Sécurité de l'information : triade CIA, risques et continuité

Économie d'entreprise · Bachelor 3

Confidentialité, intégrité, disponibilité, analyse de risques, mesures et plan de continuité.

Introduction

L'information est un actif stratégique : fichiers clients, plans de fabrication, données financières. La sécurité de l'information vise à protéger cet actif selon trois propriétés regroupées dans la triade CIA : confidentialité (seuls les ayants droit y accèdent), intégrité (les données ne sont pas altérées sans autorisation) et disponibilité (les données sont accessibles quand on en a besoin).

La démarche est fondée sur le risque : on identifie les actifs, les menaces et les vulnérabilités, on estime la probabilité et l'impact, puis on choisit des mesures proportionnées. Ces mesures sont techniques (chiffrement, pare-feu, authentification multifacteur, sauvegardes) mais aussi organisationnelles (politiques, formation, séparation des tâches), car l'erreur humaine reste une cause majeure d'incidents.

Ce deck présente la triade CIA, l'analyse de risques, les familles de mesures, la sauvegarde et le plan de continuité, ainsi que le cadre de management de la norme ISO/IEC 27001.

Objectifs d'apprentissage

Définir confidentialité, intégrité et disponibilité avec un exemple chacun
Conduire une analyse de risques simple (menace, vulnérabilité, impact)
Distinguer mesures techniques, organisationnelles et physiques
Expliquer sauvegarde, RTO et RPO dans un plan de continuité
Situer la norme ISO/IEC 27001 comme système de management

Concepts clés

Triade CIA: Confidentialité, intégrité, disponibilité. Une attaque par rançongiciel touche surtout la disponibilité, une fuite de données la confidentialité, une falsification de facture l'intégrité.
Analyse de risques: Le risque combine la probabilité d'une menace exploitant une vulnérabilité et l'impact sur l'actif. Il se traite par réduction, transfert (assurance), acceptation ou évitement.
Défense en profondeur: Superposer plusieurs couches de protection (physique, réseau, poste, application, données, humain) pour qu'une défaillance unique ne suffise pas.
Gestion des accès: Principe du moindre privilège, authentification multifacteur, séparation des tâches et revue régulière des droits, notamment lors des départs.
Continuité d'activité: Le RTO est la durée maximale tolérable d'interruption ; le RPO est la perte de données maximale acceptable, qui détermine la fréquence des sauvegardes.

Conclusion

La sécurité de l'information relève de la gestion des risques avant d'être un sujet technologique. Il s'agit de protéger confidentialité, intégrité et disponibilité par des mesures proportionnées, testées et connues du personnel.

Retenez la triade CIA, la logique de risque, le moindre privilège, la règle 3-2-1 et les notions de RTO et RPO.

Cartes

Que recouvre la triade CIA ?: Confidentialité, intégrité, disponibilité des informations.
Donnez un exemple d'atteinte à l'intégrité.: Modification frauduleuse d'un IBAN dans une facture fournisseur.
Quelle propriété un rançongiciel attaque-t-il principalement ?: La disponibilité : les données sont chiffrées et inaccessibles.
Qu'est-ce que le phishing ?: Une tentative d'hameçonnage par message trompeur pour obtenir des identifiants ou faire exécuter une action.
Comment définit-on un risque ?: Combinaison de la probabilité qu'une menace exploite une vulnérabilité et de l'impact sur un actif.
Quelles sont les quatre options de traitement du risque ?: Réduire, transférer, accepter ou éviter.
Que signifie le principe du moindre privilège ?: Chaque utilisateur ne reçoit que les droits strictement nécessaires à sa fonction.
Pourquoi l'authentification multifacteur est-elle efficace ?: Elle combine plusieurs preuves (connaissance, possession, caractéristique), de sorte qu'un mot de passe volé ne suffit plus.
Que mesurent le RTO et le RPO ?: RTO : durée maximale d'interruption tolérée. RPO : quantité maximale de données pouvant être perdue, exprimée en temps.
Que signifie la règle de sauvegarde 3-2-1 ?: Trois copies des données, sur deux supports différents, dont une copie hors site.

Glossaire

Confidentialité: Propriété garantissant que l'information n'est accessible qu'aux personnes autorisées.
Intégrité: Propriété garantissant que l'information n'est pas modifiée de manière non autorisée.
Disponibilité: Propriété garantissant l'accès à l'information et aux systèmes au moment voulu.
Vulnérabilité: Faiblesse d'un système ou d'un processus pouvant être exploitée par une menace.
Plan de continuité: Ensemble de procédures permettant de maintenir ou de rétablir les activités critiques après un incident.
ISO/IEC 27001: Norme internationale décrivant un système de management de la sécurité de l'information.