Cybersécurité des services informatiques

Identifier les actifs, les menaces et les vulnérabilités d'un système d'information, exprimer ses besoins de sécurité (disponibilité, intégrité, confidentialité, preuve), recenser les conséquences d'une perte de l'un de ces critères, évaluer et hiérarchiser des risques avec une matrice de criticité, proposer un traitement, et situer cette analyse dans la méthode EBIOS Risk Manager, la menace actuelle et le cadre juridique.

Choisir et mettre en œuvre le bon mécanisme cryptographique (chiffrement symétrique ou asymétrique, empreinte, HMAC, signature, certificat) pour protéger un échange ou une donnée, vérifier une connexion TLS et un certificat, et sécuriser les communications d'une organisation (VPN, SSH, segmentation, administration, chiffrement des données stockées) dans le respect des recommandations de l'ANSSI et des obligations légales.

Reconnaître les attaques courantes, appliquer les procédures de mise à jour et de traitement des vulnérabilités, conduire les étapes de la réponse à un incident, organiser la traçabilité et la conservation des preuves, participer à la gestion d'une crise et savoir qui alerter, dans le respect des obligations légales.

Recenser les traitements de données personnelles d'une organisation cliente, tenir les registres du responsable et du sous-traitant, identifier les risques à chaque étape de la vie des données, mettre en œuvre les mesures techniques (minimisation, pseudonymisation, chiffrement, journalisation, purge), outiller les droits des personnes, réagir à une violation et sensibiliser les utilisateurs.

Recenser les éléments de l'identité numérique d'une organisation, sécuriser ses noms de domaine (renouvellement, verrous, DNSSEC) et sa messagerie (SPF, DKIM, DMARC), protéger ses comptes en ligne, détecter et faire cesser un typosquattage ou un hameçonnage visant la marque, et choisir les moyens de preuve électronique adaptés (signature, cachet, horodatage, certificats).

Identifier les menaces qui visent les postes, portables, tablettes et smartphones, mettre en œuvre les défenses adaptées (mises à jour, antivirus et EDR, chiffrement des disques, configuration sûre, supports amovibles, flotte mobile, télétravail et équipements personnels), informer les utilisateurs et conduire une action de sensibilisation, puis vérifier l'efficacité de la protection avec des indicateurs.

Appliquer les principes du contrôle d'accès (besoin d'en connaître, moindre privilège, séparation des tâches), choisir des facteurs d'authentification et une politique de mots de passe conformes aux recommandations de l'ANSSI et de la CNIL, gérer les habilitations de l'arrivée au départ, protéger les comptes à privilèges, présenter l'authentification unique et le contrôle d'accès au réseau, puis vérifier par les journaux et des indicateurs que les protections fonctionnent.