ISET NABEUL

Présentation générale de la SIPHAT

I. Historique :

La Société des Industries Pharmaceutiques de Tunisie SIPHAT a été crée en avril

1989, c’est une société anonyme son capital social est de 9.000.000 DT.
Elle existait auparavant en tant qu’usine de fabrication des médicaments relevant de la
Pharmacie Centrale de Tunis PCT.
La SIPHAT reste le laboratoire leader dans le domaine d’industrie pharmaceutique en
tunisie.
La SIPHAT dispose de 200 gammes de produits sous formes sèches, pâteuses, semi
pâteuses, liquide, buvable et forme stérile.
La SIPHAT est classée la première au niveau des secteurs de l’industrie
pharmaceutique avec un chiffre d’affaires enregistré au cours de l’année 2000 de
57,5 millions de dinars tourne par moitié vers les hôpitaux et par moitié vers les officines.
La SIPHAT a des accords de partenariat avec plusieurs laboratoires étrangers pour la
fabrication des médicaments sous licence des accords joint-Venture avec les laboratoires
Pfizer, Pierre Fabre, Bayer…
C’est une unité destinée à produire des médicaments pour le marché local ainsi que
l’exportation.

II. Fiche Technique de la SIPHAT:

Dénomination : Société des Industries Pharmaceutiques de Tunisie

Secteur : Industrie pharmaceutique
Date de Constitution : 10 Avril 1989
Capital Social : 9 000 000 Dinars Tunisien divisés en 180.000 actions
nominatives de nominale 5 dinars
Siege social : Fondouk Choucha 2013 Ben Arous
Tél : 71.381.222
Fax : 71.382 .768

-1-
ISET NABEUL

P.DG : Mr Maher Kamoun

Responsable de la Communication Financière : Mr Ahmed CHAOUCH
Effectif : 800
Forme Juridique : Société anonyme
Nationalité : Tunisienne
Registre de commerce : Ben Arous B14 74310996
Exercice social : Du 1 Janvier au 31 décembre de chaque année
Régime fiscal : Droit commun
Objet social : Le développement de toute recherche fondamentale ou appliquée
ayant trait aux médicaments et ses applications, l’étude, la mise au point, la
fabrication, la transformation, le dosage, le conditionnement, le contrôle, et la
vente des produits pharmaceutiques
Législation particulière applicable : Le secteur des industries pharmaceutique
est soumis à la loi 88-61 du 02/06/1988 portant promulgation du code des
incitations à l’investissement pour ce qui est de l’importation des biens
d’équipements.

III. Ressources humaines :

L’effectif de la SIPHAT jusqu’à l’année 2005, suivant la catégorie
socioprofessionnelle, est le suivant :

Les ressources humaines représentent un facteur capital de production. La

majorité du personnel est d’un niveau bien qualifié. Le tableau ci-dessus donne la
classification et le pourcentage de chaque classe sur le total des employés

Catégorie Nombre Pourcentage

Cadres 177 24%

Maîtrise 273 37%
Exécution 262 35%
Contractuels 28 4%
Total 740 100%

Ressources humaines de la SIPHAT.

-2-
ISET NABEUL

IV. Sa position par rapport au marché:

La SIPHAT assure le quart de la production nationale et couvre 10% des
besoins du pays en médicaments.

Elle est considérée comme le leader du secteur de l’industrie pharmaceutique

en Tunisie avec une part de marché variant entre 25% et 30%, semi étatique à caractère
industriel et commerciale, elle relève du ministère de la santé publique, au capital
actuel de 9 Million de Dinars. Son chiffre d’affaires s’est élevé à 39 Million de Dinars
en 2007, tournée pour presque moitié vers les officines.

Sa gamme de produits porte sur 270 formes de médicaments dont 139 sont
destinés au secteur hospitalier (84 produits) et 131 au secteur officinal (79 produits).

De se fait elle ce présente comme l’agent économique de l’état chargée de la

fabrication des médicaments.

-3-
 ISET NABEUL

V. Organigramme :

Direction générale

Direction Unité
Direction technique
commission de marché

Direction Direction Direction Direction Direction

commerciale production Financière Audit Interne contrôle qualité

Direction Direction Direction

Ressources Recherche & assurance qualité
humaines développement

Direction
Planification ordonnancement Direction SIG
& lancement

VI.Le rôle des structures de la SIPHAT :

-4-
ISET NABEUL

Direction Planification Ordonnancement et Lancement (P.O.L)

La direction POL est chargée de :

Assurer la gestion des stocks des matières premières, des articles de
conditionnement et d'emballages, et des produits finis.

Définir les besoins en matières premières, des articles de
conditionnement et d'emballages nécessaires à la préparation des
appels d'offres de réapprovisionnement.

