HUMANITES NUMERIQUES

Niveau 3

SECURITE INFORMATIQUES

FIL CONDUCTEUR DU COURS

Par :
Enseignant: Thierry MINKA, Sr-Eng, Sr-Auditor, GRC Expert.

Année académique 2023-2024

TABLE DES MATIERES
LISTE DES TABLEAUX.............................................................................................................. 5
LISTE DES IMAGES................................................................................................................... 5
LISTE DES ABREVIATIONS ET SIGLES ................................................................................... 6
QUELQUES DEFINITIONS ET EXPRESSIONS DU JARGON ................................................... 7
SYLLABUS ................................................................................................................................. 9
INTERVENANTS ...................................................................................................................... 14
1. INTRODUCTION GENERALE .......................................................................................... 17
2.1. Historique de la sécurité informatique .......................................................................... 17
2.2. Différence entre sécurité informatique et cybersécurité.................................................. 18
2.3. La cyberguerre et l’asymétrie des attaques .................................................................... 19
2.4. La nécessité d’un cours de sécurité informatique ........................................................... 20
2.5. Prérequis au cours ....................................................................................................... 20
2.6. Plan du cours ............................................................................................................... 21
I. DEFINITIONS, CONCEPTS ET BASES POUR LE COURS ............................................... 23
I.1. Définitions, concepts et bases de la sécurité informatique ............................................... 23
1. Confidentialité............................................................................................................... 23
2. Disponibilité ................................................................................................................. 23
3. Intégrité........................................................................................................................ 23
4. Non répudiation ............................................................................................................ 24
5. Cryptographie ............................................................................................................... 24
6. Hachage ....................................................................................................................... 24
7. Attaques informatiques ................................................................................................... 24
I.2. Définitions, concepts et bases de la cybersécurité ........................................................... 25
1. Malware........................................................................................................................... 25
2. Vers ................................................................................................................................. 25
3. Ransomware ..................................................................................................................... 25
4. Ingénierie Sociale.............................................................................................................. 25
5. Dos et DDos ..................................................................................................................... 26
6. Botnet .............................................................................................................................. 26
I.3. Définitions, concepts et bases de la gestion des risques ................................................... 27
1. Menace ............................................................................................................................ 27
2. Vulnérabilité ..................................................................................................................... 27
3. Impact ............................................................................................................................. 27
4. Probabilité ........................................................................................................................ 27
5. Risque Informatique .......................................................................................................... 27
I.4. Définitions, concepts et bases de la gestion des actifs ...................................................... 28
1. Actif ................................................................................................................................ 28
2. Actif Primaire ................................................................................................................... 28
3. Actif Secondaire ............................................................................................................... 28
I.5. Définitions, concepts et bases en architecture et Ingénierie de sécurité ............................ 28
1. Architecture de sécurité...................................................................................................... 28
2. Contremesures .................................................................................................................. 29
3. Cryptanalyse..................................................................................................................... 29
4. Virtualisation .................................................................................................................... 29
I.6. Définitions, concepts et bases des réseaux et communications ......................................... 29
1. Réseaux informatiques ....................................................................................................... 29
2. Topologie ......................................................................................................................... 29
3. Protocole .......................................................................................................................... 30
4. Sécurité réseau .................................................................................................................. 30
5. Pare-feu ........................................................................................................................... 30
6. IDS/IPS ........................................................................................................................... 30
I.7. Définitions, concepts et bases de la gestion des accès et des identités ............................... 30
1. Authentification ............................................................................................................. 30
2. Autorisation .................................................................................................................. 30
3. Journalisation ............................................................................................................... 30
4. Contrôle d’accès............................................................................................................ 31
I.8. Définitions, concepts et bases de la sécurité des opérations ............................................. 31
1. Incident ............................................................................................................................ 31
2. Activité ............................................................................................................................ 31
3. Opération ......................................................................................................................... 31
4. Virtualisation .................................................................................................................... 31
5. Contrôle ........................................................................................................................... 32
I.9. Définitions, concepts et bases du développement sécurisé d’application .......................... 32
1. Besoins fonctionnels .......................................................................................................... 32
2. Besoins non fonctionnels .................................................................................................... 32
3. Logiciel ............................................................................................................................ 32
4. Cycle de vie logiciel........................................................................................................... 33
I.10. Evaluation des acquis ................................................................................................... 34
LISTE DES TABLEAUX

Tableau 1: Quelques risques informatiques et leurs facteurs ................... Erreur ! Signet non défini.
Tableau 2: Liste des documents à solliciter........................................... Erreur ! Signet non défini.
Tableau 3: Suivi des documents sollicités ............................................ Erreur ! Signet non défini.
Tableau 4: structure idéale d'un rapport de mission d'audit ..................... Erreur ! Signet non défini.
Tableau 5: Principes et composantes du COSO ..................................... Erreur ! Signet non défini.
Tableau 6: Les cinq (5) domaines du COBIT 2019 ................................ Erreur ! Signet non défini.
Tableau 7: ISO applicables à la sécurité des technologie de l'information et d'usage courant en audit des SI
....................................................................................................... Erreur ! Signet non défini.

LISTE DES IMAGES

Figure 1: les ratios des notes.................................................................................................... 12

Figure 2 Cylcle de gestion des risques .............................................. Erreur ! Signet non défini.
Figure 3 Défense en profondeur ....................................................... Erreur ! Signet non défini.
Figure 4 Segmentation réseau .......................................................... Erreur ! Signet non défini.
Figure 5 Encapsulation Modèle OSI .................................................. Erreur ! Signet non défini.
Figure 6 Encapsulation modèle TCP/IP ............................................. Erreur ! Signet non défini.
Figure 7 VPN pour la connexion à distance ....................................... Erreur ! Signet non défini.
Figure 8 Gestion des incidents IT ...................................................... Erreur ! Signet non défini.
LISTE DES ABREVIATIONS ET SIGLES

ANTIC : Agence nationale des Technologies de l’Information et de la Communication

DSI : Division des Systèmes d’Information
MOA : Maitrise ouvrage
MOE : Maitrise d’œuvre
POS : Plan d’Occupation des Sols
BPR : Business Process Reengineering (Réingénierie des processus)
BSC : Balanced Score Card (Tableau de bord prospectif)
COBIT : Control Objectives for Information and related Technology (Référentiel de contrôle
interne informatique)
COMEX : Comité exécutif
HD : Help desk (Plateau d’assistance technique)
QUELQUES DEFINITIONS ET EXPRESSIONS DU JARGON

Batch : Séquence de traitement automatique, également appelée « traitement par

lots », généralement réalisée en temps différé.

