1. Le vocabulaire du risque
Avant de protéger un système d’information, il faut savoir ce qu’on protège, contre quoi et pourquoi. Cinq mots suffisent à décrire n’importe quel risque cyber : actif, menace, vulnérabilité, impact et risque. Ce chapitre ouvre le bloc 3 : tous les chapitres suivants s’appuient sur ce vocabulaire.
AUne demande de Kervanet
Mardi 13 octobre 2026. Gwenaëlle Le Bihan, directrice administrative et financière de Kervanet Hôtels & Résidences, écrit à Vellacor Services Numériques, son prestataire informatique. L’assureur de Kervanet lui a posé des questions sur la cybersécurité avant de renouveler le contrat d’assurance, et le comité de direction vote le budget 2027 le 15 novembre. Elle demande « la liste des dix risques informatiques les plus graves pour Kervanet, avec ce qu’ils coûteraient et ce qu’on propose de faire ».
Julien Maréchal, responsable infrastructure de Vellacor, et Anaïs Lecoq, responsable du pôle développement, se partagent le travail. Lucas Ferrandi, alternant SISR, étudie l’infrastructure : serveurs du siège, réseau des sept sites, Wi-Fi des clients. Sarah Cherif, alternante SLAM, étudie les applications : KerMaint, l’API de réservation KerResa et l’application « Kervanet & Moi ».
Leur mission est une analyse de risques. Pour la mener, ils doivent d’abord parler la même langue.
En BTS SIO, tu participes à la mise en œuvre de la politique de sécurité définie par le prestataire ou l’organisation : tu recenses, tu évalues, tu proposes et tu documentes. Les décisions (accepter un risque, engager une dépense) appartiennent à la direction de l’organisation cliente.
BCe qu’on protège et contre quoi
Actif
Un actif (ou bien) est tout ce qui a de la valeur pour l’organisation et qu’il faut protéger. On distingue :
- les actifs essentiels (ou valeurs métier) : les informations et les activités dont l’organisation a besoin pour fonctionner (les réservations, le fichier des clients, le suivi des interventions) ;
- les actifs supports (ou biens supports) : les éléments techniques, humains et organisationnels qui portent ces informations et ces activités (serveurs, réseau, applications, comptes, locaux, prestataires, salariés).
La distinction est utile, car l’attaquant vise en général un actif essentiel (les données des clients, la capacité à prendre des réservations), mais il l’atteint par un actif support (un poste mal protégé, un compte au mot de passe faible).
Menace
Une menace est une cause possible d’incident qui peut nuire à un actif : une action malveillante (hameçonnage, rançongiciel), un accident (panne, incendie) ou une erreur. La menace vient d’une source de menace (ou source de risque) : un attaquant, un salarié, la nature, un fournisseur.
Vulnérabilité
Une vulnérabilité est une faiblesse d’un actif support qu’une menace peut exploiter : un logiciel non mis à jour, un mot de passe réutilisé, un port ouvert inutilement, une salle serveur sans détection d’incendie, un utilisateur non sensibilisé.
Une menace sans vulnérabilité ne produit rien : un courriel d’hameçonnage échoue si le destinataire le reconnaît et si son compte est protégé par une double authentification. À l’inverse, une vulnérabilité que personne ne peut atteindre fait peu courir de risque : une faille dans un serveur isolé, sans connexion au réseau, est difficile à exploiter.
CImpact et risque
Impact et risque
- L’impact (ou conséquence) est le dommage subi par l’organisation quand la menace se réalise : arrêt d’activité, perte d’argent, sanction, atteinte à l’image.
- Le risque est la possibilité qu’une menace exploite une vulnérabilité d’un actif et cause un impact. On le mesure en combinant la gravité de l’impact et la vraisemblance (la probabilité) que le scénario se produise.
Un risque s’écrit donc comme une petite phrase : « une source utilise une menace qui exploite une vulnérabilité de tel actif, ce qui provoque tel impact ». Cette phrase évite les formules vagues comme « risque informatique » ou « risque de piratage », qui ne permettent ni d’évaluer ni de traiter.
Lucas écrit son premier risque
Formule vague : « risque de virus sur les serveurs ».
Formule précise : « Un groupe cybercriminel envoie
un courriel piégé (menace : rançongiciel) à un salarié
du siège ; la pièce jointe s’exécute sur un poste dont l’utilisateur a
des droits trop larges sur le serveur de fichiers
KV-FIC (vulnérabilité) ; les fichiers des
partages sont chiffrés (actif support : KV-FIC ;
actif essentiel : documents de gestion des hôtels) ; le siège
travaille sans ses fichiers pendant au moins une journée
(impact). »
La seconde formule montre où agir : sensibiliser, réduire les droits, tester la restauration.
DSécurité et sûreté
Le référentiel demande de distinguer sécurité et sûreté, deux mots que la langue courante confond.
Sécurité et sûreté
- La sécurité (en anglais security) protège le système d’information contre les actes malveillants, c’est-à-dire intentionnels : intrusion, vol, sabotage, fraude.
- La sûreté (en anglais safety, et en informatique « sûreté de fonctionnement ») protège contre les événements non intentionnels : pannes, erreurs humaines, défauts logiciels, accidents, catastrophes naturelles.
Les deux périmètres se recouvrent en partie : une sauvegarde protège aussi bien d’un disque qui lâche (sûreté) que d’un rançongiciel (sécurité) ; une redondance du lien Internet protège d’une coupure accidentelle comme d’une attaque par saturation. Mais les moyens diffèrent : contre la malveillance, on ajoute des mesures qui supposent un adversaire intelligent, qui cherche la faille et s’adapte (authentification, chiffrement, détection d’intrusion, cloisonnement).
| Événement | Intentionnel ? | Périmètre | Exemple de protection |
|---|---|---|---|
| Fibre de Royan coupée par des travaux de voirie (22/08/2026) | non | sûreté | lien de secours 4G/5G |
Système de fichiers de KV-KERMAINT saturé par un
journal de débogage oublié |
non | sûreté | rotation des journaux, alerte disque |
| Réceptionniste qui supprime un dossier partagé par erreur | non | sûreté | sauvegarde versionnée |
| Rançongiciel déposé par un courriel piégé | oui | sécurité | sensibilisation, filtrage, sauvegarde hors ligne |
| Robot qui teste des milliers de mots de passe sur l’application « Kervanet & Moi » | oui | sécurité | limitation des tentatives, double authentification |
| Ancien salarié qui se connecte avec un compte resté actif | oui | sécurité | revue des comptes au départ (B1-04) |
« C’est une panne, donc ce n’est pas de la cybersécurité. » Une panne relève de la sûreté, mais elle atteint le même critère (la disponibilité) qu’une attaque. L’analyse de risques étudie les deux : une organisation peut perdre ses réservations à cause d’une pelleteuse comme à cause d’un pirate. Le bloc 3 du référentiel insiste sur la malveillance, mais n’oublie pas la sûreté (sauvegarde et continuité : B1-05).
2. Les critères de sécurité
Protéger une information, c’est garantir qu’elle reste accessible, exacte, réservée aux bonnes personnes, et qu’on peut prouver qui en a fait quoi. Ces quatre propriétés, résumées par le sigle DICP, servent à exprimer le besoin de sécurité de chaque actif et à décrire ce qu’un incident lui fait perdre.
ALes quatre critères DICP
Disponibilité
La disponibilité est la propriété d’une information ou d’un service d’être accessible et utilisable au moment où les personnes autorisées en ont besoin, dans les conditions de délai et de performance prévues.
L’API KerResa doit répondre jour et nuit : un client qui réserve à 23 h depuis le site web, une plateforme partenaire qui interroge les disponibilités toutes les minutes. Le contrat entre Vellacor et Kervanet garantit 99,5 % de disponibilité mensuelle pour KerResa et les VPN des sites (calcul et suivi : B1-05). La disponibilité se perd par une panne, une coupure réseau, une saturation, une attaque par déni de service ou un rançongiciel qui chiffre les données.