Assurer la gestion de la production par l'établissement de
programmes annuels, semestriels, trimestriels, mensuels et
hebdomadaires de la fabrication.

Élaborer des tableaux de bord et des statistiques de production.

Direction de Production (DP)

La direction de production assure la fabrication des médicaments sous

formes sèches (les comprimés nus, les comprimés enrobés, les cachets, les
sachets poudre...) formes liquides (les formes stériles injectables et les
formes buvables) et formes pâteuses (les suppositoires et les pommades).

Direction Contrôle Qualité (DCQ)

Assurer un contrôle systématique de matières premières, produits

finis, produits semi finis et articles de conditionnement et
d'emballage.

Tenir les dossiers d'analyse relatifs à l'examen de tous les
échantillons prélevés.

Donner l'ordre d'acceptation ou de rejet, surveiller et contrôler la
stabilité des produits.

Etre le responsable des enquêtes lors des réclamations concernant la
qualité du produit.

Direction Recherche et Développement (DRD)

Cette direction a pour missions de :

-5-
ISET NABEUL

Étudier et participer au choix des licences des firmes étrangères.

Faire de recherche pour le développement des médicaments.

Établir les dossiers d'autorisation de mise sur le marché.

Assister la production à l'occasion des problèmes se posant au cours
de fabrication

Direction (SIG)

Assurer les fonctions liées à la comptabilité générale, comptabilité

analytique et maintenance des applications et des équipements
informatiques.

Conduire des études liées à l'organisation et à l'évolution du
Système d'information.

Mise en place et exploitation d’une solution intégrée (ERP).

Direction Commerciale (DC)

Cette direction assure :

L’approvisionnement des produits.

La vente de produits finis.

La promotion des produits de la SIPHAT.

La prospection de nouvelles machines.

Direction Financière (DF)

Cette direction a pour missions de :

Gérer toutes les ressources financières de la société en leur

procurant les fond nécessaires à l'exploitation et au financement des
investissements nouveaux et ce dans les conditions les plus
avantageuses et les moins coûteuses.

Effectuer toutes les études financières et élaborer tous les plans
financiers.

-6-
ISET NABEUL

Direction Ressource Humaine (DRH)

Cette direction a pour missions :

La gestion administrative et statutaire des dossiers individuels du

personnel.

La gestion de paie et son ordonnancement.

La gestion sociale du personnel.

La formation du personnel et la gestion de parc roulant.

La sécurité et le gardiennage de l'entreprise.

-7-
ISET NABEUL

Réseau informatique dans la SIPHAT

I. Schéma de câblage :

-8-
ISET NABEUL

II. L’infrastructure réseau :

La SIPHAT possède un réseau local LAN (Local Area Network) qui relie les
cinq bâtiments de la SIPHAT afin de partager les ressources informatiques
(application, données..) entre les divers départements.

Les connexions entres les départements sont centralisées au répartiteurs

généraux qui existent dans la salle informatique du bloc A

Il y a environ 60 postes qui sont connecté au réseau local de la SIPHAT.

Des procédures de sécurités sont mis au point afin de garantir la sauve garde
périodique des données et les accès non autorisés.

Le réseau de la SIPHAT est architecturé suivant une topologie étoile (annexe 1)

pour a

Assurer une continuité de travail en cas de défection de l’un des postes ou

l’interruption de l’un des câbles.

Il est composé d’un répartiteur générale situé dans une armoire réseau dans la
salle informatique du bloc A au qu’elle est liée cinq sous répartiteurs des bloc (B, C,
D, E et F) via cinq connexion fibre optique.

A chaque répartiteur ou sous répartiteur sont branchés les câbles de connexion

vers les prises murale de type RJ45

-9-
ISET NABEUL

III. Hardware :

1. Parc informatique :
Le parc informatique est constitué de

 Micro-ordinateurs : 150 Micro-ordinateurs dont 60 connectés au

réseau local de la SIPHAT exploités sous l’environnement Windows
(Windows 95, Ms Dos, Windows 98, Windows 2000 professionnel et
Windows XP) et répartie par groupe de travail (Informatique, Financier,
POL, Vente, Production, Achat, Comptabilité.)
 Onduleurs : Les postes ordinateurs sont équipés par 18 onduleurs
assurant la sécurité des données
 Imprimantes : de l’ordre de 102 d’imprimantes entre matriciels, jet
d’encre et laser.
 Serveurs : 3 serveurs relier au réseau local de la SIPHAT

o Serveur Novell :
• Host Name : SIPHAT
• Pc : Packard Bell
• S.E : MS/DOS
• Processeur : PII 400Mhz
• RAM : 64 Mo
• HDD : 6.4 Go
• Application installés : application réseau, des programme
dBase tournant sous DOS Gprod, Gcon, Ginv, Gfin, …

o Serveur de fichiers :
• Host Name : serv-fichiers
• P.c : Microlux
• S.E : Windows 2000 serveur
• Processeur : PIV 2.8Ghz
• RAM : 256 Mo
• HDD : 80 Go
• Mémoire vidéo : 64 Mo
• Application installés : des programmes MFG/PRO

