Analyse de risques à l'E7 : méthode et études de cas corrigées

1. Disponibilité ++ : les voyageurs consultent les horaires au moment de partir, souvent à l'arrêt ; une indisponibilité les empêche d'organiser leur trajet, provoque des cars manqués, des appels au service client et une image dégradée du réseau. Confidentialité 0 : les horaires sont des informations publiques, destinées à être diffusées au plus grand nombre ; leur divulgation n'a aucune conséquence.

2. Une évaluation possible : D ++ : le contrôle se fait dans le car, en temps réel ; si l'application est indisponible, les contrôleurs ne peuvent plus vérifier les titres et la fraude n'est plus détectée. I ++ : un résultat de vérification faux (un titre valide déclaré invalide, ou l'inverse) entraîne une amende injustifiée pour un voyageur ou une fraude non détectée. C + : la vérification affiche des informations personnelles (nom, type d'abonnement, tarif réduit donc statut d'étudiant) que le contrôleur seul doit voir. P ++ : un contrôle peut conduire à un procès-verbal ; en cas de contestation, TransAlpes doit prouver quel contrôleur a contrôlé quel titre, et à quel moment. D'autres niveaux sont acceptés s'ils sont justifiés par le contexte.

3. Preuve ++ : la décision de l'agent ouvre (ou refuse) un droit à un tarif réduit, donc un avantage financier. En cas de contestation d'un étudiant ou de contrôle interne d'une fraude, TransAlpes doit pouvoir prouver quel agent a validé quel justificatif et quand. Il faut donc un compte nominatif par agent et une journalisation fiable des décisions.

4. R1 : G3 × V3 → élevé. R3 : G2 × V2 → moyen.

5. Une gravité G3 (grave) se justifie : des faux titres circulent, les recettes de billetterie baissent, et si la technique se diffuse sur les réseaux sociaux, la fraude devient massive ; les contrôleurs ne peuvent plus se fier aux codes QR, ce qui désorganise le contrôle. Une réponse en G4 est acceptable si elle argumente sur l'ampleur possible de la fraude et la perte de recettes. Niveau : G3 × V2 → moyen (G4 × V2 → élevé).

6. Scénario : un étudiant curieux ou un individu malveillant, inscrit sur l'application, observe que l'API sert les justificatifs par une adresse du type /api/justificatifs/1043. Il modifie le numéro et constate que l'API renvoie le document sans vérifier qu'il lui appartient (contrôle d'accès défaillant, faille IDOR). Un script lui permet de télécharger tous les certificats de scolarité. Événement redouté : divulgation de données personnelles des étudiants (identité, établissement, date de naissance). Impacts : violation à notifier à la CNIL, risque de sanction, usurpation d'identité possible pour les étudiants, atteinte à l'image de TransAlpes.

Mesures (deux parmi) : vérifier côté serveur, à chaque requête, que le justificatif appartient à l'utilisateur connecté (ou que l'utilisateur est un agent commercial habilité), sinon répondre 403 ; utiliser des identifiants non prévisibles (UUID) en complément, jamais à la place du contrôle ; journaliser les accès aux justificatifs et alerter sur un volume anormal ; tests automatisés d'accès croisé avant chaque mise en production ; supprimer les justificatifs après vérification (minimisation).

7. C'est une violation de données personnelles (accès non autorisé). TransAlpes, responsable du traitement, doit : notifier la CNIL dans les 72 heures après en avoir pris connaissance, car la violation est susceptible d'engendrer un risque pour les étudiants ; informer les étudiants concernés si le risque est élevé, ce qui est défendable ici (2 400 personnes, documents d'identité exploitables pour une usurpation) ; documenter la violation dans le registre des violations ; et corriger la faille. L'ESN, sous-traitant, doit aider TransAlpes et l'avoir alertée sans délai.

8. C'est l'option éviter : on supprime la cause du risque (le stockage de certificats de scolarité). Solution : vérifier le statut d'étudiant par un service tiers ou par une attestation numérique vérifiable, sans conserver le document, ou ne conserver que le résultat de la vérification (« étudiant jusqu'au 31 août ») et supprimer le justificatif dès la décision. C'est aussi l'application du principe de minimisation du RGPD.

1. Disponibilité 4 : le WMS pilote toute la préparation des commandes ; sans lui, les trois entrepôts ne savent plus quoi préparer ni où trouver les marchandises : les livraisons s'arrêtent dans l'heure, avec des pénalités et des clients perdus. Confidentialité 2 : il contient des informations commerciales (clients, volumes, adresses de livraison) et quelques données personnelles, utiles à un concurrent mais pas sensibles ; un usage interne suffit, avec des accès limités aux personnes concernées. Un niveau 3 en confidentialité est acceptable s'il est justifié par la sensibilité commerciale des contrats clients.

