Chapitre 114 minDébutant
La cybersécurité et les critères DICP
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- définir la disponibilité, l'intégrité, la confidentialité et la preuve ;
- dire quel critère DICP un incident atteint ;
- évaluer les besoins de sécurité d'une ressource sur une échelle de 1 à 4 ;
- traduire un taux de disponibilité en temps d'arrêt ;
- situer le bloc 3 et l'épreuve E7 dans le BTS SIO.
4 exercices corrigés1 schéma
La cybersécurité est l'ensemble des mesures techniques, organisationnelles et humaines qui protègent un système d'information contre les attaques et les erreurs. Elle se mesure avec quatre critères, résumés par le sigle DICP : disponibilité, intégrité, confidentialité et preuve. Ce chapitre définit ces critères, montre comment évaluer le besoin de sécurité d'une ressource et situe le bloc 3 du BTS SIO.
C'est quoi la cybersécurité ?
Une organisation fonctionne grâce à son système d'information (SI) : les données (clients, commandes, salaires, dossiers techniques), les applications qui les traitent, les serveurs, le réseau, les postes de travail, et les personnes qui s'en servent. La cybersécurité, ou sécurité des systèmes d'information (SSI), protège tout cet ensemble.
Elle ne se limite pas à la technique. Un pare-feu parfaitement réglé ne sert à rien si une comptable donne son mot de passe à un faux technicien au téléphone. On distingue donc trois familles de mesures :
| Famille | Exemples |
|---|---|
| Techniques | Pare-feu, antivirus, chiffrement, sauvegardes, authentification multifacteur, mises à jour |
| Organisationnelles | Politique de sécurité, procédure d'arrivée et de départ des salariés, gestion des droits, plan de reprise |
| Humaines | Sensibilisation, formation, charte informatique, exercices de faux hameçonnage |
Tout au long du cours, tu suivras Soléane, une entreprise fictive qui distribue du matériel médical : 140 salariés sur deux sites (Lyon et Grenoble), un annuaire Active Directory, un serveur de fichiers, une messagerie, un ERP, et un extranet développé en interne où les pharmacies et les cliniques passent leurs commandes. Soléane traite des données personnelles de clients et de salariés, et quelques données de santé (les prescriptions jointes à certaines commandes).
Les quatre critères DICP
Chaque ressource du SI a des besoins de sécurité. On les exprime selon quatre critères.
Disponibilité. La ressource est accessible et utilisable par les personnes autorisées, au moment où elles en ont besoin. L'extranet de Soléane doit répondre pendant les heures de commande ; s'il tombe, les cliniques commandent ailleurs.
Intégrité. L'information est exacte et complète : elle n'a pas été modifiée ou détruite, ni par erreur ni par malveillance, sans que cela se voie. Si un attaquant modifie l'IBAN d'un fournisseur dans l'ERP, les virements partent chez lui.
Confidentialité. Seules les personnes autorisées peuvent prendre connaissance de l'information. Le fichier des salaires ne doit être lisible que par le service des ressources humaines et la direction.
Preuve (ou traçabilité). On peut retrouver qui a fait quoi et quand, et la personne ne peut pas nier l'avoir fait (non-répudiation). Si une commande de 40 000 € est contestée, Soléane doit pouvoir montrer quel compte l'a passée, à quelle heure et depuis quelle adresse.
DIC, DICP, DICT, CIA : les mêmes idées
Tu rencontreras plusieurs sigles. Ils désignent la même démarche.
| Sigle | Sens | Où tu le croises |
|---|---|---|
| DIC | Disponibilité, intégrité, confidentialité | Le référentiel du BTS SIO (« garantir la disponibilité, l'intégrité et la confidentialité ») |
| DICP | DIC + preuve | La plupart des cours et des sujets français |
| DICT | DIC + traçabilité | Certaines méthodes d'analyse de risques d'entreprise |
| CIA | Confidentiality, Integrity, Availability | Les normes et la documentation en anglais |
Le référentiel du BTS SIO cite les trois premiers critères dans l'intitulé de la compétence, qui demande aussi d'organiser la collecte et la conservation des preuves numériques ; la compétence « Préserver l'identité numérique » parle de preuve électronique. Retiens les quatre.