- 10 -
ISET NABEUL

o Serveur IBM Pseries 620-6F1

• HostName : SIPHATERP
• P.c : IBM
• S.E : multi-tâches multi-utilisateurs
. UNIX AIX v 5.2
• Processeur : 2 processeurs PIV 2.53Ghz
• RAM : 256 Mo
• HDD : 40 Go
• Mémoire vidéo : 32 Mo
• Application installés : BD ORACLE, ERP, BD
PROGRESS

 Câblage Réseau : Le câble au sein de la SIPHAT est mixte :

o Fibre optique entre les répartiteurs (inter bâtiments)
o Paire torsadée entre les postes d’un même bâtiment

2. Routeur : (annexe 2)

Le routeur Cisco 1721 dispose de performances améliorées, de fonctionnalités

supplémentaires et d’une plus grande capacité mémoire. De plus, le Cisco 1721
supporte le routage VLAN normalisé IEEE 802.1Q qui permet à l’entreprise de créer de
multiples VLAN et d’acheminer le trafic entre eux afin d’améliorer encore la sécurité au
sein de son réseau interne.

Flexibilité : Les routeurs modulaires Cisco 1721 et 1720 s’adaptent facilement

et parfaitement aux besoins des entreprises en pleine croissance. Les cartes d'interface
WAN (cartes WIC) interchangeables permettent d’adapter facilement les évolutions des
technologies de réseau étendu sans qu'il soit nécessaire de recourir à une mise à niveau
lourde de toute la plate-forme. Les emplacements donnés modulaires permettent à
l’utilisateur de configurer ses services sur mesure en fonction de ses besoins.

Sécurité : Les routeurs Cisco 1721 supporte un pare-feu à inspection d’état

Cisco IOS ainsi qu’un système de détection d’intrusions (IDS) qui permet à l’utilisateur
de protéger ses données.

- 11 -
ISET NABEUL

Gestion du trafic : Les routeurs Cisco 1721 s’appuie sur la plate-forme

logicielle Cisco IOS, standard reconnu pour les opérations par le Web. La plate-forme
logicielle Cisco IOS permet de classer le trafic par ordre d’importance en fonction des
utilisateurs ou des applications et garantit l’exécution idéale des applications e-business
d’importance stratégique ou sensibles aux temps de latence.

3. Câbles : (annexe 3)

Câble à paires torsadées blindées :

Le câble à paires torsadées blindées allie les techniques de blindage, d'annulation

et de torsion des fils. Chaque paire de fils est enveloppée dans une feuille métallique et
les deux paires sont enveloppées ensemble dans un revêtement tressé ou un film
métallique. Il s'agit généralement d'un câble de 150 ohms. Comme l'indiquent les
instructions d'installation de réseau Token Ring, les paires torsadées blindées réduisent
le bruit électrique à l'intérieur du câble (couplage paire à paire ou diaphonie), ainsi qu'à
l'extérieur du câble (interférences électromagnétiques et radio). Le câble à paires
torsadées blindées (STP) présente plusieurs avantages et inconvénients communs au
câble à paires torsadées non blindées (UTP). Le câble STP assure une protection plus
efficace contre toutes les interférences externes, mais il est plus onéreux et plus difficile
à installer qu'un câble UTP.

Le câble ScTP (screened twisted pair) ou FTP (foil screened twisted pair) est un
nouveau type de câble UTP hybride. Comme le câble UTP, le câble ScTP est un câble
de 100 ohms. Un grand nombre d'installateurs et de fabricants de câbles utilisent le
terme STP pour désigner les câbles ScTP. Il est important de retenir que le terme STP
désigne en fait un câble à quatre paires torsadées blindées et que le véritable câble STP
est rarement utilisé dans les installations actuelles.

Le matériau de protection métallique des paires torsadées blindées doit être mis
à la terre aux deux extrémités. Si la mise à la terre est incorrecte ou s'il existe des
discontinuités sur la longueur du matériau de protection, les paires torsadées blindées
risquent de provoquer des problèmes de bruit importants, car le film protecteur se

- 12 -
ISET NABEUL

comporte comme une antenne qui attire des signaux indésirables. Toutefois, cet effet
fonctionne dans les deux sens : le film protecteur empêche les ondes électromagnétiques
entrantes de provoquer du bruit sur les fils de données et réduit les ondes
électromagnétiques sortantes susceptibles de produire du bruit dans les autres
équipements. Un câble à paires torsadées blindées ne peut pas être aussi long que les
autres médias réseau tels que le câble coaxial ou à fibre optique, sans que le signal soit
répété. L'isolation et le blindage augmentent considérablement la taille, le poids et le
coût du câble. De plus, les terminaisons sont plus difficiles à réaliser.

