Introduction et concepts de base

Question 1

Quels sont les domaines principaux de la sécurité informatique?

Answer 1

• la gestion de la sécurité
• la securité des systèmes
• la technologie
• la verification et le contrôle,

Question 2

Définir la gestion de la securité informatique

Answer 2

il s’agit de la gouvernance de la sécurité informatique, c’est l’ensembles des procedures administratives (cadre de gestion en general, cad politique, reglementations, directives de la securité ) et les processus qui permettent de mettre en oeuvre et de valider la securité dans une organisation

Question 3

Quel sont les composantes de la gestion de la securité informatique?

Answer 3

• L’ensemble des processus administratifs
• Définition des rôles et des responsabilités
• Cadre de gestions de la sécurité
• Embauche, consultation (documents de references)
• Impartition
• Conformité légale

Question 4

Quelles connaissances avoir pour la Gestion de la securité informatique?

Answer 4

Normes ISO 27000
pas besoin d’etre pointu sur la technologie pratique
mais avoir une bonne experience dans:
- Analyse de risque
- Politiques, procédures, processus de sécurité
- Plan de continuité
- Gestion d’identité

Question 5

Définir la technologie en securité informatique

Answer 5

Ensemble des outils technologiques et les
processus qui en permettent de mettre en place des mesures de sécurité l’acquisition, la
configuration, l’utilisation, la gestion et la
maintenance

Question 6

Exemple d’outils materiels qui permettent de mettre la technologie en oeuvre

Answer 6

Pare-feu, système de détection d’intrusion, copie de sauvegarde, antivirus,RAID, anti-espiogiciels,
répertoires LDAP, serrures magnétiques

Question 7

Quel est le lien entre technologie et gestion de la securité?

Answer 7

La technologie permet de mettre en place les regles definis dans la gestion de la securité

Question 8

Quelques certifications en technologie de la securité informatique

Answer 8

ITIL, SANS, Microsoft, Novell, RSA, Critères

Communs, .

Question 9

Définir un système

Answer 9

L’ensemble des processus et des outils
technologiques qui permettent l’identification des
besoins, le développement et l’évolution des
systèmes

Question 10

Exemple de systemes dans une organisation

Answer 10

Système de commerce électronique
Système de comptabilité
Système de communication
etc.

Question 11

Quelques normes pour definir la securité des systèmes

Answer 11

• ISO/IEC 27034
• OWASP
• SSE-CMM (à l’intérieur du CMMi)

Question 12

Que doit maitriser un specialiste en securité applicative?

Answer 12

• Cycle de vie d’un système
• Méthodologie de développement sécuritaire
• Norme de développement sécuritaire
• Modèle de conception sécuritaire, etc.

Question 13

Definir la Vérification et contrôle

Answer 13

L’ensemble des processus de vérification et de
contrôle s’appliquant aux trois autres domaines
d’intervention de la sécurité informationnelle

Question 14

Quelques normes de Vérification et contrôle

Answer 14

norme Cobit

Certification Cisa

Question 15

Que comporte la verification et le controle ?

Answer 15

une bonne connaissance de la gourvernance , connaittre:

• Processus et mesures d’audit, de vérification et de
• certification
• Comités de vérification, etc.

Question 16

Définir la sécurité informationnelle

Answer 16

C’est la protection des ressources informationnelles
d’une organisation, face à des risques identifiés,
qui résulte d’un ensemble de mesures de
sécurité prises pour assurer la confidentialité,
l’intégrité et la disponibilité de l’information
traitée.

Question 17

Exemple de ressources informationnelles

Answer 17

• ressources humaines,
  matérielles, financières et technologiques( dans
  la mesure où elles apportent des éléments
  d’information. Par exemple, un fichier, un
  système informatique ou une personne peuvent
  être considérés comme des ressources.)

Question 18

Définir actif informationnel

Answer 18

Inventaire présentant, à un moment déterminé,
le portrait de l’ensemble des ressources
informationnelles d’une entreprise ou d’une
organisation, à l’exception des ressources
humaines.

Question 19

Les différents contextes qui compte en securité informatique

Answer 19

• Contexte juridique( exple respect de la vie privée, code de la route, etc)
• contexte d’affaire (lié au metier de l’entreprise)
• contexte technologique (lié a l’ectif informationnel exple ordinateur sur windows uniquement dans l’organisation)

Question 20

Quels sont les pilliers de la mise en place de la securité informatiques par ordre de priorité?

Answer 20

• les personnes
• les processus
• la technologie

Question 21

Pourquoi les personnes sont importantes dans la mise en place de la securité ?

Answer 21

o Appliquent les mesures de sécurité
o Peuvent contourner la sécurité
o Doivent être sensibilisées à leurs responsabilités
et au pourquoi de la sécurité

Question 22

Pourquoi les processus sont importantes dans la mise en place de la securité ?

