Cybersécurité des services informatiques

L’essentiel

• Vocabulaire : un actif (essentiel = information ou activité ; support = ce qui la porte) ; une menace, venue d’une source, exploite une vulnérabilité d’un actif support pour atteindre un actif essentiel et cause un impact ; le risque combine gravité et vraisemblance. Un risque s’écrit en phrase : source, menace, vulnérabilité, actif, impact.
• Sécurité (actes malveillants, intentionnels) ≠ sûreté (pannes, erreurs, accidents) ; certaines mesures servent les deux (sauvegarde, redondance).
• DICP : disponibilité, intégrité, confidentialité, preuve (imputabilité, authenticité, non-répudiation, traçabilité). Une confidentialité perdue ne se récupère pas : prévention. Besoins notés de 1 à 4 par actif essentiel, justifiés, validés par le métier, puis reportés sur les actifs supports (ils héritent du besoin le plus élevé). Les critères sont indépendants.
• Impacts : opérationnel, financier, juridique, image et confiance, humain ; ils s’enchaînent. Une attaque touche souvent plusieurs critères : double extorsion (D et C), journaux effacés (P).
• Typologie : risques accidentels, naturels, humains non intentionnels (sûreté) ; malveillants externes, internes (sécurité) ; liés aux tiers, dont l’attaque par la chaîne d’approvisionnement.
• Attaquants : cybercriminels (gain), États (espionnage, sabotage), hacktivistes, opportunistes, internes, concurrents. Déroulement : reconnaissance → accès initial → propagation → action sur l’objectif.
• Menaces fréquentes : piratage de compte, hameçonnage, fraude au virement, rançongiciel, violation de données, déni de service, exploitation de vulnérabilité, défiguration.
• Vulnérabilités : techniques, humaines, organisationnelles, physiques ; identifiant CVE ; réduire la surface d’attaque.
• Chiffres (toujours avec source, date et périmètre ; jamais additionnés) : ANSSI 2025 (publié le 11/03/2026) : 1 366 incidents, 128 rançongiciels, 196 exfiltrations (+ 50,77 %) ; cybermalveillance.gouv.fr 2025 : plus de 504 000 demandes, chez les professionnels piratage de compte 21 %, hameçonnage 16 %.
• Traitement : réduire, transférer (assurance, contrat), éviter, accepter ; il reste un risque résiduel, accepté par écrit par la direction.
• EBIOS Risk Manager (ANSSI) : 5 ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement ; part des missions, inclut l’écosystème, se répète (cycles stratégique et opérationnel).
• Acteurs : ANSSI, CERT-FR, cybermalveillance.gouv.fr, CNIL, police et justice. Droit : RGPD art. 32 (sécurité adaptée) et 33 (notification à la CNIL si possible en 72 h) ; art. 323-1 C. pén. ; NIS 2 : taille et l’un des 18 secteurs ; non transposée en France au 20/10/2026.

Les définitions clés

• Vulnérabilité : faiblesse d’un actif support qu’une menace peut exploiter.
• Sûreté : protection contre les événements non intentionnels.
• Preuve : capacité à établir qui a fait quoi, quand et comment, de façon fiable et opposable.
• Perte annuelle estimée : coût d’un incident × fréquence annuelle.
• Criticité : gravité × vraisemblance (de 1 à 16 avec deux échelles de 1 à 4).

Formules et méthodes

Coût d’un incident = perte d’exploitation (CA perdu par heure × durée) + productivité + remise en état + expertise + rattrapage + gestes + pénalités ; coûts indirects décrits. 5 × 1 170 + 12 × 70 + 25 × 40 = 7 690 €.

Justifier une mesure : baisse de la perte annuelle > coût annuel de la mesure. 3 200 × 2 − 3 200 × 0,5 = 4 800 € ; gain net 4 800 − 2 400 = 2 400 €.

Zones de criticité (Vellacor) : 1 à 3 faible (accepter, surveiller) ; 4 et 6 modéré (réduire dans l’année) ; 8 et 9 élevé (dans les trois mois) ; 12 et 16 critique (immédiatement). À criticité égale, priorité au plus grave ; toujours une mesure pour une gravité 4.

Analyse de risques : cadrer → actifs et besoins DICP → risques en phrases → évaluer G et V → hiérarchiser (matrice, registre) → traiter (responsable, échéance) → accepter le résiduel et suivre.

Caractériser une utilisation malveillante d’un service : usage normal → source et objectif → mode opératoire → vulnérabilité → critères DICP et conséquences → piste de mesure.

En E7 : souligner le verbe → données et échelles du dossier, document cité → phrase de risque ou tableau → données, formule, calcul, résultat, interprétation → recommandation adaptée au destinataire.

Les 3 pièges à éviter

1. Écrire « risque de piratage » au lieu d’une phrase complète, ou confondre menace et vulnérabilité.
2. Additionner gravité et vraisemblance, ou mettre le niveau 4 partout.
3. Présenter NIS 2 comme applicable à toutes les entreprises françaises en 2026, ou croire qu’une assurance supprime le risque.