4. Fibre optique : (annexe 4)

Entourée d’une gaine, la fibre optique peut être utilisée pour conduire de la
lumière entre deux lieux distants plusieurs centaines, voir milliers, de kilomètres. Le
signal lumineux codé par une variation d’intensité est capable de transmettre une grande
quantité d’informations. En permettant les communications à très longues distances et à
des débits jusqu’alors impossible, les fibres optiques ont constitué l’un des éléments clef
de la révolution des télécommunications optiques.

Chaque câble à fibre optique utilisé dans les réseaux comprend deux fibres de
verre logées dans des enveloppes distinctes. Une fibre transporte les données transmises
depuis l'équipement A vers l'équipement B , et l'autre depuis l'équipement B vers
l'équipement A. Les fibres sont similaires à deux rues en sens unique dont la direction
est opposée. Elles assurent ainsi une liaison de communication full duplex. Les médias
de cuivre à paires torsadées utilisent une paire de fils pour la transmission et une autre
paire pour la réception. Les circuits à fibre optique utilisent un brin de fibre pour la
transmission et un autre pour la réception. En général, ces deux fibres sont enveloppées
ensemble par une gaine externe jusqu'au point auquel elles sont reliées aux connecteurs.

- 13 -
ISET NABEUL

5. SWITCH : (annexe 5)
Un commutateur possède plusieurs ports auxquels sont reliés plusieurs segments
du réseau. Il sélectionne le port auquel est connecté(e) la station de travail ou
l’équipement de destination. Les commutateurs Ethernet représentent des solutions de
connectivité populaires car ils optimisent la vitesse, la bande passante et les
performances du réseau.

La commutation est une technologie qui permet d’atténuer la congestion dans les
LAN Ethernet en réduisant le trafic et en augmentant la bande passante. Les
commutateurs peuvent facilement remplacer les concentrateurs car ils fonctionnent via
les infrastructures de câblage existantes. Ceci permet d’améliorer les performances et ne
nécessite que des modifications minimes du réseau.

IV. Software :
1. Les logiciels de bases et les outils de développement :
La plateforme logicielle de la SIPHAT est assez diversifiée elle dispose
actuellement de vingt sept applications:

• 17 ont été développées par les moyens propres de la SIPHAT

• 10 ont été acquises auprès des sociétés de services.

Certaines de ces applications sont partagées entre les acteurs concernés via
l’infrastructure actuelle réseau, d’autre sont exploitées en mono poste.

Ces applications couvrent principalement le domaine production et contrôle

qualité, le domaine commercial, le domaine financier et comptable ainsi que les
ressources humaines.

 L’environment Windows: Windows 95, Ms/Dos, Windows 98,

Windows 2000 professional et Windows XP.
 dBases
 Novell 3.2
 Outils Microsoft (Windows, MS office, MS-Dos).

- 14 -
ISET NABEUL

 Clipper 5.01
 Visual basic
 Unix
 Progress
 Des utilitaires de sécurité et de sauvegarde
MFG/PRO, Un Progiciel de type ERP assurant la gestion intégrée des différents processus .

2. L’ERP MFG/PRO de la SIPHAT : (annexe 6)

Définition :

(Entreprise Ressource Planning) est Un Progiciel de Gestion Intégrée qui couvre les
principales fonctions de l’entreprise (remplace un grand nombre de logiciel permettant de
suivre les procédures de gestion : circuit d’achat, de vente, stokes,…), il sont tous
regrouper autour d’une base de données unique

Il offre une gamme étendue de gestion intégrée :

 Gestion des ressources humaines
 Gestion des ressources financières.
 Gestion des ventes et de la distribution

Pour être intégré Un ERP doit :
 Émaner d’un seul éditeur
 Garantir l’unicité de l’information
 Mettre à jour les informations en temps réel

L’ERP de la SIPHAT

 Système d’information de la SIPHAT.

L’ ERP MFG/PRO 8.6. Acquis par la SIPHAT est lancé depuis l’ans 2004 et en phase
de paramétrage par la société DISCOVRY (existe depuis 1993, elle est le 1er
Intégrateur ERP certifié ISO9001 (version 2000) et le leader dans l’intégration d’ERP
en Tunisie).

- 15 -
ISET NABEUL

Actuellement, le projet ERP couvre les domaines suivants :

 Production
 Contrôle de qualité
 Commercial
 Comptabilité
 Financier
 Vente
 Achat
 Recouvrement
 Et de puis le mois de juin 2007 la comptabilité analytique est mise en
marche.
Objectifs recherchés :
 Meilleure couverture des fonctions de l’entreprise.