Gouvernance du SI : La « Gouvernance des Systèmes d'Information » ou «

Gouvernance informatique » désigne le dispositif mis en place par une organisation
pour contrôler et réguler son SI. À ce titre, la gouvernance du SI fait partie
intégrante de la gouvernance de l’organisation et consiste d'abord à fixer au SI des
objectifs découlant de la stratégie de l'organisation.

Schema Directeur et Plan Strategique Informatique : Le schéma directeur est un

plan stratégique destiné à piloter le développement de l'informatique dans
l'organisation, en cohérence avec sa stratégie générale. Un schéma directeur
informatique décrit le système informatique actuel et futur, dans une logique
d’objectifs et de services attendus. Il offre donc une vue globale de l’état présent du
système, un inventaire et une spécification des besoins, et définit des orientations. Il
est approuvé par le plus haut niveau de l’organisation. Il doit faire l’objet
d’arbitrages clairs portant sur les finalités visées, les adaptations de processus
opérationnels, les ressources humaines et financières affectées, les étapes et le
calendrier de réalisation. Sa durée de vie est généralement comprise entre deux et
six ans.

Plan d’Occupation des Sols (POS) : C’est un plan d’occupation dans lequel le
patrimoine applicatif est réparti en zones, quartiers, ilots et blocs fonctionnels. Les
applications actuelles et futures y sont réparties entre chacune des subdivisions.

Maitrise d’Ouvrage (MOA) et Maitrise d’Œuvre (MOE): La maîtrise d’ouvrage

est le commanditaire du projet informatique. La maîtrise d’œuvre est l’exécutante,
celle qui réalise la commande passée.

Informatique en Nuage ou Cloud Computing : L’informatique en nuage est une

technologie qui consiste à s’appuyer sur les capacités des réseaux pour mettre à la
disposition des utilisateurs finaux un service, fourni par des logiciels et une
infrastructure informatique souvent distants.
Plan de Continuité de l’Activité (PDCA) : C’est un ensemble de mesures qui
permettraient à une organisation de poursuivre son activité, en particulier ses
fonctions critiques à un niveau acceptable, pendant un sinistre.

Plan de Reprise de l’Activité (PDRA) : C’est un ensemble de mesures qui

permettraient à une organisation de reprendre son activité après un sinistre, par
exemple une panne qui paralyserait son SI. Il s’agit du retour à la normale.

Progiciel de Gestion Integree – PGI (ERP) : Un PGI (progiciel de gestion intégré)

ou ERP (Enterprise Resources Planning) est un progiciel qui intègre les principales
composantes fonctionnelles de l'entreprise : gestion de production, gestion
commerciale, logistique, ressources humaines, comptabilité, contrôle de gestion. À
l'aide de ce système unifié, les utilisateurs de différents métiers travaillent dans un
environnement applicatif identique qui repose sur une base de données unique. Ce
modèle permet d'assurer l’intégrité des données, la non-redondance de
l'information, ainsi que la réduction des temps de traitement.
SYLLABUS

Syllabus du cours de Sécurité Informatique dispensé en troisième année de licence

à l’Ecole Nationale Supérieure Polytechnique de Yaoundé :

1. Dispensé par :
1.1. Enseignant : Thierry MINKA, Sr-Eng., Sr-Auditor, GRC Expert
1.2. Chargé de TD : Fils Assan MEFIRE, Msc IT Security, Jr-Pentester

2. Durée : xxx heures allouées

2.1. Cours en salle : xxx heures
2.2. Travaux Dirigés en salle : 10 heures
2.3. Travaux Personnels de l’Apprenant : 40 heures

3. Objectif global du cours :

L’objectif global du cours est de capaciter les apprenants en leur fournissant les
bases du métier d’auditeur en général, et de celles d’auditeur des Systèmes
d’Information en particulier.