Answer 22

 La sécurité est un ensemble de processus et
non un produit
 les politiques doivent etre solides et régulièrement révisées
 Une mauvaise solution de sécurité est presque
aussi mauvaise que pas de sécurité du tout
 Les attaques ne seront pas nécessairement
technologiques
 La construction d’une infrastructure de sécurité
exige une analyse et une planification, le
développement de politiques, de procédures et
un peu de technologie
 Les coûts de la sécurité doivent être inférieurs
à la valeur de ce qu’on veut protéger
 Il faut introduire des préoccupations de
sécurité dans les méthodologies de
développement

Question 23

Pourquoi la technologie est importante dans la mise en place de la securité ?

Answer 23

Offre un ensemble d’outils pouvant être mis en
place, pour compléter, vérifier ou automatiser
certaines mesures de sécurité exigées par la
politique de sécurité.

Question 24

Quels sont les criteres de securité informatique

Answer 24

• la confidentialité
• l’integrité
• la disponibilité

Question 25

Définir la confidentialité

Answer 25

La confidentialité est « cette propriété d’une information de ne pas être accessible ou divulguée à des personnes, des entités ou des processus non autorisés.

Question 26

Définir l'intégrité

Answer 26

Propriété d'exactitude et de complétude L'intégrité des données implique quatre éléments : l'intégralité, la précision, l'exactitude/authenticité et la validité.

Question 27

Définir la disponibilité

Answer 27

Propriété d’un système informatique capable d’assurer ses fonctions sans interruption, délai ou dégradation, au moment même où la sollicitation en est faite.

Question 28

Définir la tracabilité

Answer 28

Capacité d’un système à attribuer un événement à l’entité qui en est responsable et à en permettre l’analyse ultérieure.

Question 29

Quels sont les grands principes de sécurité

Answer 29

* Définir clairement les responsabilités * Sensibiliser aux enjeux de sécurité * Proportionnalité des mesures de sécurité * Coordination et intégration * Réévaluer périodiquement

Question 30

Comment définir clairement les responsabilités ?

Answer 30

• Sans responsabilité, personne n’est concerné • La première responsabilité revient à la haute direction • Établir une politique de sécurité • Nommer des responsable pour leur application • Tous les employés doivent connaître les politiques qui les concernent • Faire signer l’acceptation

Question 31

Comment sensibiliser aux enjeux de sécurité?

Answer 31

Tout le monde doit comprendre et adhérer aux mesures de securité mis en place,

Question 32

Comment faire de la proportionnalité des mesures de sécurité?

Answer 32

* quantifier la valeur des ressources à protéger * Coût des mesures * Argent (matériel, logiciel, salaires, etc.) * Perte de productivité * Toujours en fonction du risque

Question 33

Comment faire de la Coordination et intégration?

Answer 33

• Les mesures de sécurité ne doivent pas être mise en place de façon indépendante (elles doivent s'Appuyer sur la politique interne et le cadre juridique de l'organisation) • Besoin de cohérence • Mesures en fonction des risques • Intégrer les politiques, les procédures et les mesures de sécurité

Question 34

Comment reevaluer periodiquement la securité?

Answer 34

• La sécurité est un processus • Le contexte change • Objectifs de l’organisation (peuvent evoluer, varier) • Technologie (elle evolue) • Lois et règlements (elles changent ) Il recommandé de le faire annuellement

Question 35

Définir la sécurité appliquée

Answer 35

La sécurité appliquée est la mise en place operationnelle de la securité au sein de l'organisation

Question 36

principes de sécurité appliquée

Answer 36

* Sécuriser le maillon faible (proteger les ressources les plus vulnérables en premier) * Compartimenter (separer au maximum pour faire la defense en profondeur) * Défense en profondeur (pouvoir isoler au maximum au ressources critiques) * Principe du moindre privilège(donner strictement les privileges necessaires) * KISS: Keep it simple…(garder les choses simples ) * Utiliser un modèle de sécurité « positif »(tout ce qui n'Est pas explicitement permis est empeché) * Éviter la sécurité par l’obscurité * Minimiser les éléments auxquels on doit faire confiance

Question 37

Quels sont les types d'attaques?

Answer 37

 Le déni de service (DoS)  Intrusions  Vols d’information  la Ranson

Question 38

Définir le déni de service

Answer 38

Il s'agit de saturer ou d'empecher l'acces a un service donné (exple: le Morris Worm)

Question 39

Quels sont les types d'attaquants?

Answer 39

``` Hacker Cracker Script Kiddie Usurpateur Interne Espion ```

Question 40

Définir Cracker

Answer 40

c'est un criminel informatique qui exploite les failles dans une procédure d'accès pour casser un système informatique, qui viole l'intégrité de ce système en dérobant, altérant ou détruisant de l'information, ou qui copie frauduleusement des logiciels

Question 41

Définir Un Script Kiddie

Answer 41

Un attaquant qui utilise des outils développés | par d’autres

Question 42

Définir Un usrsupateur

Answer 42

Il se fait passer pour une personne, a de bonnes connaissances de l'environnement de l'entreprise pour exploiter les failles humaines de celle-ci

Question 43

Définir un interne

Answer 43

employé ou contractuel qui abuse de son autorité ou de la confiance qu'on lui porte

Question 44

Définir un espion

Answer 44

C'est un attatquant qui travaille pour le compte de quelqu'un d'autre