Intégrité
L’intégrité est la propriété d’une information d’être exacte et complète, de n’avoir été ni modifiée ni détruite de façon non autorisée, que ce soit par accident ou par malveillance.
Une réservation dont la date d’arrivée a été modifiée, un prix changé dans une requête envoyée à l’API, une intervention de KerMaint marquée « clôturée » sans avoir été faite : dans chaque cas, l’information existe encore et reste accessible, mais on ne peut plus lui faire confiance. L’intégrité se contrôle par des sommes de contrôle et des empreintes (B1-05, B3-06), des contraintes dans la base de données, des droits d’écriture limités et la journalisation des modifications.
Confidentialité
La confidentialité est la propriété d’une information de n’être accessible qu’aux personnes, entités ou processus autorisés.
Les 38 000 fiches clients de Kervanet (identité, coordonnées, séjours, préférences) ne doivent être lues que par les salariés qui en ont besoin. Une confidentialité perdue ne se récupère pas : une fois les données copiées par un attaquant, on ne peut plus les « reprendre ». C’est pourquoi la confidentialité repose sur la prévention : contrôle des accès (B3-05), chiffrement (B3-06), cloisonnement.
BLa preuve et la traçabilité
Le référentiel ajoute un quatrième principe : la preuve. On parle aussi de traçabilité.
Preuve (traçabilité)
La preuve est la capacité à établir qui a fait quoi, quand et comment sur un système d’information, de façon fiable et opposable. Elle regroupe :
- l’imputabilité : rattacher chaque action à un auteur identifié (d’où l’interdiction des comptes partagés) ;
- l’authenticité : s’assurer que l’auteur ou l’émetteur est bien celui qu’il prétend être ;
- la non-répudiation : empêcher l’auteur de nier une action qu’il a faite (signature électronique : B3-03) ;
- la traçabilité proprement dite : conserver des journaux horodatés et protégés des événements importants.
Sans preuve, une organisation ne peut ni comprendre un incident, ni
désigner un responsable, ni se défendre devant un client ou un juge.
Exemple : le compte partagé nuit.roy des trois veilleurs de
nuit de Royan, relevé lors de la revue des comptes d’octobre 2026
(B1-04), rend toute action impossible à imputer à une personne. La
collecte et la conservation des preuves numériques après une attaque
sont traitées en B3-07, la valeur juridique de la preuve électronique en
CEJMA-09.
Pour retenir les quatre critères, pose quatre questions sur l’actif : « Est-ce que je peux m’en servir quand j’en ai besoin ? (D) Est-ce que c’est juste ? (I) Est-ce que seuls les bons y ont accès ? (C) Est-ce que je sais qui a fait quoi ? (P) »
CÉvaluer le besoin de sécurité d’un actif
Tous les actifs n’ont pas besoin du même niveau de protection. Le site vitrine de Kervanet peut supporter quelques heures d’arrêt ; KerResa, non. Pour comparer, on note le besoin de sécurité de chaque actif essentiel sur une échelle, critère par critère.
| Niveau | Disponibilité | Intégrité | Confidentialité | Preuve |
|---|---|---|---|---|
| 1 — faible | une interruption de plusieurs jours est supportable | des erreurs sont tolérées | information publique | aucune trace nécessaire |
| 2 — moyen | interruption supportable jusqu’à 1 jour | erreurs tolérées si elles sont détectées et corrigées | information interne | traces utiles, non exigées |
| 3 — fort | interruption supportable jusqu’à 4 h | aucune erreur non détectée | information réservée à un groupe de personnes | traces exigées, conservées |
| 4 — critique | interruption supportable moins de 1 h | intégrité garantie et vérifiable en permanence | information secrète ou très sensible | preuve opposable à un tiers |
Exprimer les besoins DICP d'un actif
- Choisis un actif essentiel (une information ou une activité), pas un serveur : « les réservations », pas « la VM de KerResa ».
- Pour chaque critère, imagine sa perte totale et demande au responsable métier ce qu’elle provoquerait : arrêt, perte d’argent, sanction, atteinte à l’image.
- Traduis la réponse en niveau sur l’échelle de l’organisation, en justifiant par une conséquence concrète.
- Fais valider les niveaux par le métier (ici Gwenaëlle Le Bihan) : c’est lui qui connaît les enjeux.
- Reporte les niveaux sur les actifs supports qui portent l’actif essentiel : la VM, la base, le réseau héritent du besoin le plus élevé des informations qu’ils portent.
| Actif essentiel | D | I | C | P | Justification principale |
|---|---|---|---|---|---|
| Réservations (KerResa) | 4 | 4 | 3 | 3 | chaque heure d’arrêt en saison coûte environ 1 170 € ; une réservation fausse crée un litige avec le client |
| Fichier des clients et de la fidélité | 2 | 3 | 4 | 3 | données personnelles de 38 000 clients : une fuite engage la responsabilité de Kervanet |
| Interventions de maintenance (KerMaint) | 3 | 3 | 2 | 2 | les techniciens travaillent avec, une panne de chauffage non suivie gêne les clients |
| Documents de gestion (serveur de fichiers) | 2 | 3 | 3 | 2 | contrats, plannings, documents RH ; un mode dégradé est possible une journée |
| Site vitrine | 2 | 3 | 1 | 1 | contenu public, mais une page défigurée nuit à l’image |
| Wi-Fi des clients | 2 | 1 | 2 | 3 | service de confort ; les connexions doivent pouvoir être retrouvées en cas d’usage illicite |
Mettre « 4 » partout n’est pas prudent, c’est inutile : si tout est critique, rien n’est prioritaire, et les mesures coûtent trop cher. Un besoin se justifie par une conséquence. Note aussi que les critères sont indépendants : le site vitrine a un besoin de confidentialité faible (tout est public) mais un besoin d’intégrité fort (personne ne doit pouvoir le modifier).
3. Les conséquences d’un incident
Un incident se décrit par ce qu’il fait perdre (un ou plusieurs critères DICP) et par ce qu’il coûte à l’organisation. Recenser ces conséquences, c’est la compétence C3.4-b du référentiel ; les chiffrer permet de comparer les risques entre eux et de justifier une dépense de protection.
ALes types d’impacts
| Type d’impact | Description | Exemple chez Kervanet |
|---|---|---|
| Opérationnel | activité arrêtée, ralentie ou désorganisée | réceptions en mode dégradé, interventions de maintenance non suivies |
| Financier | chiffre d’affaires perdu, coûts de remise en état, d’expertise, de rattrapage | réservations perdues, heures du prestataire, gestes commerciaux |
| Juridique | non-respect d’une obligation légale ou contractuelle, sanction, litige | violation de données personnelles à notifier à la CNIL ; pénalités prévues au contrat de services |
| Image et confiance | perte de confiance des clients, des partenaires, des salariés | avis négatifs, plateforme partenaire qui suspend la connexion à KerResa |
| Humain | stress, surcharge, mise en cause de personnes ; plus rarement atteinte à la sécurité physique | réceptionnistes face à des clients mécontents ; dans un hôpital, soins retardés |
Ces impacts s’enchaînent souvent : une panne de KerResa (opérationnel) fait perdre des réservations (financier), déclenche des pénalités contractuelles (juridique) et des avis négatifs (image). Les risques juridiques et d’image des cyberattaques sont étudiés en CEJMA-10.
