B3 · chapitre 1 Chapitre offert

Comprendre les risques cyber

Ce que tu sauras faire : Identifier les actifs, les menaces et les vulnérabilités d'un système d'information, exprimer ses besoins de sécurité (disponibilité, intégrité, confidentialité, preuve), recenser les conséquences d'une perte de l'un de ces critères, évaluer et hiérarchiser des risques avec une matrice de criticité, proposer un traitement, et situer cette analyse dans la méthode EBIOS Risk Manager, la menace actuelle et le cadre juridique.

1 h 45 de cours 10 exercices corrigés 10 questions de quiz

Cherche d’abord au brouillon, puis ouvre le corrigé. Les exercices vont du plus simple au plus exigeant : les points indiquent leur difficulté. Compare ta démarche, pas seulement ton résultat.

Sauf indication contraire, les exercices se situent chez Vellacor Services Numériques (Niort) et chez son client Kervanet Hôtels & Résidences, en octobre 2026. Utilise les échelles du cours : besoins de sécurité de 1 à 4 ; gravité (G) et vraisemblance (V) de 1 à 4 ; criticité = G × V ; zones faible (1 à 3), modéré (4 et 6), élevé (8 et 9), critique (12 et 16). Les montants et les fréquences sont des hypothèses d’exercice.

Exercice 1

Les mots du risque

Application

Associe chaque terme (1 à 10) à sa définition (A à J).

Terme	Définition
1. Actif essentiel	A. Faiblesse d’un élément du système qu’une menace peut exploiter
2. Actif support	B. Protection contre les pannes, les erreurs et les accidents
3. Menace	C. Information ou activité dont l’organisation a besoin pour fonctionner
4. Vulnérabilité	D. Information exacte et complète, non modifiée sans autorisation
5. Impact	E. Cause possible d’un incident : action malveillante, accident ou erreur
6. Sécurité	F. Capacité à établir qui a fait quoi, quand et comment
7. Sûreté	G. Élément technique, humain ou organisationnel qui porte une information ou une activité
8. Intégrité	H. Protection contre les actes malveillants, intentionnels
9. Confidentialité	I. Dommage subi par l’organisation quand la menace se réalise
10. Preuve	J. Information accessible aux seules personnes autorisées

Voir le corrigé détaillé

1 → C ; 2 → G ; 3 → E ; 4 → A ; 5 → I ; 6 → H ; 7 → B ; 8 → D ; 9 → J ; 10 → F.

Piège

Menace et vulnérabilité se confondent souvent. La menace est la cause qui vient frapper l’actif (un courriel piégé, une panne) ; la vulnérabilité est la faiblesse de l’actif qui la laisse réussir (un compte sans double authentification, l’absence de redondance). On agit rarement sur la menace, presque toujours sur la vulnérabilité.

Exercice 2

Quel critère, quel périmètre ?

Application

Pour chaque situation, indique le ou les critères DICP atteints (disponibilité, intégrité, confidentialité, preuve) et s’il s’agit d’un problème de sécurité ou de sûreté. Justifie en une phrase.

L’alimentation d’une borne Wi-Fi de Royan tombe en panne : les clients du deuxième étage n’ont plus de Wi-Fi pendant une journée.
Un attaquant modifie, dans une requête envoyée à l’API KerResa, le prix d’une suite pour le ramener à 1 €.
Une clé USB contenant un export non chiffré du fichier des clients de la fidélité est perdue dans un train par un salarié de Kervanet.
Les trois veilleurs de nuit de Royan utilisent le même compte nuit.roy ; une remise de 50 % a été accordée à tort une nuit, sans qu’on sache par qui.
Un robot envoie 30 000 requêtes par seconde au site de réservation, qui ne répond plus.
Romain Daguet, développeur, publie par erreur un jeton d’accès à l’API KerResa dans un dépôt de code public.
Une mise à jour défectueuse de KerMaint enregistre toutes les durées d’intervention à 0 minute pendant deux jours.
Un salarié licencié se connecte, avec son compte resté actif, au serveur de fichiers pour effacer le dossier « Qualité ».

Voir le corrigé détaillé

	Critère(s)	Périmètre	Justification
a)	disponibilité	sûreté	panne matérielle, sans intention de nuire ; le service est inaccessible
b)	intégrité	sécurité	modification volontaire et non autorisée d’une donnée (le prix)
c)	confidentialité	sûreté	perte accidentelle ; les données peuvent être lues par n’importe qui (et c’est une violation de données personnelles, B3-02)
d)	preuve (et intégrité de la facturation)	sécurité ou sûreté selon l’origine	le compte partagé empêche d’imputer l’action ; on ne sait pas si la remise est une erreur ou une fraude
e)	disponibilité	sécurité	attaque par déni de service, volontaire
f)	confidentialité (puis intégrité et disponibilité si le jeton est utilisé)	sûreté	erreur humaine, sans intention ; mais un attaquant peut l’exploiter très vite
g)	intégrité	sûreté	défaut logiciel ; les données enregistrées sont fausses
h)	disponibilité et intégrité (données effacées)	sécurité	acte malveillant interne, rendu possible par un compte non désactivé (vulnérabilité organisationnelle)

Astuce

Pour trancher entre sécurité et sûreté, pose une seule question : « quelqu’un a-t-il voulu nuire ? » Si oui, sécurité ; si non, sûreté. Le cas d) montre qu’on ne peut parfois pas répondre : c’est justement l’absence de preuve qui pose problème.

Exercice 3

Classer les risques de Vellacor

Calcul

Julien Maréchal fait l’analyse des risques du système d’information de Vellacor lui-même. Il retient six risques.

Code	Risque	Gravité	Vraisemblance
A	Compromission du compte d’administration de Thomas Guéguen	4	2
B	Vol d’un portable de développeur (disque chiffré)	2	2
C	Défiguration du site web de Kervanet, hébergé chez Vellacor	2	3
D	Panne d’un des deux hyperviseurs de Vellacor (en grappe)	1	2
E	Attaque des clients de Vellacor au moyen de son outil de prise de main à distance	4	2
F	Fuite de secrets (jetons de l’API KerResa) depuis la forge logicielle GitLab	3	3

Calcule la criticité de chaque risque et indique sa zone.
Classe les risques du plus prioritaire au moins prioritaire, en appliquant la règle du cours en cas d’égalité.
Quelle décision la règle de Vellacor impose-t-elle pour chaque zone représentée ?
Après traitement, la vraisemblance de F tombe à 1 et celle de A à 1. Calcule les nouvelles criticités. Faut-il encore une mesure sur A ? Justifie.