4. Contenu du cours
N° Sections du Cours Objectifs
1 Introduction Fixer le contexte global du cours
2 LIVRE I : Définitions, concepts et bases pour le cours
2.1 Définitions, concepts et bases de la sécurité informatique
2.2 Définitions, concepts et bases de la cybersécurité
2.3 Définitions, concepts et bases de la gestion des risques
2.4 Définitions, concepts et bases de la gestion des actifs
2.5 Définitions, concepts et bases en architecture et Ingénierie de sécurité Donner les éléments de compréhension
2.6 Définitions, concepts et bases des réseaux et communications et notions manipulées dans le cours
2.7 Définitions, concepts et bases de la gestion des accès et des identités
2.8 Définitions, concepts et bases de la sécurité des opérations
Définitions, concepts et bases du développement sécurisé
2.9
d’application
2.10 Evaluation des acquis
3 LIVRE II: Security and Risk Management
3.1 Introduction
3.2 Gouvernance de la Sécurité de l’Information
3.3 Contrôle d’accès
3.4 Analyse des risques Donner les éléments de compréhension
3.5 Loi et régulation liés à la gestion des risques, un des
3.6 Sécurité de tierces parties domaines majeur de la sécurité.
3.7 Ethique et déontologie
3.8 Type d’attaquants
3.9 Evaluation des acquis
3.10 TP
4 LIVRE III : Sécurité des Actifs
4.1 Introduction
4.2 Classification des données
Donner les éléments de compréhension
4.3 Protection des données
liés aux actifs, leur importance et leur
4.4 Appartenance
protection.
4.5 Mémoire, rémanence et destruction
4.6 Standards et référentiels de contrôle
4.7 Evaluation des acquis
4.8 TP
5 LIVRE IV : Ingénierie et architecture de sécurité
5.1 Introduction
5.2 Modèle de Sécurité
5.3 Fondamentaux de la conception d’architecture de sécurité
5.4 Architecture matérielle sécurisée
5.5 Systèmes d’exploitation et Architecture logiciel
5.5 Virtualisation Donner les éléments de compréhension
5.6 Vulnérabilités systèmes, menaces et contremesures liés aux différents modèles de sécurités,
5.7 Introduction à la Cryptographie ainsi que les fondements de la
5.8 Algorithmes symétriques cryptographie et de la sécurité physique.
5.9 Algorithmes asymétriques
5.10 Fonction de hachage
5.11 Cryptanalyse
5.12 Sécurité physique
5.13 Evaluation des acquis
5.14 TP
6 LIVRE V : Réseaux et communications
6.1 Introduction
6.2 Modèles réseaux
6.3 Protocoles de couches basses Rappeler les fondamentaux des modèles
6.4 Protocoles applicatifs fondamentaux et protocoles réseaux. Présenter de
6.5 Technologies LAN et WAN méthodes et mécanismes de sécurisation
6.6 Périphériques réseaux des réseaux ainsi décrits et de
6.7 Communications Sécurisées communications qui y circulent.
6.8 Attaques réseaux
6.9 Evaluation des acquis
6.10 TP
7 LIVRE VI : Gestion des identités et des Accès
7.1 Introduction
7.2 Méthodes d’authentification
Préciser l’importance de la gestion de
7.3 Implémentation des contrôles d’accès
l’identité, et donner les base sur le
7.4 Modèles de contrôle d’accès
contrôle d’accès
7.5 Interfaces contraintes
7.6 Evaluation des acquis
7.7 TP
8 LIVRE VII : Evaluation et tests de la sécurité
8.1 Introduction Donner les éléments de compréhension
8.2 Evaluation des contrôles d’accès liés à la l’évaluation des contrôles
8.3 Méthodes de test des logiciels d’accès, et présenter des méthodes de
8.4 Evaluation des acquis tests de logiciels.
8.5 TP
9 LIVRE VIII : Opérations de Sécurité
9.1 Introduction Présenter les différentes opérations de
9.2 Sécurité Administrative sécurité, ainsi que la gestion des pannes.
9.3 Investigation numérique
9.4 Gestion des incidents
9.5 Contrôles opérationnels
9.6 Gestion des actifs IT
9.7 Tolérance aux pannes
9.8 Plan de continuité des activité
9.10 Plan de reprise après sinistre
9.11 Evaluation des acquis
9.12 TP
10 LIVRE IX : Sécurité des applications Donner les éléments de compréhension
10.1 Introduction liés à la programmation sécurisée.
10.2 Méthodes de développement
10.3 Evaluation de la sécurité des logiciels
10.4 Bases des données
10.5 Programmation orientée objet
10.6 Programmation sécurisée
10.7 Evaluation des acquis
10.8 TP
5. Critères d’évaluation :
Les apprenants seront évalués suivants plusieurs axes :
✓ Assiduité :
o La présence au cours ;
o La participation aux échanges durant le cours ;
o Le retour des devoirs dans les délais prescrits.
✓ L’appropriation :
o La compréhension du cours ;
o La rétention du cours ;
o La capacité à restituer les concepts en ses propres termes.

6. Evaluations
L’évaluation de l’acquisition des connaissances dans le cadre de ce cours
prend en compte :
- Des travaux dirigés ;
- Un contrôle continu ;
- La participation au cours ;
- Des travaux de recherche.

Les ratios pour l’évaluation sont représentés dans l’image suivante :

 Ratios des notes

20%
25%

5%

50%

TD: CC: Participation au cours Recherche

Figure 1: les ratios des notes

Page laissée vide pour la prise de notes
INTERVENANTS
Thierry MINKA, Sr-Eng., Sr-Auditor, GRC Expert
Actuellement Doctorant et Enseignant Chercheur en GRC (Governance, Risk &
Compliance) à l’Ecole Nationale Supérieure Polytechnique de Yaoundé, sa
formation de base relève de l’ingénierie, dans laquelle il a obtenu tour à tour les
diplômes de Technicien Supérieur, d’Ingénieur des Travaux, de Master en
Informatique Appliquée à la Gestion d’Entreprise, d’Ingénieur de Conception, de
Master en Système Distribués Temps Réels.

Sous-Directeur dans les Services du Contrôle Supérieur de l’Etat, c’est un auditeur

chevronné, qui pratique l’audit au quotidien. A titre privé, il réalise des audits à la
demande pour plusieurs entreprises publiques et privés de la sous-région.

Il est par ailleurs titulaire de plusieurs certifications en audit et les domaines

connexes (une trentaine). C’est le premier francophone au monde, à avoir terminé
le big 4 chez ISACA en 2020, ce qui lui a valu le titre de Guru.

Dans une autre vie, c’est l’un des cinq (5) Experts Judiciaires du pays en matière de
cybersécurité-cybercrimalité.

Il enseigne au PSSFP depuis 2016 et à l’Ecole Nationale Supérieure Polytechnique

de Yaoundé depuis 2017.

Il conduit actuellement des études sur des sujets liées à l’audit de SI à l’ère de l’IA
et la cybersécurité à l’ère de l’IA.

MEFIRE FILS ASSAN, Msc. Information Security, Jr Cybersecurity Analyst,

Jr Penetration Tester
Actuellement Stagiaire à l’ANTIC, sa formation de base relève de l’ingénierie,
dans laquelle il a obtenu tour à tour les diplômes de Master en sécurité
informatique, d’ingénieur en cybersécurité et investigation numérique.

Il est titulaire de nombreuses certifications dans le domaine de la cybersécurité de

façon générale et plus spécifiquement dans le domaine des tests d’intrusion. Son
profil intéressant lui a permis d’obtenir un contrat d’alternance avec un des plus
grands cabinets d’expertise en cybersécurité dans la sous-région, ayant des clients
de secteurs variés, lui permettant ainsi de voir comment la sécurité peut être intégré
dans les processus métiers d’une entreprise qu’importe sa taille ou son secteur
d’activité.