BL’effet de la perte de chaque critère
| Critère perdu | Exemple côté infrastructure (SISR) | Exemple côté application (SLAM) | Conséquences typiques |
|---|---|---|---|
| Disponibilité | coupure du VPN d’un site ; serveurs du siège chiffrés par un rançongiciel | API KerResa saturée par une attaque par déni de service | activité arrêtée, ventes perdues, travail refait, pénalités |
| Intégrité | règle du pare-feu modifiée sans autorisation ; sauvegarde corrompue | prix d’une réservation modifié dans une requête ; enregistrements de KerMaint altérés par une injection SQL | décisions prises sur des données fausses, fraude, litiges, restauration nécessaire |
| Confidentialité | écoute du trafic sur un Wi-Fi mal isolé ; disque de sauvegarde non chiffré perdu | fichier des clients exfiltré par une faille de l’API ; jeton d’API publié par erreur dans un dépôt de code | violation de données personnelles, notification, perte de confiance, chantage |
| Preuve | journaux effacés par l’attaquant ; compte d’administration partagé | application sans journal des connexions | incident incompréhensible, responsabilité impossible à établir, défense difficile |
Une même attaque touche souvent plusieurs critères. Un rançongiciel moderne chiffre les données (disponibilité), mais commence souvent par les copier pour menacer de les publier (confidentialité) : c’est la double extorsion. Et l’attaquant efface fréquemment les journaux (preuve). Recenser les conséquences, c’est examiner les quatre critères un par un.
CChiffrer le coût d’un incident
Pour comparer les risques et justifier une mesure, on estime le coût d’un incident. On additionne les coûts directs (pertes et dépenses mesurables) et on décrit les coûts indirects, plus difficiles à chiffrer.
| Poste | Comment l’estimer |
|---|---|
| Perte d’exploitation | chiffre d’affaires perdu par heure × durée d’arrêt |
| Productivité perdue | nombre de personnes gênées × part du travail perdu × coût horaire chargé × durée |
| Remise en état | heures du prestataire ou de l’équipe interne × taux horaire ; matériel à remplacer |
| Expertise et conseil | analyse de l’attaque (forensique), avocat, communication de crise |
| Rattrapage | données à ressaisir, travail refait |
| Gestes envers les clients | remboursements, remises, compensations |
| Sanctions et pénalités | pénalités contractuelles, amendes éventuelles (CEJMA-04, CEJMA-10) |
| Coûts indirects | image, clients perdus, hausse de la prime d’assurance (souvent décrits, rarement chiffrés) |
Un samedi d'août sans KerResa
Données (hypothèses d’exemple) : une attaque par déni de service rend l’API KerResa indisponible 5 h un samedi d’août ; coût d’une heure d’arrêt en haute saison : 2 400 € de réservations en ligne par heure, dont 40 % perdus, et 7 réceptionnistes ralentis à 30 € de l’heure (B1-05), soit 1 170 € par heure ; intervention de crise de Vellacor hors forfait : 12 h à 70 € HT ; geste commercial de 40 € accordé à 25 clients dont la réservation a échoué.
Calcul :
- perte d’exploitation = 5 × 1 170 = 5 850 € ;
- intervention = 12 × 70 = 840 € ;
- gestes commerciaux = 25 × 40 = 1 000 € ;
- coût direct total = 5 850 + 840 + 1 000 = 7 690 €.
Interprétation : la perte d’exploitation représente les trois quarts du coût. Réduire la durée de l’arrêt (détection rapide, protection contre la saturation) est donc le levier principal. Les avis négatifs et la confiance des plateformes partenaires ne sont pas chiffrés, mais s’ajoutent.
DLa perte annuelle estimée
Le coût d’un incident ne suffit pas : un incident très coûteux mais très rare peut peser moins qu’un incident modeste qui revient chaque mois. On calcule alors la perte annuelle estimée.
Perte annuelle estimée
La perte annuelle estimée d’un risque est le coût moyen d’un incident multiplié par le nombre d’incidents attendus par an :
perte annuelle estimée = coût d’un incident × fréquence annuelle.
En anglais : annualized loss expectancy (ALE) = single loss expectancy (SLE) × annualized rate of occurrence (ARO).
Une mesure de sécurité est économiquement justifiée quand la baisse de la perte annuelle qu’elle permet est supérieure à son coût annuel.
La double authentification sur la messagerie
Données (hypothèses d’exemple) : le piratage d’un compte de messagerie de Kervanet coûte en moyenne 3 200 € (blocage, nettoyage, courriels frauduleux envoyés aux clients, temps perdu) ; on en attend 2 par an sans mesure, 0,5 par an (un tous les deux ans) avec la double authentification ; coût annuel de la mesure (configuration, accompagnement des utilisateurs) : 2 400 €.
Calcul : perte annuelle sans mesure = 3 200 × 2 = 6 400 € ; avec la mesure = 3 200 × 0,5 = 1 600 € ; baisse = 4 800 € ; gain net = 4 800 − 2 400 = 2 400 € par an.
Interprétation : la mesure rapporte deux fois ce qu’elle coûte. Les fréquences sont des estimations : on présente le résultat comme un ordre de grandeur, pas comme une certitude.
4. Les menaces et les attaquants
Savoir qui attaque, pourquoi et comment permet de choisir des protections réalistes. Cette partie présente les grandes familles de risques, les profils d’attaquants et les menaces les plus fréquentes ; le fonctionnement détaillé des attaques et la réponse à incident sont traités en B3-07.
ALa typologie des risques
On classe les risques selon leur origine et leur caractère intentionnel.
| Famille | Origine | Exemples | Périmètre |
|---|---|---|---|
| Risques accidentels | pannes matérielles, défauts logiciels, coupures d’énergie ou de réseau | disque qui lâche, mise à jour défectueuse, fibre coupée | sûreté |
| Risques naturels et environnementaux | incendie, inondation, tempête, chaleur | salle serveur inondée, climatisation en panne | sûreté |
| Risques humains non intentionnels | erreur, maladresse, négligence, méconnaissance | mauvaise manipulation, fichier envoyé au mauvais destinataire, mot de passe noté sur un papier | sûreté |
| Risques malveillants externes | attaquants extérieurs à l’organisation | hameçonnage, rançongiciel, intrusion, déni de service | sécurité |
| Risques malveillants internes | salarié, ancien salarié, prestataire qui abuse de ses accès | vol de données avant un départ, sabotage | sécurité |
| Risques liés aux tiers | fournisseurs, prestataires, éditeurs, plateformes | éditeur en panne, prestataire compromis par lequel l’attaquant entre | sûreté ou sécurité |
Les risques liés aux tiers concernent directement le prestataire : Vellacor dispose d’accès d’administration chez une soixantaine de clients. Un attaquant qui compromet Vellacor peut atteindre tous ses clients : c’est une attaque par la chaîne d’approvisionnement.
BQui attaque et pourquoi
Les attaquants diffèrent par leurs motivations et leurs moyens. La méthode EBIOS Risk Manager parle de sources de risque et d’objectifs visés (partie 7).
| Profil | Objectif visé | Moyens | Cible typique |
|---|---|---|---|
| Cybercriminels organisés | gain financier : rançon, revente de données, fraude | importants, outils prêts à l’emploi, sous-traitance entre groupes | toute organisation qui peut payer, souvent au hasard des failles trouvées |
| Attaquants liés à un État | espionnage, déstabilisation, sabotage | très importants, patients et discrets | administrations, défense, recherche, infrastructures critiques et leurs fournisseurs |
| Hacktivistes | revendication politique ou idéologique, visibilité | modestes à moyens | sites web (défiguration, saturation) |
| Opportunistes (amateurs) | défi, curiosité, petit gain | faibles, outils trouvés en ligne | systèmes mal protégés, exposés sur Internet |
| Personnes internes malveillantes | vengeance, gain, avantage pour un concurrent | accès légitimes, connaissance du système | données sensibles, sabotage |
| Concurrents | avantage commercial | variables | tarifs, fichiers clients, projets |
Pour une organisation comme Kervanet, la source la plus probable est le cybercriminel opportuniste ou organisé, qui cherche de l’argent. Une chaîne hôtelière régionale intéresse peu un service de renseignement étranger, mais ses 38 000 fiches clients et sa capacité à payer une rançon intéressent les cybercriminels.