Un incident peut toucher plusieurs critères
Beaucoup d'attaques font tomber plusieurs critères à la fois. L'exemple type est le rançongiciel (chapitre 4) :
- il chiffre les fichiers, qui deviennent illisibles : atteinte à la disponibilité ;
- il copie souvent les données avant de les chiffrer, pour faire chanter la victime : atteinte à la confidentialité ;
- il efface parfois les sauvegardes et les journaux : atteinte à l'intégrité et à la preuve.
| Incident chez Soléane | D | I | C | P |
|---|---|---|---|---|
| Une panne de climatisation arrête la salle serveur pendant six heures | X | |||
| Un commercial perd une clé USB non chiffrée contenant le fichier clients | X | |||
| Un stagiaire supprime par erreur un dossier du serveur de fichiers | X | X | ||
| Un pirate modifie les prix dans la base de l'extranet | X | |||
| Un compte administrateur partagé par trois techniciens supprime des comptes clients | X | X | ||
| Une attaque par déni de service sature l'extranet | X |
Dans l'avant-dernière ligne, le compte partagé empêche de savoir quel technicien a agi : c'est une atteinte à la preuve, en plus de l'intégrité. C'est l'une des raisons pour lesquelles chaque administrateur doit avoir son propre compte nominatif.
Évaluer les besoins de sécurité d'une ressource
Toutes les ressources n'ont pas les mêmes besoins. Le site vitrine de Soléane peut s'arrêter une journée sans drame ; l'ERP qui prépare les livraisons, non. Pour décider où mettre les efforts, on évalue chaque besoin sur une échelle, le plus souvent de 1 à 4.
| Niveau | Disponibilité | Intégrité | Confidentialité | Preuve |
|---|---|---|---|---|
| 1 | Une interruption de plusieurs jours est acceptable | Des erreurs sont tolérables | Information publique | Aucune trace nécessaire |
| 2 | Interruption acceptable sur une journée | Les erreurs doivent être détectées et corrigées | Diffusion limitée à l'organisation | Traces utiles mais non exigées |
| 3 | Interruption de quelques heures au plus | Les données doivent être exactes | Diffusion restreinte à un service ou à un groupe | Traces exigées, conservées |
| 4 | Aucune interruption ou presque | Aucune altération tolérée | Diffusion très restreinte (secret) | Traces probantes, horodatées, non modifiables |
On applique cette grille à chaque actif important (on dit aussi bien support quand on parle des serveurs, logiciels et réseaux qui portent l'information) :
| Ressource de Soléane | D | I | C | P | Justification |
|---|---|---|---|---|---|
| Extranet de commande | 4 | 4 | 3 | 3 | Le chiffre d'affaires en dépend ; prix et quantités doivent être exacts ; contient des données clients |
| Fichier des salaires | 2 | 4 | 4 | 3 | Peut attendre un jour, mais une erreur ou une fuite est grave |
| Site vitrine | 2 | 3 | 1 | 1 | Informations publiques ; une défiguration nuit à l'image |
| Journaux d'authentification | 2 | 4 | 3 | 4 | Ils servent de preuve en cas d'incident |
| Messagerie | 3 | 3 | 3 | 2 | Outil de travail quotidien, échanges internes et avec les clients |
Cette évaluation n'est pas une formalité : elle justifie les mesures. Un besoin de disponibilité de niveau 4 appelle une redondance, une supervision et un plan de reprise ; un besoin de confidentialité de niveau 4 appelle du chiffrement et des droits très restreints. À l'E7, quand une question demande de « justifier » une mesure, rattache-la au besoin qu'elle protège.