Par ailleurs, il a participé à de nombreuses conférences sur le domaine de la

cybersécurité tels que EOCON (Eyes Open Conference) partageant le panel avec
des experts de renom.
Page laissée vide pour la prise de notes
 1. INTRODUCTION GENERALE
Dans le contexte contemporain des entreprises, les systèmes d'information sont
devenus omniprésents, jouant un rôle essentiel dans la facilitation des tâches des
employés et l'accélération des processus métier. Cette évolution résulte de
l'intégration croissante d'une gamme variée d'équipements informatiques, allant des
simples imprimantes aux ordinateurs complexes. Cependant, cette intégration n'est
pas sans risques, car elle ouvre la voie à une interconnexion étendue entre ces
équipements et les machines externes, offrant ainsi aux individus malveillants des
opportunités de vol de données, de perturbation du système ou même d'arrêt
complet pour des motivations diverses.

La maîtrise des techniques visant à protéger ces systèmes d'information revêt une
importance cruciale pour les étudiants en humanités numériques, dont la formation
vise principalement à utiliser les outils numériques pour favoriser le développement
humain. Ce cours adoptera une approche holistique en couvrant à la fois les
concepts généraux de sécurité informatique ainsi que des éléments spécifiques
pertinents pour diverses spécialisations telles que le data scientist, le manager des
systèmes d'information, l'investigateur numérique, le community manager, le
spécialiste en intelligence artificielle ou l'expert en cybersécurité.

2.1. Historique de la sécurité informatique

L'histoire de la sécurité informatique est intrinsèquement liée à l'évolution de

l'informatique elle-même. Chaque avancée technologique a engendré de nouveaux
défis et besoins en matière de protection.

Les origines (1940-1960) :

• La sécurité informatique trouve ses racines dans les années 1940, avec les
premiers ordinateurs Colossus et ENIAC.
• À cette époque, la préoccupation principale était la protection des secrets
militaires et gouvernementaux.
• Les techniques de protection étaient rudimentaires, basées sur des contrôles
d'accès physiques et des procédures manuelles.

L'essor des réseaux et la naissance de la sécurité réseau (1960-1980) :

 • L'apparition des réseaux informatiques dans les années 1960 a marqué un
tournant majeur.
• La nécessité de sécuriser les données transmises entre les machines a donné
naissance à la sécurité réseau.
• Les premières technologies de sécurité réseau, comme le chiffrement et les
pares-feux, ont été développées durant cette période.

Le premier virus informatique et ses conséquences (1988) :

• C'est en 1988 que le premier virus informatique majeur, connu sous le nom
de "Morris", a été créé par Robert Tappan Morris, un étudiant à l'Université
Cornell.
• Ce virus a exploité une faille dans le système d'exploitation Unix pour se
propager à travers le réseau ARPANET, l'ancêtre d'Internet.
• L'infection a touché environ 6 000 ordinateurs, causant des dommages
importants et attirant l'attention sur la nécessité de renforcer la sécurité
informatique.

L'ère de la cybercriminalité (1980-2000) :

• L'expansion d'Internet dans les années 1980 a ouvert la voie à une nouvelle
ère de cybercriminalité.
• Les virus, les malwares et les attaques par déni de service (DoS) sont
devenus des menaces de plus en plus fréquentes.
• En réponse, l'industrie de la sécurité informatique a connu une croissance
exponentielle, avec l'apparition de nouvelles technologies et solutions de
protection.

Evolution de la sécurité informatique(2000-présent) :

• La sécurité informatique aujourd’hui comprend les réseaux, les systèmes

d’information, les données et les applications.
• L'intelligence artificielle, l'apprentissage automatique et l'automatisation
jouent désormais un rôle crucial dans la lutte contre les cybermenaces en
constante évolution.

2.2. Différence entre sécurité informatique et cybersécurité

Les termes "cybersécurité" et "sécurité informatique" sont souvent utilisés de

manière interchangeable, ce qui peut prêter à confusion. Il est important de
comprendre les nuances entre ces deux concepts pour mieux appréhender les
enjeux de la protection des systèmes d'information.

• Cybersécurité : La cybersécurité se concentre sur la protection des systèmes

informatiques et des données dans le cyberespace. Cela inclut les appareils,
les réseaux, les logiciels et les données stockées ou transmises
numériquement. L'objectif principal est de contrer les attaques et les menaces
provenant du monde numérique, comme les virus, les malwares, les
intrusions et le piratage.

• Sécurité informatique : La sécurité informatique a un champ d'application

plus large. Elle vise à protéger l'ensemble des systèmes d'information, qu'ils
soient numériques ou non. Cela inclut la protection contre les menaces
physiques (vol, destruction de matériel), les erreurs humaines, les
défaillances techniques et les catastrophes naturelles. La sécurité
informatique englobe donc la cybersécurité, mais elle s'étend également à
d'autres aspects de la protection des données et des systèmes.

2.3. La cyberguerre et l’asymétrie des attaques

Aujourd'hui, la sécurité informatique concerne non seulement les entreprises, mais
également les États, car leurs systèmes d'information, qui gèrent parfois des
infrastructures critiques, sont interconnectés et peuvent être la cible de
cyberattaques orchestrées par des acteurs étatiques ou des groupes de
cybercriminels. Cette réalité donne lieu à ce que l'on appelle la cyberguerre, un
concept où les conflits et les tensions entre États se déroulent dans le cyberespace.