CLes menaces les plus fréquentes
| Menace | Principe | Critères atteints |
|---|---|---|
| Hameçonnage (phishing) | message trompeur qui pousse à cliquer, à ouvrir une pièce jointe ou à saisir ses identifiants | C, puis D, I selon la suite |
| Piratage de compte | prise de contrôle d’un compte (messagerie, réseau social, application) avec un mot de passe volé, deviné ou réutilisé | C, I, P |
| Rançongiciel (ransomware) | logiciel qui chiffre les données et exige une rançon, souvent après les avoir copiées | D, C |
| Fraude au virement (faux ordre, faux RIB) | usurpation d’un fournisseur ou d’un dirigeant pour obtenir un paiement | I (de l’information de paiement), financier |
| Déni de service (DoS, DDoS s’il est distribué) | saturation d’un service par un afflux de requêtes | D |
| Exploitation de vulnérabilité | utilisation d’une faille connue d’un logiciel ou d’un équipement exposé, avant sa correction | selon la faille |
| Violation ou exfiltration de données | vol de données, par une faille, un compte piraté ou une erreur de configuration | C |
| Défiguration | modification de la page d’accueil d’un site web | I, image |
| Attaque par la chaîne d’approvisionnement | compromission d’un fournisseur ou d’un prestataire pour atteindre ses clients | tous |
Rançongiciel et double extorsion
Un rançongiciel chiffre les données de la victime et réclame une rançon contre la clé de déchiffrement. Dans la double extorsion, l’attaquant copie d’abord les données, puis menace de les publier si la rançon n’est pas payée : même une victime qui restaure ses sauvegardes reste exposée. Les autorités recommandent de ne pas payer : le paiement ne garantit ni la restitution ni la non-publication, et finance de nouvelles attaques (B3-07).
DLe déroulement d’une attaque
Une attaque ciblée suit en général quatre grandes étapes. Les connaître aide à placer les protections à chaque étape.
- Reconnaissance : l’attaquant collecte des informations (noms et fonctions des salariés sur les réseaux sociaux, adresses de messagerie, logiciels exposés sur Internet).
- Accès initial : il entre par une porte (courriel piégé, mot de passe volé, faille d’un équipement exposé, accès d’un prestataire).
- Propagation : il s’installe, élève ses privilèges et se déplace dans le réseau jusqu’aux serveurs et aux comptes d’administration ; il repère et détruit les sauvegardes accessibles.
- Action sur l’objectif : il chiffre, copie, modifie ou détruit, puis réclame une rançon ou exploite les données.
Plus l’attaque est arrêtée tôt, moins elle coûte. La segmentation du réseau (B3-06), le moindre privilège (B3-05) et la détection (B3SISR-03) freinent la propagation ; la sauvegarde hors ligne (B1-05) limite l’action sur l’objectif.
EL’utilisation malveillante d’un service
Le référentiel demande de caractériser les risques liés à l’utilisation malveillante d’un service informatique (C3.4-a). Il ne s’agit pas seulement d’attaquer un service, mais aussi de détourner un service qui fonctionne normalement pour nuire à l’organisation ou à des tiers.
| Service | Utilisation malveillante | Qui est lésé | Critère et conséquence |
|---|---|---|---|
| Wi-Fi des clients (SISR) | un client télécharge des contenus illicites ou attaque un site depuis la connexion de l’hôtel | les ayants droit, la victime de l’attaque, puis Kervanet, dont l’adresse publique apparaît | preuve : Kervanet doit pouvoir retrouver la connexion en cause ; image |
| API KerResa (SLAM) | un robot crée des milliers de réservations fictives « en attente de paiement » qui bloquent les chambres | Kervanet, qui ne peut plus vendre | disponibilité du stock de chambres, perte de ventes |
| API KerResa (SLAM) | un concurrent aspire automatiquement tous les tarifs (scraping) | Kervanet | confidentialité de la politique tarifaire |
| Application « Kervanet & Moi » (SLAM) | un attaquant essaie en masse des couples identifiant–mot de passe volés ailleurs (bourrage d’identifiants, credential stuffing) | les clients, dont les points de fidélité sont volés | confidentialité et intégrité des comptes, données personnelles |
| Messagerie (SISR) | un compte piraté sert à envoyer des courriels frauduleux aux clients et aux fournisseurs | les clients, les fournisseurs, puis Kervanet | intégrité des échanges, fraude, adresse placée sur des listes noires |
| Formulaire de demande de séminaire du site web (SLAM) | un robot l’utilise pour envoyer des milliers de messages indésirables | l’équipe commerciale, débordée | disponibilité du service, base remplie de fausses demandes |
Caractériser un risque d'utilisation malveillante
- Décris le service et son usage normal (qui l’utilise, pour quoi faire, depuis où).
- Identifie la source (client, robot, concurrent, attaquant extérieur) et son objectif (gain, nuisance, avantage).
- Décris le mode opératoire : comment le service est détourné.
- Repère la vulnérabilité qui le permet (absence de limite de requêtes, d’authentification, de journalisation, d’isolement).
- Indique le ou les critères DICP atteints et les conséquences (pour l’organisation et pour les tiers).
- Propose une piste de mesure, en renvoyant au chapitre qui la détaille.
FLes vulnérabilités
Les vulnérabilités ne sont pas seulement techniques. Une analyse complète examine quatre familles.
| Famille | Exemples | Où les traiter |
|---|---|---|
| Techniques | logiciel non mis à jour, configuration par défaut, service inutile exposé, faille dans le code d’une application | B3-04, B3SISR-01, B3SLAM-02 |
| Humaines | méconnaissance des risques, mots de passe faibles ou réutilisés, crédulité face à un message urgent | B3-04 (sensibilisation) |
| Organisationnelles | comptes non supprimés au départ, absence de procédure, droits trop larges, prestataire sans clause de sécurité | B3-05, CEJMA-04 |
| Physiques | salle serveur ouverte, poste non verrouillé à l’accueil, câble réseau accessible dans un couloir | B3-06 (restriction physique) |
Les vulnérabilités techniques publiées reçoivent un identifiant
unique, le CVE (Common Vulnerabilities and
Exposures), par exemple CVE-2025-xxxxx, et une note de
gravité. Suivre ces publications, c’est la veille sur les
vulnérabilités (B3SISR-03). Le CERT-FR, service de l’ANSSI,
publie des avis et des alertes en français.
Surface d'attaque
La surface d’attaque est l’ensemble des points par lesquels un attaquant peut tenter d’entrer ou d’agir : services exposés sur Internet, comptes, applications, équipements, prestataires, salariés. Réduire la surface d’attaque (fermer un port, supprimer un compte, désactiver un service inutile) supprime des vulnérabilités avant même qu’on les découvre.
5. La menace en chiffres
Les chiffres officiels montrent quelles menaces frappent réellement les organisations françaises. Ils aident à fixer la vraisemblance d’un risque et à convaincre une direction. Encore faut-il savoir ce qu’ils mesurent.