Disponibilité : traduire un pourcentage en temps d'arrêt
Les contrats de service (SLA, Service Level Agreement) expriment souvent la disponibilité en pourcentage sur un an. Le calcul est simple : une année compte 365 × 24 = 8 760 heures.
| Disponibilité garantie | Indisponibilité maximale par an |
|---|---|
| 99 % | 87,6 heures, soit environ 3 jours et demi |
| 99,5 % | 43,8 heures |
| 99,9 % | 8,76 heures, soit environ 8 h 46 min |
| 99,99 % | 52,56 minutes |
Deux autres indicateurs reviennent dès qu'on parle de disponibilité :
- le RTO (Recovery Time Objective, durée maximale d'interruption admissible) : le temps qu'on s'autorise pour redémarrer le service ;
- le RPO (Recovery Point Objective, perte de données maximale admissible) : jusqu'à quel moment dans le passé on accepte de perdre des données. Avec une sauvegarde chaque nuit à 22 h, une panne à 17 h fait perdre jusqu'à 19 heures de saisie.
Le cours Sauvegarde et PRA détaille ces notions ; le chapitre 4 les applique au rançongiciel.
Les outils qui protègent chaque critère
| Critère | Mesures typiques |
|---|---|
| Disponibilité | Sauvegardes testées, redondance (RAID, grappe de serveurs, double lien Internet), onduleur, supervision, plan de reprise, protection contre le déni de service |
| Intégrité | Droits en écriture limités, contrôles de saisie, empreintes (hachage) pour vérifier un fichier, signature numérique, transactions en base de données, sauvegardes |
| Confidentialité | Authentification, gestion des droits (moindre privilège), chiffrement des données stockées et des échanges (HTTPS, VPN), verrouillage des postes |
| Preuve | Comptes nominatifs, journalisation horodatée et centralisée, signature électronique, horodatage qualifié |
Tu remarques qu'une même mesure sert parfois plusieurs critères : la sauvegarde protège la disponibilité (on redémarre) et l'intégrité (on retrouve la version saine). Une empreinte (hash) prouve qu'un fichier n'a pas changé : c'est un outil d'intégrité, pas de confidentialité. Le hachage et le chiffrement sont détaillés dans le cours Sécurité des applications.
La sécurité dans le référentiel du BTS SIO
Le bloc 3 du BTS SIO s'intitule « Cybersécurité des services informatiques ». L'arrêté du 8 juillet 2024 (sessions 2025 et suivantes) lui donne cinq compétences ; les quatre premières sont communes aux deux options :
- Protéger les données à caractère personnel.
- Préserver l'identité numérique de l'organisation.
- Sécuriser les équipements et les usages des utilisateurs.
- Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques.
- En SISR : assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service. En SLAM : assurer la cybersécurité d'une solution applicative et de son développement.
Ce cours couvre les compétences 2, 3 et 4, et renvoie au cours Droit et RGPD pour la compétence 1. La cinquième compétence, propre à chaque option, est traitée dans Cybersécurité infrastructure (SISR) et Sécurité des applications (SLAM).
Comment la cybersécurité est évaluée : l'épreuve E7
Le bloc 3 est évalué par l'épreuve E7 « Cybersécurité des services informatiques » (unité U7) : un écrit de 4 heures, coefficient 4. Chaque option a son propre sujet. D'après le texte de l'arrêté, c'est une étude de cas construite à partir d'une situation réelle, composée de plusieurs dossiers et accompagnée d'un dossier documentaire qui décrit le contexte de l'organisation, ses solutions, ses moyens, le cadre juridique et les besoins exprimés.
Jusqu'à la session 2024, cette même épreuve s'appelait E6 (U6) : les sujets des sessions 2022 à 2024 restent d'excellents entraînements. Le déroulement de l'épreuve, la méthode et les annales classées par thème sont dans le cours de ton option : Épreuve E7 SLAM ou Épreuve E7 SISR. Pour la liste des notions qui tombent le plus, lis Quoi réviser pour l'E7 SLAM ou pour l'E7 SISR.
Les critères DICP structurent presque toutes les copies : identifier le critère atteint, mesurer l'impact, proposer une mesure qui le protège. Le chapitre 12 te fait pratiquer ce raisonnement sur des cas complets.
