fin du cours, revenez à cette section pour voir si votre
vision de départ a ou non changé.
Législation et éthique
10 Minutes
La cybercriminalité est un concept assez nouveau qui n'a été développé qu'au cours des 30 dernières années. Avant cette époque, pour poursuivre les
personnes qui avaient fait un usage malveillant des ordinateurs, il fallait avoir recours à une combinaison de lois sur le vol et sur la télégraphie,
malaisées à appliquer.
Aujourd'hui, un large éventail de lois internationales régissant l’utilisation des technologies informatiques et la protection de l'information qu'elles
génèrent ont été créées. Nous sommes tous concernés par ces lois et il est important que tous les professionnels de la cybersécurité en aient une
connaissance de base.
Cette leçon donne une vue d'ensemble rapide des types courants de lois et explique l'importance de tenir compte de l'éthique.
Remarque importante
La législation n'est pas la même partout dans le monde. Elle varie considérablement d'un pays à l'autre. Il vous incombe de vous informer
des lois de votre pays de résidence et/ou des pays où vous vous rendez et de les respecter. Certains gouvernements ont instauré des lois
qui sont plus prohibitives que d'autres. Par conséquent, intenter une action en justice dans un pays peut être considéré comme illégal dans
un autre.
En cas de doute, faites-vous conseiller par un spécialiste juridique.
Types courants de lois sur l'utilisation malveillante de l'informatique

Voici les caractéristiques ou les concepts courants que partagent les lois sur l'utilisation malveillante de l'informatique dans le monde.
Utilisation ou contrôle non approuvé d'un appareil informatique
•
•
De nombreuses lois interdisent l'accès non autorisé ou non approuvé à un appareil informatique ou son utilisation non autorisée ou non approuvée.
• Cette disposition générale implique que le piratage d'ordinateurs via un dispositif technique ou forçant l'accès au compte d'une personne est interdit.
• Ces lois permettent d'appréhender les personnes qui tentent de contourner les contrôles tels que l'authentification.
EXEMPLE
Insérer un écran de connexion factice sur un site Web en vue de dérober les mots de passe des utilisateurs et de les exploiter pour espionner le
compte d'un individu.
Blocage des utilisations légitimes
• Ces lois concernent les attaques remettant en cause la disponibilité des ressources informatiques, par exemple les ressources réseau.
• Les actes qui dégradent la qualité de service, voire empêchent totalement le service tombent en général sous l'application de ces lois.
EXEMPLE
Surcharger un serveur ou un commutateur réseau en lui envoyant un nombre exagéré de paquets d'information à traiter.
Collaboration avec d'autres criminels ou création de logiciels malveillants
• Ces lois concernent le fait d'aider d'autres personnes à commettre des délits liées à une utilisation malveillante de systèmes informatiques, par
exemple en s'en faisant leur complice.
• Un tel type d'assistance est par exemple la création d'un logiciel malveillant (malware).
• Ces lois ont pour but de dissoudre les associations criminelles.
EXEMPLE
Créer un programme qui permet un accès à distance à une machine à l'insu de son propriétaire.
Outre les lois sur l’utilisation malveillante de l'informatique, certains délits de la cybercriminalité se recoupent avec les lois sur la protection des
données et les lois traditionnelles sur la propriété. Si un acte de cybercriminalité a pour conséquence un vol de propriété intellectuelle, il peut alors être
considéré comme un cas de vol.
La règle d'or avant d'essayer une mesure quelconque en sécurité IT consiste à obtenir les autorisations adéquates auprès du propriétaire et à les
mettre en place avant d’expérimenter sur le système ou appareil concerné. Il est de même important de savoir exactement ce que vous êtes en train de
faire pour éviter de provoquer des dommages secondaires par inadvertance.
Discussion sur l'éthique