Voir le corrigé détaillé

a) Criticité = gravité × vraisemblance.

Code	G	V	Criticité	Zone
A	4	2	8	élevé
B	2	2	4	modéré
C	2	3	6	modéré
D	1	2	2	faible
E	4	2	8	élevé
F	3	3	9	élevé

b) Classement : F (9), puis A (8) et E (8) à égalité (même gravité 4 : on peut les présenter ensemble, ou départager par l’étendue des conséquences — E touche tous les clients de Vellacor, il est raisonnable de le placer avant A), puis C (6), B (4), D (2).

c) Zone élevée (F, A, E) : réduire en priorité, dans les trois mois. Zone modérée (C, B) : réduire dans l’année, dans le budget courant. Zone faible (D) : accepter et surveiller (la grappe de deux hyperviseurs est déjà une mesure de réduction). Aucun risque n’est critique.

d) F : 3 × 1 = 3, zone faible. A : 4 × 1 = 4, zone modérée.

Oui, il faut garder une mesure sur A : sa gravité reste 4. Même peu vraisemblable, la compromission d’un compte d’administration peut atteindre tous les systèmes. La règle de prudence du cours s’applique : un risque de gravité 4 n’est jamais laissé sans protection (ici : double authentification, compte d’administration distinct du compte de bureautique, journalisation des connexions).

Piège

Ne confonds pas « criticité faible » et « risque disparu ». Les mesures font baisser la vraisemblance ; elles doivent être maintenues (mises à jour, revues) pour que la note reste valable.

Exercice 4

Lire les chiffres de la menace

Calcul et analyse

Document — Extraits de deux publications officielles

ANSSI, panorama de la cybermenace 2025 (publié le 11/03/2026) : 3 586 événements de sécurité traités ; 1 366 incidents (1 361 en 2024) ; 128 compromissions par rançongiciel ; 196 incidents d’exfiltration de données (130 en 2024).
Cybermalveillance.gouv.fr, rapport d’activité 2025 (publié en mars 2026) : plus de 504 000 demandes d’assistance (+ 20 %) ; menaces des entreprises et associations : piratage de compte 21 %, hameçonnage 16 %, fraude au virement 13,5 %, rançongiciel 8,1 %, violation de données 6,6 % des parcours d’assistance.

Calcule l’évolution, en pourcentage, du nombre d’incidents traités par l’ANSSI et du nombre d’exfiltrations entre 2024 et 2025.
Calcule la part des exfiltrations et celle des rançongiciels dans les incidents de 2025.
Calcule la part totale des trois premières menaces des professionnels selon cybermalveillance.gouv.fr. Que remarques-tu sur leur nature ?
Lucas écrit dans son rapport : « En 2025, il y a eu en France 1 366 + 504 000 = 505 366 cyberattaques. » Explique pourquoi cette phrase est fausse.
Rédige deux phrases utilisables dans la note à Gwenaëlle Le Bihan pour justifier la vraisemblance du risque R2 (hameçonnage puis piratage d’un compte de réception).

Voir le corrigé détaillé

a) Formule : évolution = (valeur 2025 − valeur 2024) ÷ valeur 2024.

Incidents : (1 366 − 1 361) ÷ 1 361 = + 0,37 % : stabilité.
Exfiltrations : (196 − 130) ÷ 130 = + 50,77 % : forte hausse.

b) Exfiltrations : 196 ÷ 1 366 = 14,35 % des incidents. Rançongiciels : 128 ÷ 1 366 = 9,37 %.

c) 21 + 16 + 13,5 = 50,5 % des parcours d’assistance des professionnels. Ces trois menaces exploitent surtout la crédulité des personnes et la faiblesse des mots de passe (comptes protégés par un seul mot de passe, réutilisé ou volé), bien plus que des failles techniques complexes. La sensibilisation et la double authentification y répondent directement.

d) La phrase additionne deux grandeurs différentes et en tire une conclusion qu’aucune ne permet :

les 1 366 incidents sont ceux traités par l’ANSSI, surtout pour des administrations et des organisations importantes ;
les 504 000 sont des demandes d’assistance sur cybermalveillance.gouv.fr, majoritairement de particuliers ; une demande n’est pas forcément une attaque réussie, et une même victime peut faire plusieurs démarches ;
les deux périmètres peuvent se recouper, et beaucoup de victimes ne signalent rien.

On ne connaît donc pas « le nombre de cyberattaques en France ». Il faut citer chaque chiffre avec sa source, sa date et ce qu’il compte.

e) Exemple de rédaction : « D’après le rapport 2025 de cybermalveillance.gouv.fr (publié en mars 2026), le piratage de compte (21 %) et l’hameçonnage (16 %) sont les deux premières menaces signalées par les entreprises et associations. Nos réceptions reçoivent régulièrement de tels courriels, dont un nouvel exemple le 13 octobre : nous estimons donc ce risque quasi certain à l’échelle d’une année (vraisemblance 4). »

Exercice 5

Les besoins de sécurité des applications

Analyse

Sarah Cherif prépare, pour Anaïs Lecoq, l’expression des besoins de sécurité des actifs liés aux applications de Kervanet.

Informations recueillies auprès de Kervanet :

Interventions de KerMaint : les techniciens consultent et clôturent leurs interventions sur tablette ; en cas de panne, ils peuvent noter sur papier pendant une demi-journée, au-delà les urgences (chauffage, ascenseur) sont mal suivies ; les durées servent à facturer certaines prestations aux propriétaires des résidences.
Comptes de fidélité de « Kervanet & Moi » : nom, courriel, téléphone, solde de points, historique des séjours ; les points ont une valeur d’achat ; l’application peut être indisponible une journée sans grave conséquence.
Journal des connexions à l’API KerResa : il enregistre, pour chaque appel, la plateforme, le jeton utilisé, l’heure et l’opération ; il a servi en septembre à prouver à une plateforme partenaire qu’elle avait elle-même annulé 14 réservations contestées.
Grille tarifaire (prix par chambre et par date) : publiée en partie sur le site, mais la stratégie de prix par période et par plateforme n’est connue que de la direction ; une erreur de prix est appliquée immédiatement à toutes les réservations en ligne.