La particularité de la cyberguerre réside dans son asymétrie par rapport aux conflits
traditionnels. Contrairement aux guerres physiques où la puissance militaire
conventionnelle est un facteur déterminant, dans le cyberespace, des pays moins
puissants sur le plan conventionnel peuvent infliger des dommages significatifs à
des nations plus grandes et mieux équipées. Cette asymétrie des attaques souligne
l'importance de la préparation et de la défense des infrastructures numériques, car
elles deviennent des cibles potentielles dans un conflit virtuel.
La protection du cyberespace national est une préoccupation majeure, impliquant
non seulement les systèmes d'information de l'État, mais également ceux des
entreprises, qu'elles soient publiques ou privées. Les menaces peuvent provenir
aussi bien de l'intérieur du pays, avec des acteurs internes malveillants, que de
l'extérieur, avec des attaquants étrangers cherchant à compromettre la sécurité
nationale ou à obtenir des informations stratégiques.

2.4. La nécessité d’un cours de sécurité informatique

La nécessité d'un cours de sécurité informatique est incontestablement mise en
lumière par l'actualité quotidienne. Avec la modernisation croissante des systèmes
d'information, la surface d'exposition aux attaques informatiques s'agrandit
considérablement, faisant face à des menaces de plus en plus fréquentes et
sophistiquées.

La sécurité informatique est devenue une préoccupation de premier plan, voire une
priorité absolue, dans un paysage où les entreprises, les institutions et même les
particuliers sont régulièrement confrontés à des cyberattaques. Il est impératif que
les étudiants en licence 3 acquièrent des bases solides en sécurité informatique pour
être en mesure de contribuer à la protection des systèmes d'information dans les
environnements où ils seront amenés à travailler.

En comprenant les principes fondamentaux de la sécurité informatique, ces

étudiants seront outillés pour sensibiliser leurs collègues et les décideurs aux enjeux
de la cybersécurité. Ils pourront ainsi jouer un rôle crucial dans la promotion de
bonnes pratiques de sécurité et dans la défense contre les menaces numériques
émergentes. En fin de compte, la formation en sécurité informatique permet non
seulement de prévenir les attaques, mais aussi de garantir la stabilité et la résilience
des systèmes d'information face aux défis actuels et futurs.

2.5. Prérequis au cours

Ce cours de sécurité informatique est conçu comme une introduction accessible aux
étudiants, et par conséquent, aucune connaissance préalable en sécurité
informatique n'est requise pour y participer. Cependant, une familiarité avec les
concepts de base liés aux réseaux informatiques ainsi qu'une compréhension des
algorithmes de chiffrement et de hachage seraient des atouts précieux pour les
participants.
Bien que nous abordions les concepts de sécurité informatique à partir de zéro, une
base solide dans des domaines connexes peut faciliter la compréhension et
l'assimilation des principes de sécurité.

2.6. Plan du cours

Le cours est subdivisé en neuf (09) parties :
- LIVRE I : Définitions, concepts et bases pour le cours
- LIVRE II: Security and Risk Management
- LIVRE III : Sécurité des Actifs
- LIVRE IV : Ingénierie et architecture de sécurité
- LIVRE V : Réseaux et communications
- LIVRE VI : Gestion des identités et des Accès
- LIVRE VII : Evaluation et tests de la sécurité
- LIVRE VIII : Opérations de Sécurité
- LIVRE IX : Sécurité des applications
 LIVRE I
DEFINITIONS, CONCEPTS ET
BASES
POUR LE COURS
I. DEFINITIONS, CONCEPTS ET BASES POUR LE COURS

I.1. Définitions, concepts et bases de la sécurité informatique

1. Confidentialité
La confidentialité, dans le domaine de la sécurité informatique, se réfère à la
protection des informations contre tout accès non autorisé. En d'autres termes, c'est
un principe fondamental qui garantit que seules les personnes ou les entités
autorisées peuvent accéder à des données sensibles. La confidentialité vise à
empêcher la divulgation ou la fuite d'informations confidentielles, qu'il s'agisse de
données personnelles, financières, commerciales ou gouvernementales.
2. Disponibilité
La disponibilité, en sécurité informatique, est une caractéristique essentielle visant
à garantir que les services et les systèmes informatiques restent accessibles et
fonctionnels à tout moment, selon des critères définis. Il s'agit d'assurer que les
utilisateurs légitimes puissent accéder aux ressources et aux fonctionnalités
nécessaires sans interruption indésirable.

Le niveau de disponibilité recherché peut varier en fonction de la taille de

l'entreprise, de ses besoins opérationnels et de la criticité des services offerts. Par
exemple, dans des secteurs comme la santé, où la vie des patients dépend souvent
de l'accessibilité des systèmes informatiques, un haut niveau de disponibilité proche
de 99,999% peut être impératif. En revanche, dans d'autres secteurs comme la
finance, des temps d'arrêt planifiés peuvent être tolérés à des heures de faible
activité, mais même dans ces cas, la disponibilité reste une préoccupation majeure
pour garantir des opérations fluides et fiables.
3. Intégrité
L'intégrité des données est un concept crucial en sécurité informatique, faisant
référence à l'état dans lequel les données sont conservées et transmises sans
altération non autorisée. L'objectif principal de l'intégrité est de s'assurer que les
données demeurent exactes, cohérentes et fiables tout au long de leur cycle de vie,
qu'il s'agisse de stockage ou de transmission.
Cela signifie que les données doivent être protégées contre toute modification non
autorisée, intentionnelle ou accidentelle.
4. Non répudiation
La non-répudiation est un principe fondamental en sécurité informatique qui
garantit qu'une fois qu'une action ou une transaction a été effectuée, les parties
impliquées ne peuvent pas la nier ou la rejeter par la suite. En d'autres termes,
l'expéditeur ne peut pas nier avoir envoyé un message, et le destinataire ne peut pas
nier l'avoir reçu.
5. Cryptographie
La cryptographie représente un pilier fondamental de la sécurité informatique,
jouant un rôle crucial dans la protection des données sensibles. Elle consiste en
l'application de techniques mathématiques et algorithmiques pour sécuriser les
communications et les informations en les rendant illisibles à toute personne
n'ayant pas la clé spécifique nécessaire pour les déchiffrer.
6. Hachage
Une fonction de hachage, en mathématiques, est un algorithme qui prend en entrée
des données de n'importe quelle taille et génère une sortie de taille fixe, unique
pour chaque entrée. Cette sortie, appelée "empreinte" ou "hash", agit comme une
sorte de "empreinte digitale" numérique des données d'entrée.
En sécurité informatique, les fonctions de hachage sont largement utilisées pour
garantir l'intégrité des données. Lorsqu'une donnée est soumise à une fonction de
hachage, toute modification, même minime, de cette donnée entraîne un
changement significatif dans la sortie du hachage. Ainsi, si deux ensembles de
données sont identiques, leurs hachages correspondants seront également
identiques. Cela permet de détecter toute altération ou altération accidentelle des
données, car même une modification mineure de celles-ci entraînera un
changement complet dans la sortie du hachage.