 Meilleure maîtrise des coûts de production.

 Meilleurs contrôle interne des procédures

 Meilleure gestion des produits et dossiers pharmaceutiques.

 Recours à des outils et équipements informatiques évolués.

- 16 -
ISET NABEUL

SECURITE DU RESEAU

I. Sécurité dans la SIPHAT :

• Authentification : Nom d’utilisateur et mot de passe sont donnés a chaque
utilisateur pour sa session afin d’évité l’accès d’autrui.

• Limitation des comptes : les comptes sont limités pour évité toutes modifications
de la configuration des ordinateurs.

• Contrôle : Un control continu sur les ordinateurs grâce à la connexion réseau.

• Anti-virus : utilisation d’un antivirus (Norton) avec mis à jour quotidienne.

II. Exemples des risques :

1. Risques humains :

Les risques humains sont les plus importants, même s'ils sont le plus souvent ignorés ou
minimisés. Ils concernent les utilisateurs mais également les informaticiens eux-mêmes.

• La maladresse : comme en toute activité, les humains commettent des erreurs ; il leur
arrive donc plus ou moins fréquemment d'exécuter un traitement non souhaité,
d'effacer involontairement des données ou des programmes, etc.

• L'inconscience et l'ignorance : de nombreux utilisateurs d'outils informatiques sont

encore inconscients ou ignorants des risques qu'ils encourent aux systèmes qu'ils
utilisent, et introduisent souvent des programmes malveillants sans le savoir. Des
manipulations inconsidérées (autant avec des logiciels que physiques) sont aussi
courantes.

• La malveillance : Aujourd'hui, il serait quasiment inconcevable de prétexter

l'ignorance des risques suscités, tant les médias ont pu parler des différents problèmes
de virus et de vers ces dernières années (même s'ils ont tendance, en vulgarisant, à se
tromper sur les causes et les problèmes). Ainsi, certains utilisateurs, pour des raisons
très diverses, peuvent volontairement mettre en péril le système d'information, en y

- 17 -
ISET NABEUL

introduisant en connaissance de cause des virus (en connectant par exemple un

ordinateur portable sur un réseau d'entreprise), ou en introduisant volontairement de
mauvaises informations dans une base de données. De même il est relativement aisé
pour un informaticien d'ajouter délibérément des fonctions cachées lui permettant,
directement ou avec l'aide de complices, de détourner à son profit de l'information ou
de l'argent.

• L'ingénierie sociale : l'ingénierie sociale (social engineering en anglais) est une

méthode pour obtenir d'une personne des informations confidentielles, que l'on n'est
pas normalement autorisé à obtenir, en vue de les exploiter à d'autres fins
(publicitaires par exemple). Elle consiste à se faire passer pour quelqu’un que l’on est
pas (en général un administrateur) et de demander des informations personnelles (nom
de connexion, mot de passe, données confidentielles, etc.) en inventant un quelconque
prétexte (problème dans le réseau, modification de celui-ci, heure tardive, etc.). Elle
peut se faire soit au moyen d’une simple communication téléphonique, soit par mail,
soit en se déplaçant directement sur place.

• L'espionnage : l'espionnage, notamment industriel, emploie les même moyens, ainsi

que bien d'autres (influence), pour obtenir des informations sur des activités
concurrentes, procédés de fabrication, projets en cours, futurs produits, politique de
prix, clients et prospects, etc.

Dans les approches de type ingénierie des connaissances, le capital humain est considéré
comme l'une des trois composantes du capital immatériel de l'entreprise.

2. Risques techniques :

Les risques techniques sont tout simplement ceux liés aux défauts et pannes inévitables que
connaissent tous les systèmes matériels et logiciels. Ces incidents sont évidemment plus ou
moins fréquents selon le soin apporté lors de la fabrication et des tests effectués avant que les
ordinateurs et les programmes ne soient mis en service. Cependant les pannes ont parfois des
causes indirectes, voire très indirectes, donc difficiles à prévoir.

- 18 -
ISET NABEUL

• Incidents liés au matériel : si on peut le plus souvent négliger la probabilité d'une

erreur d'exécution par un processeur (il y eut néanmoins une exception célèbre avec
l'une des toutes premières générations du processeur Pentium d'Intel qui pouvait
produire, dans certaines circonstances, des erreurs de calcul), la plupart des
composants électroniques, produits en grandes séries, peuvent comporter des défauts
et bien entendu finissent un jour ou l'autre par tomber en panne. Certaines de ces
pannes sont assez difficiles à déceler car intermittentes ou rares.

