Chapitre 1112 minIntermédiaire
Sujets et annales E7 SLAM 2022 à 2026 classés par thème
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- retrouver les sujets officiels de l'E7 SLAM et leurs corrections ;
- repérer les thèmes qui tombent à chaque session ;
- organiser ton entraînement sur les annales.
1 exercice corrigé
Les annales de l'E7 SLAM sont les sujets officiels des sessions passées : neuf sujets de 2022 à 2026, en métropole et en Nouvelle-Calédonie, tous téléchargeables gratuitement. Les sujets 2022 à 2024 portent le code U6, celui de l'épreuve avant la renumérotation de 2025 ; leur contenu reste représentatif. Ce chapitre les liste, classe leurs questions par thème et propose un plan pour t'entraîner avec.
Où trouver les sujets
Le réseau Certa, site de ressources pour les enseignants du BTS SIO, publie les sujets officiels en accès libre (rubrique « Sujets d'examen », catégorie « Cybersécurité des services informatiques »). Les corrigés officiels y sont réservés aux enseignants. Ce site propose deux corrigés détaillés : ce sont des propositions de correction, pas des documents officiels.
| Session | Cas | Unité | Correction sur ce site |
|---|---|---|---|
| 2026, métropole | NDV (code 26SI7SLAM) | U7 | les questions types sont traitées dans les chapitres 6 et 7 |
| 2025, Nouvelle-Calédonie | Puces'in | U7 | — |
| 2025, Nouvelle-Calédonie | Kirassur | U7 | les questions types sont traitées dans les chapitres 8 et 9 |
| 2025, métropole | Casterman (code 25SI7SLAM) | U7 | corrigé U7 2025 Casterman |
| 2024, métropole | GSIC | U6 | corrigé U6 2024 GSIC |
| 2023, Nouvelle-Calédonie | Yak | U6 | — |
| 2023, métropole | Lama Zoo | U6 | — |
| 2022, Nouvelle-Calédonie | Denas | U6 | — |
| 2022, métropole | Easy2Drive | U6 | — |
Les sujets en un coup d'œil
| Sujet | Contexte | Dossiers (points) |
|---|---|---|
| 2026, NDV | une agence digitale fait évoluer son intranet et reprend le site d'un cabinet d'architectes | A. Évolutions de l'intranet en matière de sécurité (42) ; B. Reprise et sécurisation du site d'un client (38) |
| 2025, Casterman | l'éditeur d'un progiciel de gestion éditoriale renforce sa sécurité et ouvre sa base aux partenaires | A. Analyse des risques (15) ; B. Sécurisation du progiciel (26) ; C. Droits et accès à la base (23) ; D. Mise en ligne de la base et accès (16) |
| 2025, Kirassur | la filiale informatique d'un assureur lutte contre la fraude, ouvre des API aux partenaires et journalise les accès | A. Événements redoutés (20) ; B. Ouverture du SI aux partenaires (35) ; C. Journalisation et alertes (25) |
| 2024, GSIC | un service départemental d'incendie et de secours met en place une authentification unique | A. Préparation du SSO (20) ; B. Mise en place du SSO (35) ; C. Sécurité d'une application mobile (25) |
| 2023, Lama Zoo | un parc zoologique refond ses habilitations et sécurise son site Web | A. Refonte des habilitations (30) ; B. Sécurisation du recueil des avis (20) ; C. Sécurisation du parrainage d'animaux (30) |
| 2023, Yak | une agence de voyages confie à un prestataire la sécurité de son application de gestion et la fusion des bases de ses deux sites | A. Authentification et habilitations de l'application Holy (30) ; B. Fusion des bases de données (35) ; C. Amélioration de la sécurité des applications Web (15) |
| 2022, Easy2Drive | une plateforme de formation au code de la route, utilisée par 6 000 auto-écoles, tire les conclusions d'un audit de sécurité | A. Sécurisation de l'application de formation en ligne (30) ; B. Prise en compte des conclusions de l'audit de sécurité (25) ; C. Mise en œuvre de contre-mesures dans la gestion des avis (25) |
| 2022, Denas | un groupe d'électronique aéronautique développe une application de demande de pièces de rechange pour les compagnies aériennes | A. Participation à l'atelier d'analyse de risque (12) ; B. Amélioration de l'authentification (26) ; C. Validation des demandes client (24) ; D. Envoi des données de demande au PGI, le progiciel de gestion intégré (18) |
Les questions classées par thème
Ce tableau croise les sept familles de questions de ce cours avec les cinq sujets les plus récents. Chaque case renvoie aux questions concernées.