7. Attaques informatiques
Une attaque informatique est un événement, qu'il soit intentionnel ou non, qui vise
à compromettre l'une des propriétés fondamentales assurées par la sécurité
informatique : la confidentialité, la disponibilité ou l'intégrité des données et des
systèmes informatiques. Ces attaques peuvent prendre diverses formes, telles que
l'accès non autorisé aux données confidentielles, la perturbation des services en
ligne, la modification ou la falsification de données, ou encore obtenir un accès non
autorisé aux systèmes.
I.2. Définitions, concepts et bases de la cybersécurité
1. Malware
Le terme "malware" désigne un logiciel malveillant conçu pour exécuter des
actions nuisibles une fois qu'il est installé sur un système informatique. Ces actions
malveillantes peuvent inclure la copie, la suppression ou la modification de
données, ainsi que la perturbation ou l'arrêt complet du fonctionnement du système.
En outre, les logiciels malveillants peuvent être conçus pour voler des informations
confidentielles, espionner les activités de l'utilisateur, ou compromettre la sécurité
globale du système en ouvrant des portes dérobées pour les cybercriminels.
2. Vers
Le ver est une forme spécifique de logiciel malveillant qui se caractérise par sa
capacité à se propager rapidement à travers les réseaux informatiques. Une fois
qu'il a infiltré un système, le ver tente activement de se reproduire en se copiant lui-
même et en se propageant à d'autres ordinateurs connectés au réseau. Une des
caractéristiques distinctives des vers est leur capacité à se dupliquer
automatiquement dès qu'ils détectent une connexion externe, comme l'insertion
d'une clé USB ou la connexion à un réseau distant. Cette capacité d'autoréplication
permet aux vers de se propager rapidement et de causer des dommages à grande
échelle en infectant un grand nombre de systèmes en peu de temps.
3. Ransomware
Un ransomware, comme son nom l'indique, est une forme de logiciel malveillant
qui, une fois installé sur un système, crypte ou verrouille les fichiers ou les sous-
systèmes de manière à rendre leur accès impossible pour l'utilisateur légitime. En
échange de la restitution des fichiers ou de l'accès au système, les cybercriminels
exigent le paiement d'une rançon. Cette rançon est souvent demandée en
cryptomonnaie pour rendre les transactions difficiles à tracer.
4. Ingénierie Sociale
L'ingénierie sociale est une technique d'attaque informatique qui exploite les
vulnérabilités humaines, telles que la peur, la cupidité, la confiance ou la
soumission à l'autorité, pour tromper les individus et leur faire divulguer des
informations confidentielles ou prendre des actions indésirables. L'un des exemples
les plus répandus d'ingénierie sociale est le phishing, où les attaquants envoient des
e-mails ou des messages frauduleux soigneusement conçus pour inciter les victimes
à divulguer leurs identifiants de connexion, leurs informations personnelles ou à
cliquer sur des liens malveillants. Ces messages peuvent sembler légitimes,
provenir de sources apparemment fiables ou induire les victimes en erreur en
utilisant des tactiques telles que l'urgence, l'intimidation ou la flatterie. En
exploitant les faiblesses humaines, les attaques d'ingénierie sociale contournent
souvent les mesures de sécurité techniques et peuvent causer des dommages
importants aux individus et aux organisations.
5. Dos et DDos
"DoS" fait référence à "Denial of Service", une attaque informatique visant à rendre
un service indisponible pour les utilisateurs légitimes en inondant le système cible
avec un grand nombre de requêtes, ce qui entraîne une surcharge et un
dysfonctionnement du service.
"Distributed Denial of Service" (DDoS) est une variante de l'attaque DoS où les
attaquants utilisent un réseau de machines distribuées, souvent compromises par
des logiciels malveillants, pour lancer simultanément des attaques sur la cible.
Cette approche rend les attaques DDoS encore plus difficiles à contrer, car elles
proviennent de multiples sources, ce qui rend leur détection et leur blocage plus
complexes.
6. Botnet
Un botnet est un réseau composé de machines compromises, communément
appelées zombies, car elles ont été infectées par des logiciels malveillants et sont
contrôlées à distance par un seul individu ou groupe, appelé le maître ou le
contrôleur du botnet. Lorsqu'une attaque est lancée, le maître du botnet utilise ces
machines infectées pour amplifier la puissance de l'attaque ou pour masquer son
origine, rendant ainsi plus difficile la détection et l'identification des attaquants. Les
botnets sont souvent utilisés dans des attaques de type DDoS (Distributed Denial of
Service), où de nombreuses machines compromises sont synchronisées pour
envoyer simultanément un flux massif de trafic vers une cible spécifique,
submergeant ainsi ses capacités de traitement et le rendant indisponible pour les
utilisateurs légitimes. En plus des attaques DDoS, les botnets peuvent également
être utilisés pour envoyer du spam, voler des informations sensibles, exécuter des
escroqueries en ligne et d'autres activités malveillantes.
I.3. Définitions, concepts et bases de la gestion des risques
1. Menace
Une menace fait référence à toute action, événement ou entité susceptible de
causer des dommages, des perturbations ou des atteintes à la confidentialité, à
l'intégrité ou à la disponibilité des systèmes informatiques, des réseaux ou des
données. Les menaces peuvent être internes ou externes et peuvent inclure des
attaques de logiciels malveillants, des violations de données, des failles de sécurité,
des cyberattaques, des catastrophes naturelles ou tout autre événement susceptible
de compromettre la sécurité des informations.
2. Vulnérabilité
Une vulnérabilité se réfère à une faiblesse ou à une lacune dans un système
informatique, un logiciel, un réseau ou un processus qui peut être exploitée par des
attaquants pour compromettre la sécurité de l'ensemble. Les vulnérabilités peuvent
résulter de défauts de conception, de bugs de programmation, de configurations
incorrectes ou de l'absence de mises à jour de sécurité.
3. Impact
L’impact se réfère aux conséquences résultant de l'exploitation réussie d'une
vulnérabilité ou d'une attaque sur un système informatique, un réseau ou des
données.
4. Probabilité
La probabilité se réfère à l'estimation de la chance qu'un événement indésirable se
produise, tel qu'une exploitation de vulnérabilité, une cyberattaque ou une perte de
données. Cette probabilité est généralement évaluée en fonction de divers facteurs,
tels que la fréquence des menaces connues, la sophistication des attaquants, la
qualité des contrôles de sécurité en place, les tendances de sécurité passées, et
d'autres variables pertinentes.
5. Risque Informatique
Le risque informatique fait référence à la possibilité d'occurrence d'événements
indésirables ou de pertes liées à l'utilisation, à la manipulation ou à la gestion des
systèmes informatiques, des réseaux, des données ou des technologies de
l'information. Il est caractérisé par une combinaison de la probabilité d'occurrence
d'un événement et de son impact potentiel sur les activités, les finances, la
réputation ou la sécurité d'une organisation.
I.4. Définitions, concepts et bases de la gestion des actifs
1. Actif
Un actif est tout élément, ressource ou donnée qui a de la valeur pour une
organisation et qui doit être protégé contre les menaces et les risques potentiels. Les
actifs informatiques peuvent inclure une gamme diversifiée d'éléments, tels que les
données sensibles ou confidentielles, les logiciels, les matériels informatiques, les
réseaux, les infrastructures, les applications, les services, les identifiants d'accès et
les informations de propriété intellectuelle.
2. Actif Primaire
Un actif primaire, dans le contexte de la sécurité informatique, fait référence à un
élément essentiel pour le fonctionnement et la mission d'une organisation. Il s'agit
généralement d'un élément central qui représente une valeur critique pour
l'entreprise et dont la perte ou la compromission pourrait avoir un impact
significatif sur ses opérations, sa réputation ou sa rentabilité.
3. Actif Secondaire
Un actif secondaire dans le domaine de la sécurité informatique fait référence à un
élément ou une ressource qui, bien que moins critique que les actifs primaires, reste
néanmoins important pour les opérations et les processus d'une organisation. Ces
actifs contribuent souvent de manière indirecte à la mission globale de l'entreprise
et peuvent inclure une gamme de ressources telles que des logiciels non essentiels,
des équipements de bureau standard, des données non sensibles ou des services de
soutien.
I.5. Définitions, concepts et bases en architecture et Ingénierie de sécurité
1. Architecture de sécurité
L'architecture de sécurité, se réfère à la conception globale et à la mise en place des
composants, des mécanismes et des politiques de sécurité au sein d'un système
informatique, d'un réseau ou d'une infrastructure technologique. Elle vise à établir
un cadre robuste et cohérent pour protéger les actifs informatiques, prévenir les
menaces et atténuer les risques potentiels.
 2. Contremesures
Les contre-mesures, font référence aux actions proactives ou réactives mises en
œuvre pour prévenir, détecter ou atténuer les menaces et les risques pesant sur les
systèmes informatiques, les réseaux et les données. Ces mesures sont conçues pour
renforcer la sécurité globale d'une organisation et protéger ses actifs informatiques
contre les attaques, les vulnérabilités et d'autres types de risques.
3. Cryptanalyse
La cryptanalyse est l'étude des techniques visant à casser ou à contourner les
mécanismes de cryptage utilisés pour protéger les données et les communications.
Son objectif principal est de décrypter des messages chiffrés sans avoir accès à la
clé de chiffrement correspondante.
4. Virtualisation
La virtualisation est une technologie qui permet de créer des versions virtuelles ou
simulées de ressources informatiques telles que des serveurs, des réseaux, des
systèmes d'exploitation ou des applications. Elle permet de consolider plusieurs
instances logiques sur un même matériel physique, ce qui offre de nombreux
avantages en termes d'efficacité, de flexibilité et de réduction des coûts.