Pour chacun des quatre actifs, propose un niveau de besoin (1 à 4) en disponibilité, intégrité, confidentialité et preuve, en justifiant chaque niveau par une conséquence tirée des informations ci-dessus.
Ces quatre actifs sont-ils des actifs essentiels ou des actifs supports ? Cite deux actifs supports qui les portent.
Pourquoi Sarah doit-elle faire valider ces niveaux par Gwenaëlle Le Bihan ?

Voir le corrigé détaillé

a) Proposition (à un niveau près, si la justification tient) :

Actif	D	I	C	P	Justifications
Interventions de KerMaint	3	3	2	2	D 3 : au-delà d’une demi-journée, les urgences sont mal suivies (interruption supportable de quelques heures) ; I 3 : les durées servent à facturer, une erreur non détectée crée un litige ; C 2 : informations internes sans caractère sensible ; P 2 : savoir qui a clôturé est utile, sans être exigé par un tiers
Comptes de fidélité	2	3	4	3	D 2 : une journée d’indisponibilité est supportable ; I 3 : les points ont une valeur d’achat, un solde faux est une perte ou un litige ; C 4 : données personnelles de nombreux clients, une fuite engage la responsabilité de Kervanet ; P 3 : il faut pouvoir retracer l’usage des points en cas de contestation
Journal des connexions à KerResa	2	4	3	4	D 2 : son indisponibilité n’arrête pas les réservations, s’il continue d’enregistrer ; I 4 : un journal modifiable ne prouve rien ; C 3 : il contient les jetons et des informations commerciales sur les partenaires ; P 4 : il a servi à prouver la responsabilité d’un partenaire, la preuve doit être opposable à un tiers
Grille tarifaire	3	4	3	3	D 3 : sans tarifs, pas de vente en ligne ; I 4 : une erreur s’applique immédiatement à toutes les réservations en ligne ; C 3 : la stratégie de prix n’est connue que de la direction (une partie des prix est publique, d’où 3 et non 4) ; P 3 : il faut savoir qui a changé un prix

Piège

Le journal des connexions a un besoin de disponibilité modeste mais un besoin de preuve et d’intégrité maximal : les critères sont indépendants. Un journal qu’un administrateur peut modifier sans trace perd toute valeur de preuve (protection des journaux : B3-07).

b) Ce sont des actifs essentiels (informations ou activités utiles au métier). Actifs supports qui les portent : la VM KV-KERMAINT et sa base MariaDB ; l’API KerResa et ses serveurs ; l’application mobile « Kervanet & Moi » ; les tablettes des techniciens ; les comptes des développeurs ; le réseau et le VPN des sites. (Deux suffisent.)

c) Les besoins de sécurité traduisent des enjeux métier (coût d’un arrêt, valeur des points, sensibilité des tarifs) que seul le responsable de l’organisation connaît et assume. Le prestataire propose, le client valide : c’est aussi ce qui fonde la responsabilité de chacun et le budget des mesures.

Exercice 6

Des services détournés

Analyse

Caractérise chacune des trois situations suivantes en suivant la méthode du cours : service et usage normal, source et objectif, mode opératoire, vulnérabilité exploitée, critères DICP atteints, conséquences pour Kervanet et pour les tiers, piste de mesure (avec le chapitre où elle est étudiée).

Wi-Fi des clients (SISR). Un client de l’hôtel Kervanet Remblai utilise le Wi-Fi des clients pour télécharger des films protégés et attaquer un site de jeux en ligne. Quelques semaines plus tard, l’opérateur de Kervanet transmet une demande d’identification portant sur l’adresse publique de l’hôtel.
API KerResa (SLAM). Un vendredi soir de juillet, un programme automatisé crée 640 réservations « en attente de paiement » sur les hôtels de La Rochelle et de Royan, avec de fausses identités. Les chambres sont bloquées pendant 30 minutes chacune, puis libérées et aussitôt réservées à nouveau.
Formulaire de demande de séminaire du site web (SLAM). En une nuit, 9 000 demandes arrivent par le formulaire seminaire.php, avec des liens vers des sites douteux dans le champ « message ». La commerciale de Kervanet ne retrouve plus les vraies demandes.

Voir le corrigé détaillé

a) Wi-Fi des clients (SISR)

Élément	Analyse
Service et usage normal	accès Internet offert aux clients de l’hôtel, par un portail captif
Source et objectif	un client ; objectif personnel (contenus gratuits) puis malveillant (attaque d’un site tiers)
Mode opératoire	utilisation de la connexion de l’hôtel, qui apparaît sur Internet sous l’adresse publique de Kervanet
Vulnérabilité	absence de filtrage des usages (ports, protocoles de partage) ; si les connexions ne sont pas journalisées, impossibilité de retrouver l’auteur
Critères atteints	preuve (imputabilité de la connexion) ; disponibilité possible (adresse placée sur liste noire, débit saturé pour les autres clients)
Conséquences	pour les tiers : ayants droit lésés, site attaqué ; pour Kervanet : demande d’identification, mise en cause possible, atteinte à l’image
Piste de mesure	journaliser les connexions du portail captif (qui, quand, quelle adresse interne) avec une durée de conservation encadrée ; filtrer certains protocoles ; isoler le Wi-Fi (déjà fait) — B3SISR-02, et obligations de conservation en CEJMA-10

b) API KerResa (SLAM)

Élément	Analyse
Service et usage normal	création de réservations par le site web, l’application et les plateformes partenaires
Source et objectif	attaquant inconnu, concurrent ou personne cherchant à nuire ; objectif : empêcher Kervanet de vendre un soir de forte demande (ou revendre des chambres bloquées)
Mode opératoire	robot qui crée en boucle des réservations « en attente de paiement » avec de fausses identités, renouvelées dès leur libération
Vulnérabilité	absence de limite du nombre de réservations par client, par adresse ou par jeton ; absence de contrôle anti-robot ; délai de blocage sans paiement
Critères atteints	disponibilité du stock de chambres (l’API répond, mais le service rendu, vendre, est bloqué) ; intégrité des données (fausses réservations)
Conséquences	ventes perdues un vendredi soir de juillet (haute saison) ; clients qui réservent ailleurs ; nettoyage de la base
Piste de mesure	limitation du débit par source et par jeton, contrôle anti-robot à la création, réduction du délai de blocage, alerte sur un volume anormal — B3SLAM-02, B3SLAM-04

c) Formulaire de demande de séminaire (SLAM)