| Thème | 2023 Lama Zoo | 2024 GSIC | 2025 Casterman | 2025 Kirassur | 2026 NDV |
|---|---|---|---|---|---|
| Risques et menaces | force brute, sensibilisation (A.1) ; risques de l'absence d'authentification (A.2) ; hameçonnage (C.1) | divulgation d'identifiants (B1.1) ; scénario justifiant un chiffrement (B1.4) | niveaux DICP de récits utilisateurs (A1.1) ; rançongiciel (A2.1, A2.2) | événement redouté, contrôle par déclencheur (A1.1) | scénario de risque d'un acteur interne contre lequel le chiffrement protège (A2.3) |
| RGPD et droit | infractions (C.2) ; pseudonymisation d'un tableau d'honneur (C.6) | objectif de la traçabilité (A1.1) ; charte opposable (B1.2) ; données sensibles (B1.3) ; biométrie (C1.2) | violation : qui informer, quel registre (A2.3) | jetons et données personnelles (B1.3) ; obligations après une violation (B2.3) | données personnelles et sensibles (A2.1) ; chiffrement, obligation ou recommandation (A2.2) |
| Habilitations et SQL | modèle d'habilitations (A.4) ; déclencheur d'historisation (A.5) ; transaction (A.6) ; vue et droits (C.5) | vue (A2.1) ; modélisation (A2.2) ; compte et droits (A2.3) ; chiffrement T-SQL (B1.5) | déclencheur d'historique de mots de passe (B2.1) ; évolution de la base (B3.1) ; requêtes d'audit (C2.2, C2.3) | déclencheur de contrôle (A1.2) ; requête d'affichage (A2.1) ; modèle de profils et d'alertes (C2.1) | droits d'un compte MySQL (A1.2) ; chiffrement AES (A2.4, A2.5) ; organisation miroir (A3.1) |
| Code à sécuriser | XSS stocké et filtrage (B.2 à B.4) ; CSRF (C.3) | mot de passe ou code PIN (C1.1) | mots de passe en clair, hachage (B1.1) ; méthode de contrôle des droits (C1.2) ; mot de passe oublié (D3.1) | bonne pratique DAO non respectée (B1.4) | injection SQL (B1.1 à B1.3) ; contrôle d'accès défaillant (B2.1) ; hachage SHA-1 vers Argon2i (B3.1, B3.2) |
| API et jetons | API et liste blanche CSRF (C.4) | API non authentifiée (B2.1) ; invalid_token, getToken (B2.3, B2.4) ; SSO (B3.1) | DELETE et PUT (D1.1) ; contrôle dans l'API (D1.2) ; API publique séparée (D2.1) ; transfert sécurisé d'un PDF de 2 Go (B3.3) | HTTPS, clé d'API, jeton (B1.1 à B1.5) ; énumération de contrats (B2.1) | — |
| Journalisation | — | archivage des journaux, intégrité (A1.2, A1.3) ; journal de connexion mobile, conformité CNIL (C1.3, C1.5, C1.6) | adresse IP dans la trace (C2.1) | journalisation des actions sensibles (C1.1) | filtre des journaux (A1.1) ; analyse des journaux (A1.2) |
| Tests | — | — | cas testés par des tests unitaires (C1.1) | — | tests d'intrusion et charges utiles (B1.1) |
Quatre familles reviennent à chaque session : les risques, le RGPD, les habilitations avec du SQL et le code à sécuriser. L'API et la journalisation apparaissent dans quatre sujets sur cinq. Ce sont tes priorités de révision.
Ce que les sujets 2022 et Yak 2023 ajoutent
Les trois sujets absents du tableau par thème confirment les mêmes familles. Ils valent d'être traités, surtout pour leurs questions de code et de RGPD.
- Easy2Drive (2022) : justifier des niveaux de disponibilité, d'intégrité, de confidentialité et de preuve pour des récits utilisateurs (A.1.1) ; des cookies non conformes et des données personnelles (A.2.1, A.2.2) ; un mot de passe initial envoyé par courriel et une politique de mots de passe à rendre conforme à la CNIL (A.3.1, A.3.2) ; un déclencheur mal implémenté (B.1.2) ; une base de traces RGPD, avec la création d'un compte MySQL et sa permission (B.2.1 à B.2.3) ; la durée de conservation des traces et le document qui la consigne (B.2.4) ; une injection SQL qui contourne un contrôle (C1.3).
- Denas (2022) : les quatre critères pour deux cas d'utilisation, des impacts et des mesures (A1.1 à A2.3) ; chiffrer ou hacher les mots de passe, et le rôle du sel (B1.1, B1.2) ; une requête préparée (B2.1) ; l'authentification à deux facteurs par mot de passe à usage unique et la journalisation des connexions (B3.1 à B3.3) ; la valeur juridique d'un échange électronique (C1.1) ; une requête d'audit et un déclencheur (C2.1, C2.2) ; une API REST en Java, le contrôle des données reçues par expressions régulières et un test unitaire (D1.1 à D2.2).