2. Source de risque : un groupe cybercriminel qui cherche à extorquer une rançon, motivé par la dépendance d'un logisticien à son informatique (il paie vite pour reprendre). Vulnérabilités : VPN protégé par un simple mot de passe, sans second facteur ; sauvegardes sur un NAS joint au domaine et accessible en permanence ; probablement un réseau peu segmenté. Biens supports : le VPN, l'Active Directory, les serveurs (WMS, fichiers), le NAS. Scénario : l'attaquant obtient le mot de passe d'un commercial (hameçonnage, réutilisation d'un mot de passe ayant fuité), entre par le VPN, prend le contrôle d'un compte administrateur, chiffre les serveurs et le NAS. Événement redouté : arrêt de la préparation et de la livraison des commandes sur les trois sites, sans possibilité de restaurer. Impacts : livraisons arrêtées, pénalités contractuelles, clients perdus, coûts de reconstruction, éventuelle divulgation des données volées.

3. Gravité G3 au minimum : une semaine d'arrêt du WMS arrête les trois entrepôts, ce qui correspond à « plusieurs sites arrêtés, plus de deux jours de retard » (pénalités, clients perdus). G4 se défend si l'on montre que l'arrêt devient durable et menace la survie : sans sauvegarde exploitable, l'exemple du concurrent (trois semaines d'arrêt) montre que la semaine peut s'allonger, et les clients chargeurs se tournent vers d'autres logisticiens. Vraisemblance V3 (très vraisemblable) : un VPN sans second facteur est une porte d'entrée classique des rançongiciels ; le secteur est ciblé, comme le montre l'attaque du concurrent ; les sauvegardes accessibles depuis le domaine n'offrent aucun recours.

4. Trois mesures parmi :

• Second facteur obligatoire sur le VPN : un mot de passe volé ne suffit plus → vraisemblance.
• Une copie des sauvegardes déconnectée ou immuable, avec des identifiants hors du domaine et une restauration testée : on peut repartir sans payer → gravité.
• Segmentation du réseau et filtrage entre les zones (VPN, serveurs, postes, Wi-Fi des entrepôts, administration) : la propagation est freinée → vraisemblance (l'attaquant atteint plus difficilement les serveurs) et gravité (moins de systèmes touchés).
• Acceptées aussi : correctifs de sécurité appliqués rapidement sur le VPN et les serveurs (vraisemblance), EDR sur les serveurs et postes (vraisemblance et détection), comptes d'administration dédiés et non utilisés pour la navigation ou la messagerie (vraisemblance).

5. Une interruption maximale de 24 heures impose : des sauvegardes assez récentes pour que la perte de données soit acceptable (au moins quotidiennes, plus fréquentes si une journée de saisie perdue est trop coûteuse) ; une copie hors d'atteinte d'un rançongiciel ; une procédure de restauration documentée ; et surtout des tests de restauration réguliers qui prouvent qu'on remet le WMS en service en moins de 24 heures, matériel de remplacement compris. Si la restauration complète dure plus longtemps, il faut une solution de secours (serveur de reprise, réplication). Le cours Sauvegarde et PRA détaille ces calculs.

6. Preuve : impossible de savoir lequel des trois techniciens a fait une action (pas d'imputabilité). Confidentialité et intégrité : un compte partagé, aux droits maximaux, est plus exposé (mot de passe connu de plusieurs personnes, rarement changé) et donne accès à tout. Mesure : un compte nominatif par technicien, avec les seuls droits nécessaires (moindre privilège), un second facteur, un accès ouvert à la demande et journalisé ; une clause de sécurité dans le contrat d'infogérance.

7. Une réponse nuancée est attendue. Par sa taille (220 salariés, 38 millions d'euros de chiffre d'affaires), Logistique Saône est une entreprise moyenne au sens de la directive, donc assez grande pour être visée. Mais son activité ne l'est probablement pas directement : pour la route, le secteur des transports de NIS 2 vise les autorités routières chargées de la gestion du trafic et les exploitants de systèmes de transport intelligents, pas le transport routier de marchandises ni l'entreposage en tant que tels ; le texte de transposition et l'ANSSI préciseront le périmètre. Elle peut en revanche être concernée indirectement : si ses clients sont des entités NIS 2 (un industriel de l'agroalimentaire ou de la chimie, par exemple), ils devront sécuriser leur chaîne d'approvisionnement et pourront lui imposer des exigences par contrat. Enfin, au 1er novembre 2026, la loi de transposition n'est pas encore adoptée en France. Dans tous les cas, s'y préparer est raisonnable : analyse de risques, second facteur, sauvegardes, procédure de gestion des incidents.