Élément	Analyse
Service et usage normal	formulaire public par lequel une entreprise demande un devis de séminaire
Source et objectif	robot de diffusion de messages indésirables ; objectif : publier des liens (référencement de sites douteux, hameçonnage)
Mode opératoire	envoi automatique de milliers de formulaires remplis
Vulnérabilité	aucun contrôle anti-robot, aucune limite par adresse, champ « message » sans filtrage des liens
Critères atteints	disponibilité du service commercial (les vraies demandes sont noyées), intégrité de la base `demande_seminaire`
Conséquences	demandes réelles perdues ou traitées en retard, temps de tri, risque qu’un salarié clique sur un lien piégé
Piste de mesure	contrôle anti-robot, limite de fréquence, validation et filtrage des champs, suppression en lot des fausses demandes — B3SLAM-02

À retenir

Dans les trois cas, le service fonctionne normalement : c’est son usage qui est détourné. La vulnérabilité est presque toujours une absence de limite (débit, quantité, contrôle d’identité) ou de trace.

Exercice 7

Un rançongiciel sur le serveur de fichiers

Calcul et analyse

Un mardi de novembre (basse saison), un rançongiciel chiffre le serveur de fichiers KV-FIC du siège de Kervanet (940 Go de données). Les copies de la sauvegarde chez Vellacor, à Niort, sont intactes ; la dernière date de la nuit précédente. La restauration passe par le tunnel VPN entre le siège et Vellacor, au débit utile de 200 Mbit/s. L’objectif de reprise (RTO) fixé pour KV-FIC est de 8 h. Avant la restauration, l’analyse, le nettoyage et les contrôles prennent 4 h.

Hypothèses de coût :

30 salariés administratifs perdent la moitié de leur productivité pendant 14 h de travail, à un coût horaire chargé de 30 € ;
intervention de Vellacor hors forfait : 20 h à 90 € HT ;
analyse de l’attaque par un prestataire spécialisé : 4 500 € HT ;
données de la journée perdues : 1 h de ressaisie pour chacun des 30 salariés, à 30 € de l’heure.

Recense les conséquences de cet incident pour Kervanet, critère par critère (disponibilité, intégrité, confidentialité, preuve), en précisant celles qui sont certaines et celles qui sont seulement possibles.
Calcule la durée du transfert des 940 Go (1 Go = 10⁹ octets), puis la durée totale estimée de l’arrêt. L’objectif de 8 h est-il tenu ?
Lucas avait proposé un serveur de sauvegarde local au siège, KV-PBS, qui permettrait de restaurer au débit utile de 800 Mbit/s. Calcule la nouvelle durée d’arrêt et conclus.
Calcule le coût direct de l’incident. Cite deux coûts indirects non chiffrés.
Les journaux montrent que l’attaquant a copié le dossier « RH » avant de chiffrer. Quelles obligations en découlent pour Kervanet et pour Vellacor ? Réponds en principe et indique les chapitres où ces règles sont détaillées.

Voir le corrigé détaillé

a) Conséquences critère par critère :

Critère	Conséquences certaines	Conséquences possibles
Disponibilité	les documents de gestion du siège sont inaccessibles jusqu’à la restauration ; le travail fait depuis la dernière sauvegarde (la nuit précédente) est perdu	arrêt plus long si la restauration échoue ou si d’autres serveurs sont touchés
Intégrité	les fichiers chiffrés sont inutilisables	fichiers modifiés par l’attaquant avant le chiffrement ; sauvegarde à contrôler avant restauration
Confidentialité	— (pas certaine au départ)	copie des fichiers avant chiffrement (double extorsion) : contrats, documents RH
Preuve	—	journaux effacés par l’attaquant : déroulement de l’attaque difficile à établir

b) Données : 940 Go = 940 × 10⁹ octets ; débit 200 Mbit/s = 200 × 10⁶ bit/s.

Formule : durée (s) = volume (octets) × 8 ÷ débit (bit/s).

Calcul : 940 × 10⁹ × 8 ÷ (200 × 10⁶) = 37 600 s, soit 10,44 h.

Durée totale : 4 + 10,44 = 14,44 h. L’objectif de 8 h n’est pas tenu : il est dépassé de 6,44 h.

c) 940 × 10⁹ × 8 ÷ (800 × 10⁶) = 9 400 s = 2,61 h ; durée totale : 4 + 2,61 = 6,61 h. L’objectif de 8 h est tenu avec 1,39 h de marge ; le transfert est raccourci de 7,83 h. Le serveur local se justifie par la disponibilité ; la copie de Niort reste indispensable comme copie hors site (règle 3-2-1, B1-05).

d) Coût direct :

productivité : 30 × 0,5 × 30 × 14 = 6 300 € ;
intervention de Vellacor : 20 × 90 = 1 800 € ;
analyse de l’attaque : 4 500 € ;
ressaisie : 30 × 1 × 30 = 900 € ;
total : 6 300 + 1 800 + 4 500 + 900 = 13 500 €.

Coûts indirects non chiffrés (deux parmi) : atteinte à l’image auprès des salariés et des partenaires ; hausse de la prime d’assurance ; temps de la direction consacré à la crise ; coût d’une éventuelle publication des données.

e) Les documents RH contiennent des données personnelles : il y a violation de données.

Vellacor, sous-traitant, doit prévenir Kervanet sans tarder.
Kervanet, responsable du traitement, documente la violation et la notifie à la CNIL, si possible dans les 72 heures après en avoir eu connaissance, s’il existe un risque pour les salariés ; si le risque est élevé, elle informe aussi les salariés concernés.
Kervanet peut porter plainte (atteinte à un système de traitement automatisé de données) et chercher de l’aide sur cybermalveillance.gouv.fr.

Règles détaillées : CEJM-14, CEJMA-08, CEJMA-10, B3-02 ; conduite de l’incident : B3-07.

Piège

« Les sauvegardes sont intactes, donc l’incident est réglé. » La sauvegarde rend la disponibilité, pas la confidentialité : des données copiées par l’attaquant restent dans la nature.