• Incidents liés au logiciel : ils sont de très loin les plus fréquents ; la complexité
croissante des systèmes d'exploitation et des programmes nécessite l'effort conjoint de
dizaines, de centaines, voire de milliers de programmeurs. Individuellement ou
collectivement, ils font inévitablement des erreurs que les meilleures méthodes de
travail et les meilleurs outils de contrôle ou de test ne peuvent pas éliminer en totalité.

• Incidents liés à l'environnement : les machines électroniques et les réseaux de

communication sont sensibles aux variations de température ou d'humidité (tout
particulièrement en cas d'incendie ou d'inondation) ainsi qu'aux champs électriques et
magnétiques. Il n'est pas rare que des ordinateurs connaissent des pannes définitives
ou intermittentes à cause de conditions climatiques inhabituelles ou par l'influence
d'installations électriques notamment industrielles (et parfois celle des ordinateurs
eux-mêmes !).

Pour s'en prémunir, on recourt généralement à des moyens simples bien que parfois onéreux :

• Redondance des matériels : la probabilité ou la fréquence de pannes d'un équipement

est représentée par un nombre très faible (compris entre 0 et 1, exprimé sous la forme
10-n). En doublant ou en triplant (ou plus) un équipement, on divise le risque total par
la probabilité de pannes simultanées. Le résultat est donc un nombre beaucoup plus
faible ; autrement dit l'ensemble est beaucoup plus fiable (ce qui le plus souvent
reporte le risque principal ailleurs).
• Dispersion des sites : Un accident (incendie, tempête, tremblement de terre, attentat,
etc.) a très peu de chance de se produire simultanément en plusieurs endroits distants.
• Programmes ou procédures de contrôle indépendants : ils permettent bien souvent
de déceler les anomalies avant qu'elles ne produisent des effets dévastateurs.

- 19 -
ISET NABEUL

3. Risques juridiques :

L'ouverture des applications informatiques par le web et la multiplication des messages

électroniques augmentent les risques juridiques liés à l'usage des technologies de
l'information. On peut citer notamment :

• le non respect de la législation relative à la signature numérique,

• les risques concernant la protection du patrimoine informationnel,
• le non respect de la législation relation à la vie privée,
• le non respect des dispositions légales relatives au droit de la preuve, dont les
conditions d'application en droit civil sont différentes de celles de la Common law, et
une mauvaise gestion des documents d'archive.

4. Programmes malveillants :

Un logiciel malveillant (malware en anglais) est un logiciel développé dans le but de nuire à
un système informatique. Voici les principaux types de programmes malveillants :

• Le virus : programme se dupliquant sur d'autres ordinateurs ;

• Le ver (worm en anglais) : exploite les ressources d'un ordinateur afin d'assurer sa
reproduction ;
• Le wabbit : programme qui se réplique par lui-même (mais qui n'est ni un virus, ni un
ver) ;
• Le cheval de Troie (trojan en anglais) : programme à apparence légitime (voulue) qui
exécute des routines nuisibles sans l'autorisation de l'utilisateur ;
• La porte dérobée (backdoor en anglais) : ouvreur d'un accès frauduleux sur un
système informatique, à distance ;
• Le logiciel espion (spyware en anglais) : collecteur d'informations personnelles sur
l'ordinateur d'un utilisateur sans son autorisation, et en envoyant celles-ci à un
organisme tiers ;
• L'enregistreur de frappe (keylogger en anglais) : programme généralement invisible
installé sur le poste d'un utilisateur et chargé d'enregistrer à son insu ses frappes
clavier ;
• L'exploit : programme permettant d'exploiter une faille de sécurité d'un logiciel ;

- 20 -
ISET NABEUL

• Le rootkit : ensemble de logiciels permettant généralement d'obtenir les droits

d'administrateur sur une machine, d'installer une porte dérobée, de truquer les
informations susceptibles de révéler la compromission, et d'effacer les traces laissées
par l'opération dans les journaux système.

5. Techniques d'attaque par messagerie :

En dehors des nombreux programmes malveillants qui se propagent par la messagerie

électronique, il existe des attaques spécifiques à celle-ci :

• Le pourriel (spam en anglais) : un courrier électronique non sollicité, la plupart du

temps de la publicité. Ils encombrent le réseau, et font perdre du temps à leurs
destinataires

• L'hameçonnage (phishing en anglais) : un courrier électronique dont l'expéditeur se

fait généralement passer pour un organisme financier et demandant au destinataire de
fournir des informations confidentielles

• Le canular informatique (hoax en anglais) : un courrier électronique incitant

généralement le destinataire à retransmettre le message à ses contacts sous divers
prétextes. Ils encombrent le réseau, et font perdre du temps à leurs destinataires. Dans
certains cas, ils incitent l'utilisateur à effectuer des manipulations dangereuses sur son
poste (suppression d'un fichier prétendument lié à un virus par exemple).

