Cybersécurité : les fondamentaux

Questions fréquentes

C'est quoi la cybersécurité au BTS SIO ?

C'est le bloc 3 du diplôme, « Cybersécurité des services informatiques ». Il comporte cinq compétences : protéger les données à caractère personnel, préserver l'identité numérique de l'organisation, sécuriser les équipements et les usages des utilisateurs, garantir la disponibilité, l'intégrité et la confidentialité des services et des données, et une cinquième propre à l'option (l'infrastructure en SISR, l'application en SLAM). Les quatre premières sont communes aux deux options (chapitre 1).

Que signifie DICP ?

DICP désigne les quatre critères de sécurité d'une information : disponibilité (accessible quand on en a besoin), intégrité (exacte, non modifiée sans autorisation), confidentialité (accessible aux seules personnes autorisées) et preuve (on peut retrouver qui a fait quoi, sans contestation possible). On évalue le besoin de chaque ressource sur ces critères, souvent de 1 à 4, pour choisir les mesures qui la protègent (les critères DICP).

Quelle est la différence entre une menace, une vulnérabilité et un risque ?

La menace est ce qui peut causer un incident (un attaquant, un incendie, une erreur) ; la vulnérabilité est la faiblesse qui lui permet d'agir (un logiciel non mis à jour, un mot de passe faible). Le risque est la possibilité qu'une menace exploite une vulnérabilité d'un actif et cause un impact ; son niveau combine la gravité et la vraisemblance. On agit surtout sur les vulnérabilités et les impacts, car on contrôle rarement la menace (analyser les risques).

C'est quoi un rançongiciel et que faire en cas d'attaque ?

Un rançongiciel est un logiciel malveillant qui chiffre les données de la victime et exige une rançon pour les rendre ; il copie souvent les données avant, pour faire chanter la victime. En cas d'attaque : isoler les machines du réseau sans les éteindre, prévenir le support et la direction, ne pas payer, préserver les preuves, porter plainte, se faire assister (17Cyber, CSIRT régional) et notifier la CNIL dans les 72 heures si des données personnelles sont touchées. La vraie protection se prépare avant : des sauvegardes dont une copie hors ligne, testées (chapitre 4).

Comment reconnaître un mail de phishing ?

Vérifie l'adresse réelle de l'expéditeur (pas seulement le nom affiché) et le vrai domaine des liens, qui se lit de droite à gauche, en partant du premier « / » après « https:// ». Méfie-toi de la combinaison urgence, demande inhabituelle (identifiants, virement, changement de RIB) et consigne de discrétion. En cas de doute, vérifie par un autre canal, par exemple en rappelant la personne sur son numéro habituel, et signale le message (hameçonnage et ingénierie sociale).

Quelles sont les recommandations de la CNIL pour les mots de passe ?

Depuis sa recommandation de 2022, la CNIL raisonne en entropie : 80 bits pour un mot de passe seul (par exemple 12 caractères de quatre types, 14 caractères alphanumériques ou une phrase de 7 mots), 50 bits si des tentatives sont limitées, 13 bits avec un matériel détenu par la personne, comme une carte à puce. Elle déconseille le renouvellement périodique forcé pour les comptes ordinaires, recommande un gestionnaire de mots de passe et un stockage haché et salé avec une fonction lente (mots de passe et MFA).

Une charte informatique est-elle obligatoire ?

Aucune loi n'impose de rédiger une charte informatique, mais c'est le document qui fixe les règles d'usage des outils et informe les salariés des contrôles possibles. Pour pouvoir sanctionner un salarié qui ne la respecte pas, elle doit être annexée au règlement intérieur et suivre sa procédure : avis du CSE, transmission à l'inspection du travail, dépôt et affichage. Les contrôles qu'elle annonce doivent rester proportionnés (charte informatique).

Quel est le rôle de l'ANSSI, de la CNIL et de Cybermalveillance.gouv.fr ?

L'ANSSI est l'autorité nationale de cybersécurité : elle protège l'État et les opérateurs sensibles, publie des guides et pilotera NIS 2 ; son CERT-FR publie les alertes de sécurité. La CNIL protège les données personnelles et reçoit les notifications de violations de données. Cybermalveillance.gouv.fr, avec son service 17Cyber, aide les victimes (particuliers, entreprises, collectivités) et les oriente vers des prestataires (les acteurs).

Comment se passe l'épreuve E7 du BTS SIO ?

L'E7 « Cybersécurité des services informatiques » est un écrit de 4 heures, coefficient 4, avec un sujet propre à chaque option. C'est une étude de cas : un contexte d'organisation, un dossier documentaire et plusieurs dossiers de questions, qui mêlent analyse de risques, mesures de sécurité, obligations légales et questions techniques de l'option. Jusqu'à la session 2024, elle s'appelait E6 (U6) : les sujets 2022 à 2024 restent de bons entraînements (cas pratiques type E7).

La directive NIS 2 s'applique-t-elle déjà en France ?

Pas encore. La directive européenne NIS 2 devait être transposée avant le 17 octobre 2024 ; en France, le projet de loi « Résilience » qui la transpose a été adopté par le Sénat en mars 2025, mais son examen en séance à l'Assemblée nationale a été reporté en octobre 2026, et la loi n'était pas promulguée en novembre 2026. L'ANSSI conseille aux entités concernées de se préparer dès maintenant : gestion des risques, signalement des incidents en 24 heures puis 72 heures, implication de la direction (NIS 2).