Exercice 8

Faut-il investir ?

Calcul et analyse

Gwenaëlle Le Bihan doit choisir les mesures à financer en 2027. Vellacor lui propose trois mesures.

Mesure	Risque visé	Coût annuel	Effet attendu
M1 Double authentification sur la messagerie et le logiciel hôtelier	piratage de compte (3 200 € par incident)	2 400 €	fréquence ramenée de 2 à 0,5 incident par an
M2 Lien 4G/5G de secours dans les 6 sites hors siège	coupure de la fibre d’un site (150 € par heure de coupure)	abonnement 35 € HT par mois et routeur 290 € HT amorti sur 4 ans, par site	sans secours : 1 coupure de 8 h par site et par an ; avec secours : 90 % de cette perte évitée
M3 Campagne annuelle de sensibilisation à l’hameçonnage	piratage de compte (3 200 € par incident)	1 800 €	fréquence ramenée de 2 à 1,2 incident par an

Rappelle la formule de la perte annuelle estimée.
Pour M1 et M2, calcule la perte annuelle sans mesure, avec mesure, la baisse obtenue, le gain net et le rapport entre la baisse et le coût.
Même travail pour M3, prise seule.
On combine M1 et M3 : la double authentification divise la fréquence par 4, et la sensibilisation la multiplie ensuite par 0,6. Calcule la fréquence et le gain net de la combinaison. Vaut-il mieux M1 seule, ou M1 et M3 ? Discute, en tenant compte de ce que le calcul ne mesure pas.
À partir de combien de coupures par site et par an la mesure M2 devient-elle rentable (gain net nul) ?
Quelles limites vois-tu à ces calculs ?

Voir le corrigé détaillé

a) Perte annuelle estimée = coût d’un incident × fréquence annuelle. Une mesure est rentable si la baisse de la perte annuelle dépasse son coût annuel.

b) M1 — double authentification

Sans mesure : 3 200 × 2 = 6 400 € ; avec : 3 200 × 0,5 = 1 600 €.
Baisse : 4 800 € ; gain net : 4 800 − 2 400 = 2 400 € ; rapport : 4 800 ÷ 2 400 = 2,00.

M2 — liens de secours

Coût annuel par site : 35 × 12 + 290 ÷ 4 = 420 + 72,50 = 492,50 € ; pour 6 sites : 2 955 €.
Perte sans mesure : 6 sites × 1 coupure × 8 h × 150 € = 7 200 € ; avec : 7 200 × 10 % = 720 €.
Baisse : 6 480 € ; gain net : 6 480 − 2 955 = 3 525 € ; rapport : 6 480 ÷ 2 955 = 2,19.

c) M3 — sensibilisation : avec la mesure, 3 200 × 1,2 = 3 840 € ; baisse : 6 400 − 3 840 = 2 560 € ; gain net : 2 560 − 1 800 = 760 € ; rapport : 1,42. Rentable, mais moins que M1.

d) Fréquence combinée : 2 ÷ 4 × 0,6 = 0,3 incident par an ; perte : 3 200 × 0,3 = 960 € ; baisse : 6 400 − 960 = 5 440 € ; coût : 2 400 + 1 800 = 4 200 € ; gain net : 1 240 €.

Sur ce seul risque, M1 seule (gain net 2 400 €) est meilleure : ajouter M3 après M1 ne fait baisser la perte que de 1 600 − 960 = 640 € pour 1 800 € de dépense. Mais le calcul ne mesure qu’un risque : la sensibilisation réduit aussi la fraude au virement, le rançongiciel par courriel piégé (R1) et les erreurs de manipulation. Sur l’ensemble des risques, la combinaison se défend. La décision appartient à la direction, éclairée par ces deux lectures.

e) On cherche le nombre n de coupures par site et par an tel que la baisse égale le coût : 6 × n × 8 × 150 × 0,90 = 2 955, d’où n = 2 955 ÷ 6 480 = 0,456. Dès qu’on attend environ une coupure tous les deux ans par site, la mesure est rentable. La coupure de Royan en août 2026 rend cette hypothèse réaliste.

f) Limites : les fréquences et l’efficacité des mesures sont des estimations (il faut les présenter comme des ordres de grandeur) ; les coûts indirects (image, clients perdus) ne sont pas comptés, ce qui sous-estime l’intérêt des mesures ; un événement rare mais grave (gravité 4) n’est pas bien représenté par une moyenne ; les mesures agissent souvent sur plusieurs risques à la fois.

Exercice 9

Une étude EBIOS Risk Manager

Analyse

Vellacor anime une étude EBIOS RM avec Kervanet. Lors des réunions, Sarah a noté pêle-mêle les éléments suivants.

« Prendre des réservations en ligne, jour et nuit. »
« L’API KerResa et sa base de données. »
« Le guide d’hygiène informatique de l’ANSSI est appliqué à 70 % ; les écarts sont listés. »
« Un groupe cybercriminel qui cherche à obtenir une rançon. »
« Un concurrent qui veut connaître la politique tarifaire. »
« Les plateformes partenaires de réservation et le prestataire Vellacor ont des accès à KerResa. »
« Fuite du fichier des clients de la fidélité » (gravité 3).
« Le groupe cybercriminel compromet le prestataire, puis utilise ses accès pour chiffrer les serveurs de Kervanet. »
« Courriel piégé à un technicien de Vellacor → vol de son mot de passe → connexion à l’outil de prise de main → déploiement du rançongiciel ; vraisemblance 2. »
« Double authentification sur tous les comptes d’administration de Vellacor ; accès cloisonnés par client ; risque résiduel accepté par la direction le 30/11/2026. »
« Le fichier des clients de la fidélité. »
« La messagerie et les comptes d’administration des techniciens de Vellacor. »

Classe chaque élément dans l’atelier où il est produit (1 à 5) et nomme la notion d’EBIOS RM correspondante (valeur métier, bien support, socle de sécurité, source de risque et objectif visé, partie prenante, événement redouté, scénario stratégique, scénario opérationnel, mesure ou risque résiduel).
Rédige un second scénario stratégique pour le couple « concurrent / connaître la politique tarifaire », en passant par une partie prenante.
Pourquoi l’élément 8 concerne-t-il directement Vellacor, et quelles mesures Vellacor peut-elle prendre chez elle pour réduire ce risque chez tous ses clients ?