ALe panorama de l’ANSSI
L’ANSSI (partie 8) publie chaque année un panorama de la cybermenace. Celui portant sur l’année 2025 a été publié le 11 mars 2026 par le CERT-FR.
| Indicateur | 2025 | Rappel |
|---|---|---|
| Événements de sécurité traités par l’ANSSI | 3 586 | − 18 % par rapport à 2024, en partie à cause du pic de signalements des Jeux olympiques de 2024 |
| Incidents confirmés | 1 366 | 1 361 en 2024 (+ 0,37 %) |
| Compromissions par rançongiciel portées à sa connaissance | 128 | en légère baisse par rapport à 2024 |
| Incidents d’exfiltration de données | 196 | 130 en 2024 (+ 50,77 %) |
Les grandes tendances décrites par l’ANSSI pour 2025 :
- la frontière entre attaquants liés à des États et cybercriminels s’efface : les uns et les autres détournent des outils et des services légitimes ;
- les vulnérabilités des équipements de bordure (pare-feu, passerelles VPN, équipements exposés sur Internet) sont exploitées très vite après leur publication ;
- l’ingénierie sociale (manipulation des personnes) se renouvelle, au-delà des faux supports techniques ;
- côté cybercriminalité, on observe une baisse de l’usage des rançongiciels au profit de l’exfiltration seule de données.
Lire le panorama
Données : 1 366 incidents, dont 196 exfiltrations et 128 rançongiciels.
Calcul : exfiltrations = 196 ÷ 1 366 = 14,35 % des incidents ; rançongiciels = 128 ÷ 1 366 = 9,37 % ; évolution des exfiltrations = (196 − 130) ÷ 130 = + 50,77 %.
Interprétation : le nombre d’incidents est stable, mais leur nature change ; le vol de données progresse fortement. Pour Kervanet, la confidentialité du fichier des clients mérite autant d’attention que la disponibilité des serveurs.
BLe rapport de cybermalveillance.gouv.fr
Le dispositif cybermalveillance.gouv.fr (partie 8) assiste les victimes : particuliers, entreprises, associations, collectivités. Son rapport d’activité 2025, publié fin mars 2026, indique plus de 5,1 millions de visiteurs uniques et plus de 504 000 demandes d’assistance (+ 20 % sur un an) ; les demandes des entreprises et associations ont augmenté de 73 %.
| Rang | Menace | Part |
|---|---|---|
| 1 | Piratage de compte | 21 % |
| 2 | Hameçonnage | 16 % |
| 3 | Fraude au virement | 13,5 % |
| 4 | Rançongiciel | 8,1 % |
| 5 | Violation de données | 6,6 % |
Ces cinq menaces représentent ensemble 65,2 % des parcours d’assistance des professionnels ; les trois premières, qui exploitent surtout la crédulité et les mots de passe, en représentent 50,5 %. Pour les collectivités et administrations, le classement est voisin : piratage de compte (20,1 %), hameçonnage (19,2 %), rançongiciel (13,1 %), fraude au virement (8,5 %), violation de données (7,7 %).
CLire un chiffre avec prudence
Les deux sources ne mesurent pas la même chose. L’ANSSI compte les incidents qu’elle traite : elle intervient surtout pour les administrations, les opérateurs importants et les organisations les plus touchées. Cybermalveillance.gouv.fr compte des demandes d’assistance et des parcours de diagnostic, majoritairement de particuliers et de petites structures. Aucune ne mesure toutes les attaques en France : beaucoup de victimes ne signalent rien. On ne peut donc ni additionner leurs chiffres, ni en tirer « le nombre de cyberattaques en France ».
Utiliser un chiffre de la menace dans une étude
- Cite la source, la date de publication et l’année couverte.
- Dis ce que le chiffre compte (incidents traités, demandes d’assistance, plaintes) et pour quel public.
- Utilise-le pour justifier une vraisemblance (« l’hameçonnage est la deuxième menace des professionnels ») ou une tendance (« l’exfiltration progresse »), pas pour calculer un risque précis.
- Vérifie chaque année la nouvelle édition : les chiffres changent vite.
6. Analyser et traiter un risque
Analyser un risque, c’est l’identifier, l’évaluer, le comparer aux autres, puis décider de ce qu’on en fait. La démarche est la même pour une PME et pour un grand groupe ; seuls le niveau de détail et les outils changent.
ALes étapes de l’analyse
Mener une analyse de risques simple
- Cadrer : fixer le périmètre (quel système, quelles activités), les participants (métier, informatique, prestataire) et les échelles d’évaluation.
- Identifier les actifs essentiels et supports, et exprimer les besoins DICP (partie 2).
- Identifier les risques : pour chaque actif important, les menaces plausibles et les vulnérabilités qu’elles peuvent exploiter ; écrire chaque risque sous forme de phrase (partie 1).
- Évaluer chaque risque : gravité de l’impact, vraisemblance, criticité.
- Hiérarchiser les risques dans une matrice et un registre.
- Traiter : choisir pour chaque risque une option de traitement et des mesures, avec un responsable et une échéance.
- Accepter formellement les risques résiduels (décision de la direction) et suivre : revoir l’analyse à chaque changement important et au moins une fois par an.
Cette démarche suit les principes des normes internationales de management de la sécurité de l’information (famille ISO/IEC 27000, dont la norme ISO/IEC 27005 consacrée aux risques). En France, la méthode de référence est EBIOS Risk Manager (partie 7).
BGravité et vraisemblance
On évalue un risque avec deux échelles, définies une fois pour toutes par l’organisation, pour que tout le monde note de la même façon.
| Niveau | Gravité de l’impact | Vraisemblance du scénario |
|---|---|---|
| 1 | Mineure : gêne limitée, sans conséquence durable, rattrapage facile | Peu vraisemblable : pas attendu dans les années à venir |
| 2 | Significative : activité dégradée quelques heures, coût de quelques milliers d’euros | Vraisemblable : peut arriver dans les années à venir |
| 3 | Grave : activité très dégradée plus d’une journée, ou atteinte à des données personnelles, ou coût de plusieurs dizaines de milliers d’euros | Très vraisemblable : attendu dans l’année |
| 4 | Critique : survie de l’activité menacée, arrêt de plusieurs jours de tous les sites, fuite massive de données | Quasi certain : se produira, ou s’est déjà produit plusieurs fois |
La gravité se déduit des conséquences (partie 3) et des besoins DICP de l’actif (partie 2). La vraisemblance dépend de la menace (est-elle fréquente ? les chiffres de la partie 5 aident), des vulnérabilités existantes et des mesures déjà en place.
CLa criticité et la matrice
Criticité d'un risque
La criticité (ou niveau de risque) combine la gravité et la vraisemblance. Avec deux échelles de 1 à 4, Vellacor la calcule par un produit :
criticité = gravité × vraisemblance, de 1 à 16.
Les seules valeurs possibles sont 1, 2, 3, 4, 6, 8, 9, 12 et 16.
Vellacor classe les criticités en quatre zones, chacune associée à une règle de décision.
| Criticité | Zone | Décision attendue |
|---|---|---|
| 1 à 3 | faible | accepter et surveiller ; mesure seulement si elle est peu coûteuse |
| 4 et 6 | modéré | réduire dans l’année, dans le budget courant |
| 8 et 9 | élevé | réduire en priorité, dans les trois mois |
| 12 et 16 | critique | traiter immédiatement ; la direction est informée |
Le produit donne la même criticité à des risques très différents : gravité 4 × vraisemblance 1 (l’incendie du siège) et gravité 1 × vraisemblance 4 (une petite erreur fréquente) valent toutes deux 4. Or un risque de gravité 4 peut menacer la survie de l’organisation. Règle de prudence : à criticité égale, on classe d’abord le risque le plus grave, et on ne laisse jamais un risque de gravité 4 sans mesure de protection, même s’il est peu vraisemblable (pour l’incendie : sauvegarde hors site et PRA, B1-05).