6. Attaques sur le réseau :

Voici les principales techniques d'attaques sur le réseau :

• Le sniffing : technique permettant de récupérer toutes les informations transitant sur

un réseau (on utilise pour cela un logiciel sniffer).Elle est généralement utilisée pour
récupérer les mots de passe des applications qui ne chiffrent pas leurs
communications, et pour identifier les machines qui communiquent sur le réseau.

- 21 -
ISET NABEUL

• La mystification (en anglais spoofing) : technique consistant à prendre l'identité d'une

autre personne ou d'une autre machine. Elle est généralement utilisée pour récupérer
des informations sensibles, que l'on ne pourrait pas avoir autrement.

• Le déni de service (en anglais denial of service) : technique visant à générer des arrêts
de service, et ainsi d’empêcher le bon fonctionnement d’un système.

Et d'autres techniques plus subtiles :

• Hijacking
• Attaque de l'homme du milieu (MITM)
• Fragments attacks
• Tiny Fragments
• Fragment Overlapping
• TCP Session Hijacking

7. Attaques sur les mots de passe :

Les attaques sur les mots de passe peuvent consister à faire de nombreux essais jusqu’à
trouver le bon mot de passe.

Dans ce cadre, notons les deux méthodes suivantes:

• L'attaque par dictionnaire : le mot testé est pris dans une liste prédéfinie contenant
les mots de passe les plus courants et aussi des variantes de ceux-ci (à l’envers, avec
un chiffre à la fin, etc.). Ces listes sont généralement dans toutes les langues les plus
utilisées, contiennent des mots existants, ou des diminutifs (comme par exemple
“powa” pour “power”, ou “G0d” pour “god”).

• L'attaque par force brute : toutes les possibilités sont faites dans l’ordre jusqu’à
trouver la bonne solution (par exemple de “aaaaaa” jusqu'à “ZZZZZZ” pour un mot de
passe composé strictement de six caractères alphabétiques).

- 22 -
ISET NABEUL

8. Techniques d'intrusion système :

• Connexion à une ressource partagée

• Attaque par force brute
• Attaque par débordement de tampon
• Accès à un interpréteur de commandes interactif
• Élévation des privilèges
• Installation d'un rootkit
• Effacement des traces

9. Autres types d'attaques :

On peut noter qu'il existe d'autres types d'attaques, souvent moins connues car nécessitant des
compétences très pointues :

• Le cassage de logiciel (Cracking en version anglaise) : cette technique a pour but la

modification d'un programme pour déjouer sa protection (en général pour permettre
une utilisation complète, ou à durée illimitée).
• La cryptanalyse
• La rétro-ingénierie
• Stacks Overflows et Heap Overflows (dépassement de tampon), écriture de shellcode
• Exploitation des « format bugs »
• Snarfing
• Détournement et utilisation de données WEB : Cookie, CSS, CGI, vulnérabilités
concernant les langages PHP, ASP, SQL, etc.

Et il en existe d'autres ne nécessitant aucune compétence ou presque :

• Messenger Spam : envoie de pourriels directement sur l'adresse IP et ouverture d'une

fenêtre intruse (pop-up en version anglaise) ; cette attaque est gênante mais
généralement peu nuisible.

- 23 -
ISET NABEUL

10.Technique d'évasion :

Ces techniques permettent , par différentes méthodes, de cacher au système de détection

(généralement un IDS) les informations nécessaires à la détection d'une attaque (poisonning,
spoofing, modifications des règles de l'IDS).

III. Solutions proposées :

1. Firewall :

Un firewall, aussi appelé pare-feu ou garde-barrière, est un Programme, ou un

matériel, chargé de vous protéger du monde extérieur et de certains programmes
malveillants placés à votre insu sur votre ordinateur.

Placé entre vous et Internet, le firewall contrôle tout ce qui passe, et surtout
tout ce qui ne doit pas passer de l'un vers l'autre.

Comment ça marche ?

Décrire le fonctionnement précis d'un firewall à quelqu'un qui n'a aucune

connaissance du fonctionnement d'un réseau est une utopie. Cependant, il est
parfaitement possible de le faire dans les grandes lignes.

Lorsque vous êtes connecté à Internet, votre ordinateur fait deux choses bien
distinctes. D'une part, il envoie des données en direction du vaste monde, pour
demander à consulter une page Web par exemple. D'autre part, il reçoit des données en
provenance de ce vaste monde, par exemple la page Web que vous avez demandée.

Les firewalls les plus simples se contenteront d'autoriser ou d'interdire l'accès

au vaste monde à un programme. Cela veut dire que seuls ceux que vous aurez
spécifiquement autorisés auront le droit d'envoyer et/ou de recevoir des données.