Voir le corrigé détaillé

Élément	Atelier	Notion
1. Prendre des réservations en ligne	1	valeur métier
2. API KerResa et sa base	1	bien support
3. Guide d’hygiène appliqué à 70 %, écarts listés	1	socle de sécurité (et ses écarts)
4. Groupe cybercriminel / rançon	2	source de risque / objectif visé
5. Concurrent / politique tarifaire	2	source de risque / objectif visé
6. Plateformes partenaires et Vellacor	3	parties prenantes de l’écosystème
7. Fuite du fichier des clients (gravité 3)	1	événement redouté
8. Compromission du prestataire puis chiffrement	3	scénario stratégique
9. Courriel piégé → … → rançongiciel, vraisemblance 2	4	scénario opérationnel
10. Double authentification, cloisonnement, risque résiduel accepté	5	mesures de traitement et risque résiduel
11. Fichier des clients de la fidélité	1	valeur métier (information essentielle)
12. Messagerie et comptes d’administration de Vellacor	1 (puis 4)	biens supports (chez une partie prenante)

b) Exemple : « Un concurrent, pour connaître la politique tarifaire de Kervanet, obtient d’une plateforme partenaire de réservation (partie prenante), par un salarié indélicat ou par un compte piraté, le jeton d’accès de cette plateforme à l’API KerResa ; il interroge ensuite l’API en se faisant passer pour elle et aspire toutes les grilles de prix. Événement redouté : divulgation de la stratégie tarifaire (atteinte à la confidentialité). »

c) Vellacor est une partie prenante qui dispose d’accès d’administration chez Kervanet : la compromettre ouvre le chemin vers son client. C’est une attaque par la chaîne d’approvisionnement, qui menace en même temps les autres clients de Vellacor. Mesures chez Vellacor : double authentification sur tous les comptes d’administration et sur l’outil de prise de main ; comptes d’administration distincts par client (cloisonnement) ; postes d’administration dédiés ; journalisation et revue des connexions aux clients ; sensibilisation des techniciens ; sauvegardes de ses propres systèmes hors ligne. Ces mesures protègent tous les clients à la fois.

Exercice 10

Entraînement E7 : la cartographie des risques de Kervanet

Entraînement E7

Extrait d’étude de cas (durée conseillée : 1 h 15). Contexte SISR. Barème indicatif sur 20 : mission 1, 5 points ; mission 2, 9 points ; mission 3, 6 points.

Contexte. Tu es Lucas Ferrandi, alternant en BTS SIO option SISR chez Vellacor Services Numériques, prestataire d’infogérance de Kervanet Hôtels & Résidences. Gwenaëlle Le Bihan, directrice administrative et financière de Kervanet, doit présenter au comité de direction du 15 novembre 2026 une cartographie des risques informatiques et un budget de sécurité pour 2027. Julien Maréchal, ton tuteur, te confie la préparation du dossier.

ADossier documentaire

Document 1 — Kervanet en bref (octobre 2026)

7 établissements sur la côte atlantique (370 chambres ou logements), siège à La Rochelle ; environ 140 salariés permanents, 210 en saison ; une 8e résidence ouvrira à La Tranche-sur-Mer au printemps 2027.
Siège : 2 hyperviseurs, contrôleurs de domaine, serveur de fichiers KV-FIC (940 Go de données), téléphonie IP, serveur de KerMaint ; sauvegarde chaque nuit vers Vellacor (Niort) par un tunnel VPN au débit utile de 200 Mbit/s ; copie hors site à Poitiers et copie hors ligne mensuelle.
Chaque site : pare-feu, VPN IPsec vers le siège, Wi-Fi des clients isolé avec portail captif ; seul le siège dispose d’un lien Internet de secours 4G/5G.
Applications : logiciel de gestion hôtelière en ligne (éditeur externe) ; API de réservation KerResa (disponibilité garantie 99,5 % par mois) ; KerMaint.
Environ 38 000 fiches clients actives. Vellacor est sous-traitant de Kervanet pour les données personnelles.
Objectifs de reprise : KV-FIC 8 h ; KerMaint 4 h ; coût d’une heure de coupure d’un site (réception en mode dégradé) : 150 €.

Document 2 — Extrait du journal des incidents 2026

Date	Incident	Durée ou effet
22/08	Fibre du site de Royan coupée par des travaux de voirie ; routeur 4G/5G de dépannage apporté par Vellacor	193 min d’indisponibilité du VPN de Royan en août
07/10	KerMaint en erreur sur tous les sites : disque saturé par un journal de débogage resté actif après une mise à jour	1 h 15
10/10	Logiciel hôtelier indisponible aux Sables-d’Olonne : panne chez l’éditeur	4 h 50
13/10	Courriel imitant l’extranet d’une plateforme de réservation reçu par 26 adresses des réceptions : 3 clics, 1 saisie d’identifiants (Royan) ; mot de passe réinitialisé et sessions fermées le jour même (VEL-2026-4396)	aucune connexion frauduleuse trouvée au 16/10

Document 3 — Échelles de Vellacor

Gravité : 1 mineure, 2 significative, 3 grave, 4 critique. Vraisemblance : 1 peu vraisemblable, 2 vraisemblable, 3 très vraisemblable, 4 quasi certain. Criticité = gravité × vraisemblance. Zones : 1 à 3 faible (accepter et surveiller) ; 4 et 6 modéré (réduire dans l’année) ; 8 et 9 élevé (réduire dans les trois mois) ; 12 et 16 critique (traiter immédiatement, direction informée). À criticité égale, le risque le plus grave passe en premier.

Document 4 — Risques présélectionnés par Julien Maréchal

Code	Risque	G	V
R1	Rançongiciel chiffrant les serveurs du siège après un courriel piégé	4	3
R2	Coupure de la fibre d’un site hors siège	2	3
R3	Piratage du compte d’un réceptionniste après hameçonnage	3	4
R4	Usage illicite du Wi-Fi des clients par un client	2	2
R5	Panne du logiciel hôtelier chez l’éditeur	2	2

Document 5 — Chiffres de la menace

ANSSI, panorama de la cybermenace 2025 (11/03/2026) : 1 366 incidents traités, 128 compromissions par rançongiciel, 196 exfiltrations (130 en 2024) ; exploitation rapide des vulnérabilités des équipements exposés sur Internet. Cybermalveillance.gouv.fr, rapport 2025 (mars 2026) : premières menaces des entreprises et associations : piratage de compte (21 %), hameçonnage (16 %), fraude au virement (13,5 %).