Le registre des risques de Kervanet
Lucas et Sarah ont présenté sept risques à Julien Maréchal et Anaïs Lecoq. Après discussion avec Gwenaëlle Le Bihan, les niveaux retenus sont les suivants (classement par criticité, puis par gravité).
| Code | Risque | G | V | Criticité | Zone |
|---|---|---|---|---|---|
| R1 | Rançongiciel chiffrant les serveurs du siège après un courriel piégé (SISR) | 4 | 3 | 12 | critique |
| R2 | Hameçonnage puis piratage du compte d’un réceptionniste (logiciel hôtelier, messagerie) | 3 | 4 | 12 | critique |
| R3 | Bourrage d’identifiants sur « Kervanet & Moi » et l’API KerResa (SLAM) | 3 | 3 | 9 | élevé |
| R4 | Injection SQL dans l’ancien module de recherche de KerMaint (SLAM) | 2 | 3 | 6 | modéré |
| R5 | Coupure de la fibre d’un site hôtelier (sûreté, SISR) | 2 | 3 | 6 | modéré |
| R6 | Incendie de la salle technique du siège (sûreté) | 4 | 1 | 4 | modéré |
| R7 | Dossier partagé supprimé par erreur (sûreté) | 1 | 3 | 3 | faible |
Pourquoi ces notes ? R2 reçoit la vraisemblance 4, car des courriels d’hameçonnage visent les réceptions chaque semaine et le piratage de compte est la première menace des professionnels (partie 5). R5 reçoit 3, car une coupure s’est produite à Royan en août 2026 et aucun site hors siège n’a de lien de secours (B1-06). R7 est fréquent, mais une restauration de vingt minutes suffit (B1-05) : gravité 1.
DLes options de traitement
Une fois les risques classés, on décide pour chacun d’une option de traitement.
Les quatre options de traitement d'un risque
- Réduire le risque : mettre en place des mesures qui diminuent la vraisemblance (corriger une vulnérabilité, sensibiliser) ou la gravité (sauvegarde, plan de reprise, cloisonnement).
- Transférer (ou partager) le risque : en confier tout ou partie des conséquences financières à un tiers, par une assurance cyber ou un contrat (convention de niveau de service, clause de responsabilité d’un prestataire).
- Éviter (ou refuser) le risque : renoncer à l’activité ou au service qui le crée (ne pas ouvrir une fonction, fermer un accès inutile).
- Accepter (ou maintenir) le risque : le garder en connaissance de cause, parce qu’il est faible ou que les mesures coûtent plus que le dommage.
Après traitement, il reste toujours un risque résiduel : aucune mesure ne ramène un risque à zéro. La direction doit l’accepter formellement, par écrit : c’est elle qui assume le risque, pas le technicien.
Le transfert ne fait pas disparaître le risque : une assurance rembourse une partie des pertes, mais ne rend ni les données ni la confiance des clients. Et l’assureur exige souvent des mesures minimales (sauvegardes hors ligne, double authentification) avant d’assurer. C’est d’ailleurs l’origine de la demande de Gwenaëlle Le Bihan.
| Risque | Option | Mesures proposées | Responsable | Échéance |
|---|---|---|---|---|
| R1 rançongiciel | réduire, transférer | sauvegarde hors ligne vérifiée (B1-05), droits réduits sur les partages, protection des postes, assurance cyber | Julien Maréchal, Gwenaëlle Le Bihan | immédiat |
| R2 piratage de compte | réduire | double authentification, campagne de sensibilisation des réceptions (B3-04, B3-05) | Julien Maréchal | immédiat |
| R3 bourrage d’identifiants | réduire | limitation du nombre de tentatives, double authentification proposée aux clients (B3SLAM-03) | Anaïs Lecoq | 3 mois |
| R4 injection SQL | réduire, puis éviter | audit du code ; suppression de l’ancien module s’il n’est plus utilisé (B3SLAM-02) | Anaïs Lecoq | 2027 |
| R5 coupure de fibre | réduire | lien 4G/5G de secours dans chaque site (devis en cours) | Julien Maréchal | 2027 |
| R6 incendie | réduire, transférer | copie hors site et PRA testé ; assurance multirisque | Julien Maréchal | en place, test annuel |
| R7 suppression par erreur | accepter | sauvegarde versionnée existante, rappel aux utilisateurs | — | — |
7. La méthode EBIOS Risk Manager
EBIOS Risk Manager est la méthode d’analyse de risques numériques de référence en France, publiée par l’ANSSI. Tu n’auras pas à la conduire seul : elle mobilise la direction, les métiers et les experts. Mais tu dois en connaître la logique, le vocabulaire et les cinq ateliers, pour y participer et pour lire une étude existante.
AUne méthode de référence
EBIOS (Expression des besoins et identification des objectifs de sécurité) existe depuis 1995. Sa version actuelle, EBIOS Risk Manager (EBIOS RM), est publiée par l’ANSSI, avec le Club EBIOS qui anime la communauté de ses utilisateurs. Le guide de la méthode et des fiches pratiques sont téléchargeables gratuitement sur cyber.gouv.fr ; l’ANSSI attribue un label aux logiciels qui l’outillent.
Elle repose sur deux idées.
- Conformité et scénarios : l’organisation applique d’abord un socle de sécurité (les bonnes pratiques et les règles qui s’imposent à elle) ; l’analyse par scénarios vient ensuite tester ce socle face aux menaces intentionnelles et ciblées, en tenant compte de l’écosystème (prestataires, partenaires, clients).
- Partager les risques avec les décideurs : l’analyse doit être comprise par la direction, au même titre que les risques financiers ou juridiques, pour que les décisions soient prises au bon niveau.
BLes cinq ateliers
| Atelier | Question posée | Ce qu’on produit | Exemple chez Kervanet |
|---|---|---|---|
| 1 — Cadrage et socle de sécurité | Que protège-t-on, et quelles règles applique-t-on déjà ? | missions, valeurs métier, biens supports, événements redoutés et leur gravité, socle de sécurité et ses écarts | valeur métier « prendre des réservations » ; bien support « API KerResa » ; événement redouté « impossibilité de réserver pendant plus de 4 h en saison » (gravité 4) |
| 2 — Sources de risque | Qui pourrait attaquer, et pour obtenir quoi ? | couples source de risque / objectif visé retenus | « groupe cybercriminel / obtenir une rançon » ; « concurrent / connaître les tarifs » |
| 3 — Scénarios stratégiques | Par quel chemin, à travers l’écosystème, la source peut-elle atteindre son objectif ? | cartographie des parties prenantes (prestataires, partenaires), chemins d’attaque de haut niveau, mesures sur l’écosystème | le groupe cybercriminel compromet le prestataire Vellacor, puis utilise ses accès d’administration pour chiffrer les serveurs de Kervanet |
| 4 — Scénarios opérationnels | Concrètement, par quels biens supports et quelles techniques ? Avec quelle vraisemblance ? | modes opératoires détaillés, vraisemblance de chaque scénario | courriel piégé à un technicien de Vellacor → vol de son mot de passe → connexion à l’outil de prise de main → déploiement du rançongiciel |
| 5 — Traitement du risque | Que fait-on, et quel risque reste-t-il ? | stratégie de traitement, plan d’amélioration continue de la sécurité, risques résiduels, cadre de suivi | double authentification des comptes de Vellacor, cloisonnement des accès par client, sauvegardes hors ligne, revue annuelle |
Le vocabulaire d'EBIOS RM
- Valeur métier : mission, activité ou information essentielle de l’organisation (actif essentiel).
- Bien support : élément du système d’information qui porte une valeur métier (actif support).
- Événement redouté : atteinte d’un critère de sécurité d’une valeur métier, avec sa gravité (« fuite du fichier des clients »).
- Source de risque et objectif visé : l’attaquant potentiel et ce qu’il cherche.
- Partie prenante : élément de l’écosystème (prestataire, partenaire, client) par lequel une attaque peut passer.
- Scénario stratégique : chemin d’attaque de haut niveau, de la source à l’événement redouté ; scénario opérationnel : sa déclinaison technique.