Pour aller plus loin. Le chapitre Les besoins DICP du cours Analyse de risques montre comment on évalue ces besoins ressource par ressource, avec des échelles chiffrées.
Exercices
Exercice 1 sur 4 Quel critère est touché ? Réussi À revoir
Pour chaque incident, indique le ou les critères DICP atteints et justifie en une phrase.
- Un salarié de Soléane laisse sa session ouverte ; un visiteur lit des fiches clients à l'écran.
- Un attaquant remplace le RIB d'un fournisseur dans l'ERP.
- Le lien Internet du site de Grenoble est coupé pendant une journée.
- Un développeur a déployé l'extranet avec un compte de base de données partagé par toute l'équipe ; des lignes de commande ont été supprimées, et personne ne sait par qui.
- Un rançongiciel chiffre le serveur de fichiers après en avoir copié le contenu.
Voir la réponseMasquer la réponse de l'exercice 1
- Confidentialité : le visiteur voit des données sans y être autorisé ; rien n'est modifié ni bloqué.
- Intégrité : une donnée a été modifiée sans autorisation. Les paiements partent chez l'attaquant.
- Disponibilité : les ressources ne sont plus accessibles depuis Grenoble.
- Intégrité (des lignes ont disparu) et preuve (le compte partagé empêche d'identifier l'auteur).
- Disponibilité (fichiers chiffrés) et confidentialité (copie des données avant chiffrement).
Tu avais trouvé ?
Exercice 2 sur 4 Évaluer des besoins Réussi À revoir
Évalue de 1 à 4 les besoins DICP de ces deux ressources de Soléane et justifie chaque note la plus élevée.
- Le planning partagé des congés de l'équipe informatique.
- La base des prescriptions médicales jointes aux commandes.
Voir la réponseMasquer la réponse de l'exercice 2
Plusieurs réponses sont acceptables si elles sont justifiées. Une proposition :
- D 2, I 2, C 2, P 1. Une indisponibilité d'une journée ne bloque rien ; les données ne sortent pas de l'équipe mais ne sont pas secrètes.
- D 3, I 4, C 4, P 4. Ce sont des données de santé, une catégorie particulière de données personnelles (article 9 du RGPD) : une fuite est très grave (C 4), une prescription modifiée peut conduire à livrer le mauvais matériel (I 4), et il faut pouvoir prouver qui a consulté ou modifié chaque prescription (P 4).
Tu avais trouvé ?
Exercice 3 sur 4 Calculer une indisponibilité Réussi À revoir
L'hébergeur de l'extranet garantit une disponibilité de 99,8 % sur l'année.
- Quelle durée d'arrêt maximale cela autorise-t-il sur un an ?
- Soléane estime qu'une heure d'arrêt de l'extranet lui coûte 3 000 € de commandes perdues. Quel est le coût maximal des arrêts tolérés par ce contrat ?
Voir la réponseMasquer la réponse de l'exercice 3
- 0,2 % de 8 760 heures : 8 760 × 0,002 = 17,52 heures, soit 17 h 31 min environ.
- 17,52 × 3 000 = 52 560 € par an. C'est un argument chiffré pour négocier un engagement plus élevé ou prévoir une solution de repli.
Tu avais trouvé ?
Exercice 4 sur 4 Le compte partagé Réussi À revoir
L'équipe informatique de Soléane utilise un seul compte « admin » pour administrer les serveurs. Explique quel critère DICP cette pratique fragilise et propose une mesure.
Voir la réponseMasquer la réponse de l'exercice 4
Elle fragilise surtout la preuve : les journaux montrent que « admin » a agi, mais pas quel technicien. En cas d'erreur ou de malveillance, personne n'est responsable. Elle fragilise aussi la confidentialité : le mot de passe circule entre plusieurs personnes et n'est jamais changé quand l'une d'elles part.
Mesure : un compte d'administration nominatif par technicien (par exemple adm-jdupont), distinct de son compte de travail quotidien, avec journalisation des actions. Le compte « admin » d'origine est désactivé ou son mot de passe placé sous séquestre.
Tu avais trouvé ?