I.6. Définitions, concepts et bases des réseaux et communications

1. Réseaux informatiques
Les réseaux informatiques sont des infrastructures qui permettent à plusieurs
dispositifs informatiques de communiquer et de partager des ressources entre eux.
Ces réseaux facilitent le transfert de données, la communication et l'accès aux
ressources partagées, qu'il s'agisse de fichiers, d'imprimantes, de périphériques ou
d'applications.
2. Topologie

La topologie d'un réseau informatique désigne la structure physique ou logique de

son agencement, déterminée par la manière dont les appareils et les câbles sont
connectés les uns aux autres. La topologie définit la disposition géographique des
nœuds et des liens dans le réseau.
 3. Protocole
4. Sécurité réseau
5. Pare-feu
6. IDS/IPS
I.7. Définitions, concepts et bases de la gestion des accès et des identités

1. Authentification
L'authentification est un processus fondamental en sécurité informatique qui vise à
vérifier et à confirmer l'identité d'une entité, qu'il s'agisse d'un utilisateur, d'un
système ou d'un périphérique. Ce processus est crucial pour garantir que seules les
personnes ou les systèmes légitimes puissent accéder aux ressources ou aux
données sensibles. Les mécanismes d'authentification peuvent inclure une variété
d'éléments, tels que les mots de passe, les clés d'identification, les jetons
d'authentification, les certificats numériques, la biométrie, ou une combinaison de
ceux-ci.
2. Autorisation
L'autorisation, dans le domaine de la sécurité informatique, détermine les actions
spécifiques qu'une entité authentifiée est autorisée à effectuer ou à accéder dans un
système informatique donné. Elle définit les permissions et les privilèges associés à
l'identité vérifiée d'une entité une fois qu'elle est authentifiée.
3. Journalisation
La journalisation, également connue sous le nom de logging, est un processus
essentiel en sécurité informatique consistant à enregistrer et à conserver des traces
détaillées de toutes les activités effectuées par les utilisateurs, les applications ou
les systèmes au sein d'un environnement informatique donné. Ces enregistrements
servent de registre chronologique des événements et des actions, capturant des
informations telles que les accès aux données, les modifications de configurations,
les tentatives de connexion, et les erreurs.