- Yak (2023) : les règles de nommage et la Javadoc (A1.1, A1.2) ; la complexité des mots de passe et une méthode
modifierMdp(A2.1, A2.2) ; un test unitaire (A3.1) ; un scénario de risque sur l'absence de restriction d'accès au menu (A3.2) ; le recueil et la preuve du consentement (B1.2 à B1.4) ; une table minimisée pour des statistiques (B1.5) ; la gravité de deux risques, une requête de détection et un déclencheur (B2.1 à B2.3) ; une protection CSRF (C1.1) ; la lecture d'un journal (C2.1) ; les tentatives de connexion et le blocage d'un compte (C2.2, C2.3).
De la question au chapitre
Quand une question d'annale te bloque, retrouve sa notion ici :
| La question parle de… | Chapitre |
|---|---|
| niveaux de besoin, scénario de risque, rançongiciel, hameçonnage, sauvegarde, archivage, PRA | 5. Analyse de risques et RGPD |
| données personnelles ou sensibles, violation, consentement, pseudonymisation, preuve, infractions | 5. Analyse de risques et RGPD |
| habilitations, droits MySQL, vue, déclencheur, chiffrement d'une colonne, requête d'audit, transaction | 6. Habilitations et SQL |
| injection SQL, contrôle d'accès, hachage, mot de passe oublié, politique de mots de passe, XSS, CSRF | 7. Sécuriser du code |
| API REST, codes HTTP, clé d'API, jeton, JWT, SSO, MFA, transfert de fichier | 8. API et authentification |
| journal, traces, alertes, tests unitaires, tests d'intrusion | 9. Journalisation et tests |
| écrire ou compléter une méthode, indiquer des lignes, nommage, Javadoc | 10. Code sur papier |
Ce qui a changé ces dernières sessions
- L'OWASP Top 10 est devenu explicite. En 2026, le sujet fournissait l'extrait du Top Ten 2021 et demandait d'y situer deux failles. Connaître les dix catégories et leur code te fait gagner du temps.
- Le code PHP avec PDO domine. Kirassur et NDV sont presque entièrement en PHP et MySQL ; Java reste présent pour la programmation objet (Casterman).
- Moins de dossiers, plus longs. Le sujet 2026 ne comptait que deux dossiers de 42 et 38 points : chaque dossier enchaîne plusieurs missions de natures différentes (droit, SQL, code).
- Des questions de reconstitution d'attaque. Écrire la requête produite par une charge utile, proposer la charge utile utilisée, trouver comment l'attaquant a obtenu une information : l'E7 te met dans la tête de l'attaquant pour mieux corriger.
Comment t'entraîner avec les annales
| Période | Ce que tu fais | Sujets |
|---|---|---|
| Début de 2e année | lire deux sujets en entier sans les traiter, pour connaître la forme ; repérer les notions que tu ne connais pas | Casterman 2025, NDV 2026 |
| Premier semestre | traiter les sujets dossier par dossier, sans limite de temps, avec le cours ouvert ; corriger chaque réponse | Lama Zoo 2023, GSIC 2024 |
| Deuxième semestre | traiter un sujet complet en 4 heures, sans document ; se corriger avec un camarade | Kirassur 2025, Casterman 2025 |
| Dernier mois | les deux épreuves blanches de ce cours, puis le sujet le plus récent en conditions réelles | épreuve blanche n° 1, n° 2, NDV 2026 |
Garde le sujet le plus récent pour la fin : c'est le plus proche de ce que tu auras.
Exercice
Exercice Ton diagnostic sur les annales Réussi À revoir
Prends le tableau des thèmes ci-dessus. Pour chacune des sept familles, note-toi de 0 à 2 : 0 si tu ne saurais pas répondre, 1 si tu répondrais en partie, 2 si tu es à l'aise. Puis établis ta liste de révision.
Voir la réponseMasquer la réponse de l'exercice
Il n'y a pas de bonne réponse unique : c'est ton diagnostic. Pour bâtir ta liste :
- Les familles à 0 qui tombent chaque année (risques, RGPD, habilitations et SQL, code à sécuriser) passent en premier : ce sont des points garantis le jour J.
- Les familles à 0 qui tombent souvent (API, journalisation) viennent ensuite.
- Les familles à 1 se travaillent sur annales : traite les questions correspondantes du tableau et compare avec les chapitres 5 à 9.
- Les familles à 2 s'entretiennent par une épreuve blanche complète.
Exemple : 0 en API et en journalisation, 1 en SQL, 2 ailleurs. Ordre : chapitre Habilitations et SQL avec les questions SQL des annales, puis API et authentification avec le dossier B de Kirassur, puis Journalisation et tests avec le dossier C de Kirassur, puis une épreuve blanche.
Tu avais trouvé ?