Document 6 — Cadre juridique (résumé)

RGPD : le responsable du traitement et son sous-traitant prennent des mesures de sécurité adaptées au risque ; une violation de données présentant un risque pour les personnes est notifiée à la CNIL, si possible dans les 72 heures, par le responsable du traitement ; le sous-traitant prévient le responsable du traitement sans tarder.
Directive NIS 2 (UE 2022/2555) : vise les entités au moins moyennes (50 salariés ou plus, ou chiffre d’affaires et bilan supérieurs à 10 M€) de 18 secteurs listés en annexes I et II (dont la gestion des services TIC interentreprises, mais pas l’hôtellerie). Au 20/10/2026, la loi française de transposition n’est pas publiée : le projet de loi est en cours d’examen au Parlement.
Code pénal : l’accès ou le maintien frauduleux dans un système, son entrave et la modification frauduleuse de ses données sont des délits.

Document 7 — Mesures chiffrées par Vellacor

Mesure	Coût annuel
Lien 4G/5G de secours dans les 6 sites hors siège (abonnement 35 € HT par mois et routeur 290 € HT amorti sur 4 ans, par site)	à calculer
Serveur de sauvegarde local `KV-PBS` au siège (restauration au débit utile de 800 Mbit/s)	2 100 €
Double authentification sur la messagerie et le logiciel hôtelier	2 400 €

BTravail à faire

Mission 1 — Les besoins et les incidents (5 points)

1.1 Pour les actifs essentiels « réservations », « documents de gestion du siège » et « accès des clients au Wi-Fi », propose un niveau de besoin (1 à 4) en disponibilité, intégrité, confidentialité et preuve, en justifiant brièvement à partir du dossier.

1.2 Pour chacun des quatre incidents du document 2, indique le critère atteint et s’il relève de la sécurité ou de la sûreté. Explique pourquoi l’incident du 13/10 doit malgré tout figurer dans l’analyse, alors qu’il n’a encore causé aucun dommage connu.

Mission 2 — L’analyse des risques (9 points)

2.1 Rédige le risque R4 sous la forme d’une phrase complète (source, menace, vulnérabilité, actif, impact) et indique le critère principalement en jeu.

2.2 Calcule la criticité des cinq risques du document 4, indique leur zone et classe-les.

2.3 Recense les conséquences d’une réalisation de R1 sur KV-FIC (disponibilité, confidentialité, preuve) et calcule la durée de l’arrêt avec la restauration actuelle (4 h d’analyse et de contrôles avant restauration, puis transfert de 940 Go). Fais le même calcul avec KV-PBS, et conclus au regard de l’objectif de reprise.

2.4 Pour R2, on retient une coupure de 8 h par site hors siège et par an, et 90 % de la perte évitée par un lien de secours. Calcule le coût annuel de la mesure, la perte annuelle sans et avec la mesure, et le gain net.

2.5 Propose une option de traitement pour chacun des cinq risques, en une ligne chacun.

Mission 3 — Le cadre juridique et la note de synthèse (6 points)

3.1 Kervanet et Vellacor sont-elles soumises à la directive NIS 2 en octobre 2026 ? Raisonne pour chacune, puis indique en quoi la directive peut quand même concerner Vellacor.

3.2 Si l’attaque R1 s’accompagnait d’une copie des fiches clients, quelles obligations auraient Kervanet et Vellacor, et quels organismes publics pourraient-elles solliciter ?

3.3 Rédige, pour Gwenaëlle Le Bihan, une note de 10 à 15 lignes qui présente les deux risques prioritaires, les mesures recommandées pour 2027 avec leur coût, et le risque résiduel à accepter.

Voir le corrigé détaillé

Corrigé indicatif : les niveaux de besoin et les options de traitement admettent d’autres réponses justifiées ; les calculs n’en admettent qu’une.

AMission 1 — Les besoins et les incidents

1.1 (2,5 points)

Actif essentiel	D	I	C	P	Justification (document)
Réservations	4	4	3	3	disponibilité garantie à 99,5 % par mois et réservations jour et nuit (doc. 1) ; une réservation fausse crée un litige ; données de clients ; il faut retracer qui a créé ou annulé
Documents de gestion du siège	2	3	3	2	objectif de reprise de 8 h (doc. 1) : interruption d’une journée au plus ; documents RH et contrats, réservés à certains salariés
Accès des clients au Wi-Fi	2	1	2	3	service de confort, dégradé sans arrêt de l’hôtel ; la preuve compte pour retrouver l’auteur d’un usage illicite (R4)

1.2 (2,5 points)

Incident	Critère atteint	Périmètre
22/08 fibre de Royan	disponibilité	sûreté (accident de travaux)
07/10 KerMaint disque saturé	disponibilité	sûreté (erreur d’exploitation)
10/10 logiciel hôtelier des Sables	disponibilité	sûreté (panne chez un tiers, l’éditeur)
13/10 courriel imitant une plateforme	confidentialité visée (identifiants), puis potentiellement tous	sécurité (hameçonnage)

L’incident du 13/10 doit figurer dans l’analyse, car il prouve que la menace est active contre Kervanet : il justifie une vraisemblance élevée du risque R3, même sans dommage connu. Une analyse de risques porte sur ce qui peut arriver, pas seulement sur ce qui est arrivé ; et la tentative a failli réussir : un identifiant a bien été saisi, seule la réaction rapide a évité le piratage du compte.

BMission 2 — L’analyse des risques

2.1 (1,5 point) « Un client de l’hôtel (source) utilise la connexion Wi-Fi mise à sa disposition pour télécharger des contenus illicites ou attaquer un site tiers (menace : usage illicite d’un service) ; faute de journalisation suffisante des connexions du portail captif et de filtrage (vulnérabilité), les actes sont rattachés à l’adresse publique de l’hôtel (actif support : Wi-Fi des clients ; actif essentiel : accès Internet des clients, réputation de Kervanet) ; Kervanet reçoit une demande d’identification sans pouvoir désigner l’auteur et voit sa responsabilité ou son image mise en cause (impact). » Critère principal : preuve (imputabilité).