L’atelier 1 correspond à l’expression des besoins de la partie 2 ; les ateliers 2 à 4 précisent l’identification et l’évaluation des risques de la partie 6 ; l’atelier 5 reprend le traitement. La méthode se répète : un cycle stratégique, qui reprend les missions, les sources de risque et les grands chemins d’attaque, revu à intervalle de quelques années ou à chaque changement important, et un cycle opérationnel, centré sur les modes opératoires (atelier 4), revu plus souvent, car les techniques d’attaque évoluent vite.
Ce qu'EBIOS RM apporte de particulier
- Elle part des missions de l’organisation, pas de la technique.
- Elle s’intéresse aux attaquants (qui, pour quoi) et à l’écosystème : un prestataire comme Vellacor est une partie prenante et un chemin d’attaque possible.
- Elle combine conformité (socle de sécurité) et scénarios (menaces ciblées).
- Elle se répète dans le temps.
CLe rôle du technicien
En BTS SIO, ton rôle dans une étude EBIOS RM est de contribuer :
- recenser les biens supports (inventaire du parc : B1-03 ; schéma du réseau : B1-02) ;
- décrire le socle de sécurité existant et ses écarts (mises à jour, sauvegardes, comptes) ;
- imaginer des modes opératoires réalistes à partir de ta connaissance du système (atelier 4) ;
- proposer des mesures techniques, chiffrées, et les mettre en œuvre ;
- documenter ce que tu fais.
8. Les acteurs et le cadre juridique
Une organisation n’est pas seule face aux cyberattaques : des organismes publics l’informent, l’assistent et la contrôlent. Et la loi lui impose des obligations de sécurité. Cette partie en donne les principes ; les règles détaillées sont étudiées en CEJMA-08 et CEJMA-10.
ALes acteurs publics
| Acteur | Nature | Rôle principal | Quand y recourir |
|---|---|---|---|
| ANSSI (Agence nationale de la sécurité des systèmes d’information) | service de l’État, autorité nationale de cybersécurité | protéger les systèmes de l’État et des opérateurs importants, publier des guides et des recommandations, méthode EBIOS RM, qualification de prestataires et de produits ; autorité chargée de mettre en œuvre NIS 2 en France | guides de bonnes pratiques, alertes ; incident grave d’une entité régulée |
| CERT-FR | service de l’ANSSI | veille et alertes sur les vulnérabilités, traitement des incidents, panorama de la menace | s’abonner aux avis et alertes de sécurité |
| cybermalveillance.gouv.fr | dispositif national porté par un groupement d’intérêt public (GIP ACYMA) | assistance aux victimes (diagnostic en ligne, mise en relation avec des prestataires de proximité), prévention et sensibilisation (fiches, kits), observation de la menace | une PME, une association, un particulier victime d’une attaque |
| CNIL (Commission nationale de l’informatique et des libertés) | autorité administrative indépendante | protection des données personnelles : conseil, recommandations de sécurité, réception des notifications de violation, contrôles et sanctions | violation de données personnelles à notifier ; question sur le RGPD |
| Police et gendarmerie, justice | services d’enquête, tribunaux | recevoir les plaintes, enquêter, poursuivre les auteurs | dépôt de plainte après une attaque (CEJMA-10) |
Qui appeler ?
Un samedi, le serveur de fichiers de Kervanet est chiffré et une note de rançon s’affiche. Vellacor isole les serveurs et lance la restauration. Kervanet, qui n’est pas une entité régulée, peut trouver de l’aide et des conseils sur cybermalveillance.gouv.fr. Si des données personnelles ont pu être copiées, Kervanet, responsable du traitement, notifie la CNIL ; Vellacor, sous-traitant, l’a prévenue sans tarder. Kervanet porte plainte. La conduite détaillée de la réponse à incident est traitée en B3-07 et B3SISR-04.
BLes grands principes du droit
Sans entrer dans le détail des textes, retiens les principes suivants, qui s’imposent dans toute analyse de risques.
Sécuriser les données personnelles. Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) oblige le responsable du traitement et son sous-traitant à prendre des mesures de sécurité adaptées au risque, pour garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes (art. 32 RGPD). Concrètement, l’analyse de risques est le moyen de prouver que les mesures choisies sont adaptées. En cas de violation de données présentant un risque pour les personnes, le responsable du traitement la notifie à la CNIL, si possible dans les 72 heures (art. 33 RGPD), et parfois aux personnes concernées. Voir CEJM-14, CEJMA-08 et B3-02.
Respecter ses engagements contractuels. Un prestataire s’engage sur des niveaux de service et des mesures de sécurité ; un manquement entraîne pénalités et responsabilité (CEJMA-04, CEJMA-05).
Ne pas porter atteinte aux systèmes d’autrui. Accéder ou se maintenir sans droit dans un système, l’entraver ou en modifier les données sont des délits (art. 323-1 et suivants du Code pénal). Cela vaut aussi pour un technicien curieux qui « teste » un système sans autorisation écrite. Voir CEJMA-10.
Respecter les obligations sectorielles de cybersécurité. Certaines organisations, du fait de leur taille et de leur secteur, ont des obligations particulières : c’est l’objet de la directive NIS 2.
CLa directive NIS 2 et sa transposition
La directive NIS 2 — état au 20/10/2026
Le principe. La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, veut un niveau élevé et commun de cybersécurité dans l’Union. Elle impose à certaines organisations des mesures de gestion des risques (analyse des risques, gestion des incidents, continuité et sauvegardes, sécurité de la chaîne d’approvisionnement, formation, contrôle des accès, double authentification…) et la notification des incidents importants à l’autorité nationale, en plusieurs étapes (alerte en 24 heures, notification en 72 heures, rapport final en un mois). Les dirigeants approuvent ces mesures et en répondent.
Qui est concerné ? Les entreprises et organismes au moins de taille moyenne (en principe 50 salariés ou plus, ou un chiffre d’affaires et un total de bilan supérieurs à 10 M€) qui exercent dans l’un des 18 secteurs listés en annexe : 11 secteurs « hautement critiques » (annexe I : énergie, transports, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC interentreprises — dont les fournisseurs de services gérés —, administration publique, espace) et 7 « autres secteurs critiques » (annexe II : services postaux, déchets, produits chimiques, alimentation, fabrication, fournisseurs numériques, recherche). Ils sont classés en entités essentielles ou entités importantes. Quelques entités sont visées quelle que soit leur taille.
La transposition en France. La date limite de transposition était le 17 octobre 2024. Au 20/10/2026, aucune loi de transposition n’est publiée au Journal officiel : le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » est toujours en discussion au Parlement (une commission spéciale de l’Assemblée nationale l’examine en octobre 2026). Les obligations de NIS 2 ne s’imposent donc pas encore directement aux entreprises françaises. L’ANSSI prépare leur application : référentiel de mesures « ReCyF » publié le 17 mars 2026 comme document de travail, outil en ligne pour savoir si l’on est concerné, foire aux questions.
Ce que cela veut dire concrètement. Kervanet (environ 140 salariés) est une entreprise de taille moyenne, mais l’hôtellerie ne figure dans aucune des deux annexes : elle n’est pas concernée en principe. Vellacor exerce une activité de l’annexe I (fournisseur de services gérés), mais avec 26 salariés et 2,48 M€ de chiffre d’affaires, c’est une petite entreprise : elle n’est pas concernée en principe non plus. Pourtant, NIS 2 la touchera indirectement : ses clients soumis devront contrôler la sécurité de leur chaîne d’approvisionnement et lui imposeront des clauses de sécurité. Le texte français définitif peut encore préciser ces règles : vérifie son état avant toute étude (CEJM-16 pour le raisonnement complet, CEJMA-10).
Deux erreurs fréquentes à l’épreuve : présenter NIS 2 comme déjà applicable aux entreprises françaises en 2026, et croire qu’elle concerne toutes les entreprises. Elle ne vise que certaines tailles et certains secteurs, et sa transposition française n’est pas achevée au 20/10/2026.