Les lois diffèrent dans les différents pays du monde, et il en va de même de l'éthique. De nombreux aspects de l'éthique en cybersécurité font l'objet de
vifs débats. Par exemple, peut-on admettre que des entreprises placent des fichiers piégés au sein de leur infrastructure, dans l'espoir qu'un agresseur
tombe dans le panneau ? Pour beaucoup, ce stratagème est défendable sur le point éthique, mais dans la plupart des systèmes juridiques, on pourrait
argumenter que cette démarche est illégale parce que les fichiers piégés sont considérés comme des malwares. De même, le recours à des
technologies issues du secteur de la sécurité pour cibler les criminels constitue un dilemme éthique. Des représailles sont-elles justifiables,
défendables ? Quelles règles appliquer dans le cadre militaire ou gouvernemental ?
Clairement, il existe des dilemmes éthiques qui existent d'ailleurs depuis que la cybersécurité a vu le jour. Ces débats sont de signes positifs qui sont la
marque de l'arrivée à maturité d'un secteur sain, et atteste de l'intégrité de ses participants qui acceptent de réfléchir à ces enjeux importants.
Ce diagramme, qui illustre la complexité des lois et de l'éthique de la cybersécurité, montre que les domaines de la légalité et de l'éthique se recoupent.
Activité
Faites une rapide recherche sur Internet pour vous familiariser avec les lois sur l'informatique en vigueur dans votre pays. Y a-t-il des lois dans ce
domaine que vous devez respecter ? Si oui, lesquelles ?
Tapez votre réponse dans la zone correspondante. Votre réponse est enregistrée dans ce cours uniquement pour votre propre référence et réservée à
votre usage personnel. N'oubliez pas de cliquer sur Enregistrer la réponse.

Les Fondamentaux de La Cybersécurité

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Les Fondamentaux de La Cybersécurité

Transféré par

Droits d'auteur :

Formats disponibles

01/04/2022 09:08 Les fondamentaux de la cybersécurité

Les fondamentaux de la cybersécurité

Qu'est-ce que la cybersécurité ?

• Qu'est-ce que la sécurité des informations et la cybersécurité ?

• Objectifs de la sécurité des informations avec la triade CIA

• Principaux éléments de la cybersécurité

• Risque et méthodes de gestion du risque

• Idées erronées courantes sur la cybersécurité

• Importance de la législation et des considérations éthiques dans le secteur de la cybersécurité

Sécurité des informations

• La sécurité physique est la pratique consistant à protéger

• La cybersécurité est la pratique consistant à protéger et récupérer les

• Une bonne sécurité implique à la fois une sécurité physique et la

Quel est le but recherché par les professionnels de la cybersécurité ?

La but de la confidentialité est d’éviter que les informations ne tombent pas

entre les mains de personnes non autorisées à y accéder.

L'intégrité signifie que l'information reste exacte et cohérente et que les

La disponibilité signifie la possibilité d'utiliser l’information et d'y accéder de

façon opportune et fiable, chaque fois que nécessaire.

1) Faible conséquence : vous ne remarqueriez aucun impact sur votre quotidien.

En utilisant le système d’évaluation ci-dessus, essayez de calculer vos évaluations.

Confidentialité Intégrité Disponibilité Valeur maximale

Commentaire lors d'un débat en ligne 2 3 1 3

Compte sur les médias sociaux

En cybersécurité, les entreprises sont constamment amenées à prendre ce genre de décisions.

© Copyright IBM Corporation 2020.

Principaux éléments de la cybersécurité

Vous devez prendre en compte trois éléments clés de la cybersécurité :

Les caractéristiques d’un bon processus sont les suivantes :

Progrès technologique Avantage métier Inconvénient perçu Réactions indésirables des

Enregistrer la réponse Enregistrer la réponse Enregistrer la réponse Enregistrer la réponse

Gestion des risques

Valeur d'un risque = Conséquence x Probabilité

La conséquence est l'impact et les dommages qui en découlent.

La probabilité est la fréquence du risque.

Probabilité = Capacité de l'adversaire x Motivation de l'adversaire x

Votre réponse a été enregistrée. Cliquez sur "X" pour continuer. ×

Idées erronées courantes

Développez chaque idée reçue et découvrez la réponse qui la réfute.

Tous ceux qui travaillent dans la cybersécurité viennent du milieu IT.

Tous les pirates informatiques sont des criminels.

Je n'ai pas les compétences requises pour la cybersécurité.

Je suis trop vieux ou trop jeune pour travailler dans ce secteur.

Votre réponse a été enregistrée. Cliquez sur "X" pour continuer. ×

En cas de doute, faites-vous conseiller par un spécialiste juridique.

Types courants de lois sur l'utilisation malveillante de l'informatique

Utilisation ou contrôle non approuvé d'un appareil informatique

Blocage des utilisations légitimes

Collaboration avec d'autres criminels ou création de logiciels malveillants

• Ces lois ont pour but de dissoudre les associations criminelles.

Discussion sur l'éthique

Votre réponse a été enregistrée. Cliquez sur "X" pour continuer. ×

Vous aimerez peut-être aussi