2.2 (2 points)

Rang	Code	G	V	Criticité	Zone
1	R1 rançongiciel	4	3	12	critique
2	R3 piratage de compte	3	4	12	critique
3	R2 coupure de fibre	2	3	6	modéré
4	R4 usage illicite du Wi-Fi	2	2	4	modéré
4	R5 panne du logiciel hôtelier	2	2	4	modéré

R1 passe avant R3 à criticité égale, car sa gravité est plus forte (règle du document 3). R4 et R5 sont à égalité parfaite.

2.3 (2,5 points) Conséquences de R1 sur KV-FIC :

disponibilité : documents du siège inaccessibles pendant la restauration ; travail depuis la dernière sauvegarde perdu ;
confidentialité : copie possible des documents RH et des contrats avant chiffrement (double extorsion), avec obligation de notification si des données personnelles sont touchées ;
preuve : journaux possiblement effacés, analyse de l’attaque plus difficile.

Durée avec la restauration actuelle : transfert = 940 × 10⁹ × 8 ÷ (200 × 10⁶) = 37 600 s = 10,44 h ; arrêt = 4 + 10,44 = 14,44 h > 8 h : objectif non tenu.

Avec KV-PBS : transfert = 940 × 10⁹ × 8 ÷ (800 × 10⁶) = 9 400 s = 2,61 h ; arrêt = 4 + 2,61 = 6,61 h ≤ 8 h : objectif tenu, avec 1,39 h de marge.

Conclusion : pour 2 100 € par an, KV-PBS rend l’objectif de reprise atteignable ; la copie hors site de Niort et la copie hors ligne restent nécessaires contre un sinistre ou un attaquant qui atteindrait le serveur local.

2.4 (2 points)

Coût annuel de la mesure : (35 × 12 + 290 ÷ 4) × 6 = 492,50 × 6 = 2 955 €.
Perte annuelle sans mesure : 6 × 8 × 150 = 7 200 €.
Perte avec mesure : 7 200 × 10 % = 720 €.
Gain net : 7 200 − 720 − 2 955 = 3 525 € par an.

La mesure est rentable même avec une hypothèse prudente ; la coupure de Royan (193 min en août) montre que le risque est réel.

2.5 (1 point)

Risque	Option de traitement
R1	réduire (sauvegarde locale `KV-PBS`, sauvegardes hors ligne testées, sensibilisation, droits réduits) et transférer une partie (assurance cyber)
R3	réduire (double authentification, sensibilisation des réceptions)
R2	réduire (lien 4G/5G de secours dans chaque site)
R4	réduire (journalisation des connexions du portail captif, filtrage)
R5	transférer (convention de niveau de service de l’éditeur) et accepter le reste avec le mode dégradé papier

CMission 3 — Le cadre juridique et la note de synthèse

3.1 (2 points)

Kervanet : environ 140 salariés, donc au moins une entreprise moyenne ; mais l’hôtellerie ne figure pas dans les 18 secteurs des annexes (doc. 6). Elle n’est pas concernée en principe.
Vellacor : son activité (infogérance) relève de la gestion des services TIC interentreprises (annexe I), mais avec 26 salariés (et 2,48 M€ de chiffre d’affaires) c’est une petite entreprise : pas concernée en principe.
En toute hypothèse, en octobre 2026, la loi française de transposition n’est pas publiée : les obligations ne s’appliquent pas encore directement.
Effet indirect pour Vellacor : ses clients soumis à NIS 2 (établissements de santé, collectivités, entreprises de secteurs critiques) devront maîtriser la sécurité de leur chaîne d’approvisionnement et lui imposeront des exigences contractuelles (double authentification, notification des incidents, audits). Se préparer est un argument commercial.

3.2 (1,5 point) La copie des fiches clients est une violation de données personnelles. Vellacor, sous-traitant, prévient Kervanet sans tarder ; Kervanet, responsable du traitement, notifie la CNIL, si possible dans les 72 heures, et informe les clients si le risque pour eux est élevé ; elle documente l’incident. Organismes : CNIL (notification), cybermalveillance.gouv.fr (assistance, mise en relation avec des prestataires), police ou gendarmerie (plainte pour atteinte à un système de traitement automatisé de données) ; l’ANSSI et le CERT-FR publient alertes et guides (Kervanet n’étant pas une entité régulée, son interlocuteur d’assistance est d’abord cybermalveillance.gouv.fr).

3.3 (2,5 points) Exemple de note :

À : Gwenaëlle Le Bihan, directrice administrative et financière — De : Lucas Ferrandi, Vellacor — Objet : risques informatiques prioritaires et budget 2027

Notre analyse retient deux risques critiques (criticité 12 sur 16). Le premier est un rançongiciel sur les serveurs du siège : aujourd’hui, restaurer le serveur de fichiers prendrait environ 14 h 30, au-delà de l’objectif de 8 h. Le second est le piratage du compte d’un réceptionniste après un courriel piégé : ces courriels visent déjà nos réceptions (13 octobre), et le piratage de compte est la première menace signalée par les entreprises en 2025 (cybermalveillance.gouv.fr).

Nous recommandons pour 2027 : la double authentification sur la messagerie et le logiciel hôtelier (2 400 € par an) ; un serveur de sauvegarde local au siège, qui ramène la reprise à environ 6 h 40 (2 100 € par an) ; un lien de secours dans les six sites hors siège (2 955 € par an), qui évite environ 6 480 € de pertes annuelles estimées. Total : 7 455 € par an.

Il restera un risque résiduel : un attaquant déterminé, ou une panne simultanée de plusieurs liens, reste possible. Nous vous proposons de l’accepter formellement et d’étudier une assurance cyber. Kervanet n’est pas soumise à la directive NIS 2, mais le RGPD l’oblige à protéger les données de ses 38 000 clients par des mesures adaptées : cette analyse en constitue la justification.

Total des mesures : 2 400 + 2 100 + 2 955 = 7 455 € par an.

Astuce

Une note à une direction : une idée par paragraphe, des montants, une décision demandée. Pas de sigle technique sans explication, pas de détail de configuration.

Prêt pour le quiz ?

10 questions pour vérifier que tout est acquis.

Faire le quiz