9. Préparer l’épreuve E7
L’épreuve E7 est une étude de cas écrite de 4 heures, construite autour d’un dossier documentaire. Les compétences de ce chapitre y reviennent dans presque chaque sujet : caractériser un risque, recenser ses conséquences, évaluer, proposer, et situer la situation dans son cadre juridique.
ACe qu’on attend de toi
Dans un sujet d’E7, le dossier documentaire décrit l’organisation (activité, infrastructure, applications, moyens), un ou plusieurs incidents ou projets, et un cadre juridique résumé. Les missions demandent souvent :
- d’identifier les actifs, menaces et vulnérabilités d’une situation ;
- de caractériser un risque d’utilisation malveillante d’un service ;
- de recenser les conséquences d’une perte de disponibilité, d’intégrité ou de confidentialité ;
- d’évaluer et de hiérarchiser des risques avec les échelles fournies ;
- de chiffrer un coût ou une perte annuelle et de comparer avec le coût d’une mesure ;
- de justifier une proposition auprès d’un interlocuteur non technique.
Répondre à une question d'analyse de risque en E7
- Relis la question et souligne le verbe : identifier, caractériser, recenser, évaluer, justifier n’appellent pas la même réponse.
- Prends les données dans le dossier et cite le document (« d’après le document 3… ») ; utilise les échelles fournies, jamais les tiennes.
- Structure : une phrase de risque (source, menace, vulnérabilité, actif, impact), un tableau dès qu’il y a plusieurs éléments à comparer.
- Calcule en posant les données, la formule, le calcul et le résultat, puis interprète en une phrase.
- Conclus par une recommandation adaptée au destinataire (direction : coût, risque, décision ; équipe technique : mesures).
Erreurs fréquentes et points de vigilance
| Erreur | Ce qu’il faut faire |
|---|---|
| Écrire « risque de piratage » ou « risque informatique » | écrire une phrase complète : source, menace, vulnérabilité, actif, impact |
| Confondre menace et vulnérabilité | la menace vient de l’extérieur de l’actif (cause) ; la vulnérabilité est une faiblesse de l’actif |
| Confondre sécurité et sûreté | sécurité = malveillance (intentionnel) ; sûreté = panne, erreur, accident |
| Oublier le critère de preuve | quatre critères : D, I, C et P (traçabilité, imputabilité) |
| Mettre le niveau 4 partout | justifier chaque besoin par une conséquence ; les critères sont indépendants |
| Additionner gravité et vraisemblance | criticité = produit G × V avec les échelles de l’organisation |
| Négliger un risque de gravité 4 parce que sa criticité est moyenne | à criticité égale, priorité au plus grave ; toujours une mesure pour un risque de gravité 4 |
| Croire qu’une assurance supprime le risque | elle transfère une partie des pertes financières ; il reste un risque résiduel |
| Additionner les chiffres de l’ANSSI et de cybermalveillance.gouv.fr | ils ne comptent pas la même chose ; citer source, date et périmètre |
| Présenter NIS 2 comme applicable à toutes les entreprises en 2026 | taille et secteur ; transposition française non achevée au 20/10/2026 |
L’essentiel du chapitre
À retenir
- Vocabulaire : un actif (essentiel ou support) a de la valeur ; une menace (venue d’une source) exploite une vulnérabilité ; elle cause un impact ; le risque combine gravité et vraisemblance.
- Sécurité (malveillance) et sûreté (pannes, erreurs, accidents) : périmètres distincts, mesures en partie communes (sauvegarde, redondance).
- DICP : disponibilité, intégrité, confidentialité, preuve (imputabilité, authenticité, non-répudiation, traçabilité). Besoins notés de 1 à 4 par actif essentiel, justifiés, validés par le métier.
- Conséquences : opérationnelles, financières, juridiques, d’image, humaines ; examiner les quatre critères (double extorsion : D et C). Coût d’un incident = pertes + remise en état + expertise + rattrapage + gestes + pénalités ; perte annuelle estimée = coût × fréquence.
- Menaces fréquentes : piratage de compte, hameçonnage, fraude au virement, rançongiciel, violation de données, déni de service, chaîne d’approvisionnement. Attaquants : cybercriminels, États, hacktivistes, opportunistes, internes. Utilisation malveillante d’un service : source, objectif, mode opératoire, vulnérabilité, critère, conséquences.
- Chiffres (à citer avec source et périmètre) : ANSSI 2025 (publié le 11/03/2026) — 1 366 incidents, 128 rançongiciels, 196 exfiltrations (+ 50,77 %) ; cybermalveillance.gouv.fr 2025 (mars 2026) — plus de 504 000 demandes, piratage de compte 21 %, hameçonnage 16 % chez les professionnels.
- Analyse : cadrer, actifs et besoins, risques, évaluer (G × V), hiérarchiser, traiter (réduire, transférer, éviter, accepter), accepter le risque résiduel, suivre.
- EBIOS RM (ANSSI) : 5 ateliers — cadrage et socle, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement ; écosystème et cycles répétés.
- Acteurs : ANSSI et CERT-FR, cybermalveillance.gouv.fr, CNIL, police et justice. Droit : RGPD (sécurité adaptée, notification en 72 h), atteintes aux systèmes (art. 323-1 s. C. pén.), contrats, NIS 2 (taille et 18 secteurs ; non transposée en France au 20/10/2026).
Sources et références
- Arrêté du 29 avril 2019 portant définition et fixant les conditions de délivrance du BTS « Services informatiques aux organisations », modifié par les arrêtés du 8 juillet 2024 et du 22 novembre 2024 ; référentiel de la fiche RNCP40792 (annexe I.B, bloc 3).
- ANSSI, « La méthode EBIOS Risk Manager », page cyber.gouv.fr (cinq ateliers, historique, Club EBIOS, label), consultée le 20/10/2026.
- ANSSI / CERT-FR, « Panorama de la cybermenace 2025 », CERTFR-2026-CTI-002, publié le 11/03/2026 (cert.cyber.gouv.fr), page de présentation lue le 20/10/2026 et rapport consulté le même jour.
- Cybermalveillance.gouv.fr (GIP ACYMA), rapport d’activité 2025 (PDF déposé en mars 2026, présenté sur le site le 26/03/2026), relu le 20/10/2026 (pages 30 à 38).
- ANSSI, page « La directive NIS 2 » (cyber.gouv.fr : ReCyF, outil d’éligibilité), consultée le 20/10/2026.
- Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2), art. 2, 3, 20, 21 et 23 et annexes I et II, lus sur EUR-Lex le 20/10/2026 ; recherche sur Légifrance (Journal officiel et textes consolidés, « résilience des infrastructures critiques ») le 20/10/2026 : aucune loi de transposition publiée, travaux de la commission spéciale de l’Assemblée nationale publiés au JO jusqu’au 16/10/2026.
- Règlement (UE) 2016/679 (RGPD), art. 32 et 33, relus sur EUR-Lex le 20/10/2026 (présentés en principe, voir CEJM-14) ; Code pénal, art. 323-1 (version du 26/01/2023) et suivants, relu sur Légifrance le 20/10/2026 (présentés en principe, voir CEJMA-10).
- FuturBTS : B1-02, B1-03, B1-04, B1-05, B1-06, B3-02 à B3-07, B3SISR-01 à 04, B3SLAM-02, B3SLAM-03, CEJM-14, CEJM-16, CEJMA-04, CEJMA-05, CEJMA-08 à CEJMA-10.
Contenu original FuturBTS. Vellacor Services Numériques, Kervanet Hôtels & Résidences et les personnes citées sont fictifs ; les montants, fréquences et niveaux de risque sont des hypothèses d’exemple. Aucun passage, exemple ou exercice n’est repris d’un manuel existant.