L'objectif principal de la journalisation est de fournir une piste d'audit complète et

fiable, qui peut être utilisée pour surveiller, analyser et répondre à divers scénarios,
y compris les incidents de sécurité, les violations de politiques, et les problèmes
opérationnels. En cas d'incident, les journaux peuvent être examinés pour
déterminer la source du problème, évaluer son impact et prendre les mesures
correctives appropriées.
4. Contrôle d’accès
Le contrôle d'accès est un mécanisme de sécurité essentiel qui vise à réguler et à
limiter l'accès aux ressources, aux données ou aux zones d'un système informatique
ou d'un environnement physique. Il permet de déterminer quelles entités, telles que
les utilisateurs, les applications ou les périphériques, sont autorisées à accéder à des
ressources spécifiques, ainsi que les actions qu'elles sont autorisées à effectuer une
fois l'accès accordé.

I.8. Définitions, concepts et bases de la sécurité des opérations

1. Incident
En sécurité informatique, un incident est défini comme tout événement qui
compromet ou menace la sécurité, l'intégrité, la confidentialité ou la disponibilité
des données, des systèmes ou des réseaux informatiques. Ces incidents peuvent être
causés par des cyberattaques, des erreurs humaines, des défaillances techniques ou
d'autres événements imprévus.
2. Activité
Une activité peut être définie comme une action ou une série d'actions entreprises
dans le but spécifique d'atteindre un objectif déterminé. Ces actions peuvent être
réalisées par une ou plusieurs personnes, et peuvent impliquer l'utilisation de
ressources matérielles, logicielles ou humaines. Les activités peuvent être de nature
variée, allant de simples tâches quotidiennes à des projets complexes nécessitant
une coordination et une collaboration étendue.
3. Opération
Une opération peut être définie comme un type spécifique d'activité caractérisée par
sa nature souvent bien définie et répétitive. Elle implique généralement l'utilisation
d'outils et de technologies spécifiques pour réaliser des tâches particulières de
manière efficace et efficiente.
4. Virtualisation
En termes simples, la virtualisation permet d'exécuter plusieurs systèmes
d'exploitation sur un seul ensemble matériel, en créant des machines virtuelles
(VM) qui fonctionnent comme des ordinateurs autonomes, chacun exécutant son
propre système d'exploitation et ses propres applications. Cela permet une
utilisation plus efficace des ressources matérielles et une meilleure isolation des
environnements logiciels.
5. Contrôle
Le rôle d’un contrôle est de s’assurer du respect d’une règle connue, établie et
précise, avant la réalisation ou non d’une action subséquente.

I.9. Définitions, concepts et bases du développement sécurisé d’application

1. Besoins fonctionnels
Un besoin fonctionnel en génie logiciel est une exigence essentielle pour le bon
fonctionnement d'un logiciel. Il représente une fonctionnalité ou un service
spécifique que le logiciel doit fournir pour répondre aux besoins de l'utilisateur ou
du système. Ces besoins fonctionnels décrivent ce que le logiciel doit faire et sont
généralement définis en termes d'actions, de tâches ou de comportements attendus
du système. Ils sont considérés comme indispensables car leur absence ou leur
mauvaise implémentation pourrait compromettre la valeur ou l'utilité du logiciel
pour l'utilisateur final.
2. Besoins non fonctionnels
Un besoin non fonctionnel en génie logiciel est une exigence qui spécifie des
critères ou des caractéristiques de performance, de qualité, de sécurité ou d'autres
aspects du système qui ne sont pas directement liés à des fonctionnalités
spécifiques du logiciel. Contrairement aux besoins fonctionnels qui décrivent ce
que le logiciel doit faire, les besoins non fonctionnels définissent les contraintes et
les conditions dans lesquelles le logiciel doit fonctionner.

Bien que les besoins non fonctionnels soient importants pour la qualité globale du
système, leur absence ou leur non-respect n'empêchera pas nécessairement le
fonctionnement de base du logiciel.
3. Logiciel
Un logiciel est un ensemble de programmes informatiques conçus pour réaliser des
tâches spécifiques ou pour fournir des fonctionnalités particulières. Ces
programmes sont écrits dans un langage de programmation spécifique et sont
généralement regroupés et organisés de manière à fonctionner de manière cohérente
pour atteindre un objectif commun.
4. Cycle de vie logiciel
Un cycle de vie logiciel décrit l'ensemble des phases par lesquelles un logiciel
passe depuis sa conception initiale jusqu'à sa mise en production, sa maintenance,
voire sa désuétude. Ce processus est généralement constitué de plusieurs étapes
distinctes, chacune avec ses propres activités, objectifs et livrables.
I.10. Evaluation des acquis
a- Donnez un exemple de cyberattaque qui illustre l’asymétrie dans la
cyberguerre
b- Modéliser un système de gestion de note avec les besoins fonctionnels et non
fonctionnels dans lequel vous décrivez les propriétés de confidentialité,
disponibilité, intégrité et non répudiation
c- Décrivez un cycle de vie logiciel et essayez d’expliquer comment la sécurité
peut y être intégré
d- Citez 5 fonctions de chiffrement
e- Citez 5 fonctions de hachage
f- Différence entre cryptographie et cryptanalyse
g- Donnez un exemple de ransomware célèbre
h- Exemples de logiciels de virtualisation
i- Que faire en cas d’attaque de ransomware ?