Les firewalls plus évolués rajouteront un contrôle au niveau du port, c'est-à-

dire une autorisation ou une interdiction liée à un type particulier de données. Ainsi,
votre navigateur Internet aura le droit d'accéder au Web, mais pourra ne pas être
autorisé à faire du FTP, même si cette fonction est partiellement présente pour le
téléchargement de fichier.

- 24 -
ISET NABEUL

Pour finir, les firewalls les plus évolués traiteront toutes les données au cas par
cas.

Quelle est la différence entre un firewall logiciel et firewall matériel ?

Dans la pratique, le firewall matériel étant supposé s'exécuter sur un

système d'exploitation réputé pour sa sécurité, et disposer d'un firewall parfaitement
configuré, il est donc potentiellement plus efficace. En contrepartie, il offre
généralement moins de souplesse, ce qui complique les choses dès qu'il s'agit de lui
faire prendre en compte un cas particulier propre à votre société.

Par conséquent, sauf à disposer d'une architecture réseau des plus basiques,
un responsable informatique compétent en matière de sécurité reste préférable. D'autant
plus qu'il saura tirer parti d'un système d'exploitation libre, OpenBSD par exemple, et
d'un ordinateur inutilisé, pour vous installer, à moindre frais, un firewall efficace et
parfaitement adapté à vos besoins.

Enfin, si vous ne disposez ni d'un responsable informatique, ni des moyens

financiers suffisants pour vous équiper d'un firewallmatériel, il vous reste quand même
une solution. Celle-ci consiste à former l'un de vos employés à la sécurité informatique.
Mais, attention, on ne s'improvise pas administrateur réseau et, à moins d'une vocation
naissante, cette solution ne peut qu'être transitoire, et précédée d'une étude complète du
sujet.

2. Vpn :
Un réseau Vpn repose sur un protocole appelé "protocole de tunneling". Ce
protocole permet de faire circuler les informations de l'entreprise de façon cryptée d'un
bout à l'autre du tunnel. Ainsi, les utilisateurs ont l'impression de se connecter
directement sur le réseau de leur entreprise.

Le principe de tunneling consiste à construire un chemin virtuel après avoir identifié

l'émetteur et le destinataire. Par la suite, la source chiffre les données et les achemine en
empruntant Ce chemin virtuel. Afin d'assurer un accès aisé et peu coûteux aux intranets
ou aux extranets d'entreprise, les réseaux privés virtuels d'accès simulent un réseau

- 25 -
ISET NABEUL

privé, alors qu'ils utilisent en réalité une infrastructure d'accès partagée, comme Internet.

Les données à transmettre peuvent être prises en charge par un protocole différent d'Ip.
Dans Ce cas, le protocole de tunneling encapsule les données en ajoutant une en-tête. Le
tunneling est l'ensemble des processus d'encapsulation, de transmission et de
désencapsulation.

Fonctionnalités des Vpn d'accès : (annexe 7)

Le Vpn d'accès est utilisé pour permettre à des utilisateurs itinérants d'accéder au
réseau privé. L'utilisateur se sert d'une connexion Internet pour établir la connexion
Vpn. Il existe deux cas:

L'utilisateur demande au fournisseur d'accès de lui établir une connexion

cryptée vers le serveur distant : il communique avec le Nas (Network Access Server) du
fournisseur d'accès et c'est le Nas qui établit la connexion cryptée.

L'utilisateur possède son propre logiciel client pour le Vpn auquel cas il établit
directement la communication de manière cryptée vers le réseau de l'entreprise.

Les deux méthodes possèdent chacune leurs avantages et leurs inconvénients :

La première permet à l'utilisateur de communiquer sur plusieurs réseaux en

créant plusieurs tunnels, mais nécessite un fournisseur d'accès proposant un Nas
compatible avec la solution Vpn choisie par l'entreprise. De plus, la demande de
connexion par le Nas n'est pas cryptée Ce qui peut poser des problèmes de sécurité.

Sur la deuxième méthode Ce problème disparaît puisque l'intégralité des

informations sera cryptée dès l'établissement de la connexion. Par contre, cette solution
nécessite que chaque client transporte avec lui le logiciel, lui permettant d'établir une
communication cryptée. Nous verrons que pour pallier Ce problème certaines
entreprises mettent en place des Vpn à base de Ssl, technologie implémentée dans la
majorité des navigateurs Internet du marché.

Quelle que soit la méthode de connexion choisie, Ce type d'utilisation montre

bien l'importance dans le Vpn d'avoir une authentification forte des utilisateurs. Cette
authentification peut se faire par une vérification "login / mot de passe", par un

- 26 -
ISET NABEUL

algorithme dit "Tokens sécurisés" (utilisation de mots de passe aléatoires) ou par

certificats numériques.

- 27 -