Chapitre 210 minIntermédiaire
Les compétences du bloc 3 SLAM évaluées à l'E7
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- citer les cinq compétences du bloc 3 SLAM ;
- relier une question de sujet à la compétence qu'elle évalue ;
- utiliser les indicateurs du référentiel comme grille de lecture d'un code ou de droits.
2 exercices corrigés1 schéma
Le bloc 3 du BTS SIO, « Cybersécurité des services informatiques », regroupe cinq compétences pour l'option SLAM : quatre communes aux deux options (données personnelles, identité numérique, équipements et usages, disponibilité, intégrité et confidentialité face aux cyberattaques) et une propre à SLAM, « Assurer la cybersécurité d'une solution applicative et de son développement ». L'E7 les évalue toutes. Ce chapitre donne leurs intitulés exacts, tirés du référentiel, et montre ce que chacune devient dans un sujet.
Le référentiel ne numérote pas ces compétences. Les supports de cours utilisent souvent C3.1 à C3.5, dans l'ordre du tableau ci-dessous. Dans ta copie, inutile de citer un numéro : le correcteur évalue ta réponse, pas ta connaissance de la grille.
Les quatre compétences communes
| Compétence (intitulé du référentiel) | Ce qu'elle recouvre | Ce que ça donne en question |
|---|---|---|
| Protéger les données à caractère personnel | recenser les traitements, identifier les risques liés aux données personnelles, appliquer la réglementation, sensibiliser | « Lister les données à caractère personnel et les données sensibles » (2026) ; « Indiquer qui doit être obligatoirement informé de la violation » (2025) |
| Préserver l'identité numérique de l'organisation | protéger l'identité numérique, déployer les moyens de preuve électronique | « Expliquer l'intérêt d'enregistrer la signature électronique du fichier PDF final » (2025) |
| Sécuriser les équipements et les usages des utilisateurs | informer sur les risques, identifier les menaces, gérer les accès et les privilèges, vérifier l'efficacité de la protection | « Écrire les requêtes permettant de modifier les droits » (2026) ; « citer cinq types d'indices » d'hameçonnage (2023) |
| Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques | caractériser les risques, recenser les conséquences d'une perte de DIC, identifier les obligations légales, organiser la collecte des preuves | « Justifier le niveau du critère de confidentialité du récit utilisateur 1 » (2025) ; « Citer deux impacts d'une attaque par rançongiciel » (2025) |
Les indicateurs de performance du référentiel donnent le niveau d'exigence. Pour la gestion des accès, par exemple, ils sont quatre : « les utilisateurs sont authentifiés ; les habilitations sont configurées ; l'accès aux données est contrôlé ; les privilèges sont restreints ». Ces quatre phrases sont une grille de lecture toute prête pour un extrait de code ou une liste de droits : chaque fois qu'une des quatre manque, tu tiens une faille à nommer.
La compétence propre à SLAM
« Assurer la cybersécurité d'une solution applicative et de son développement » est la compétence qui pèse le plus dans les sujets SLAM : en 2026, presque tout le dossier B (38 points) en relevait. Le référentiel la découpe en six activités.
| Activité (référentiel) | Ce que le correcteur veut voir | Question type |
|---|---|---|
| Participer à la vérification des éléments contribuant à la qualité d'un développement informatique | données normalisées, accès optimisés, code modulaire et robuste, tests effectués | « Expliquer les différents cas testés par les méthodes de test » |
| Prendre en compte la sécurité dans un projet de développement d'une solution applicative | la sécurité pensée dès la conception | « Justifier le choix d'un déclencheur pour réaliser le contrôle » |
| Mettre en œuvre et vérifier la conformité d'une solution applicative et de son développement à un référentiel, une norme ou un standard de sécurité | tu situes une faille dans un référentiel (OWASP) ou une recommandation (CNIL, ANSSI) | « Identifier, dans le projet OWASP Top Ten 2021, la faille de sécurité décelée » |
| Prévenir les attaques | tu proposes et codes la contre-mesure | « Modifier le code pour empêcher les injections SQL » |
| Analyser les connexions (logs) | tu lis un journal et tu en tires des faits | « Indiquer les éléments dans les journaux qui confirment… » |
| Analyser des incidents de sécurité, proposer et mettre en œuvre des contre-mesures | tu reconstitues une attaque et tu la bloques | « Proposer une charge utile qui a pu être utilisée pour vider la table » |
Ses indicateurs sont un mémo de ce que doit vérifier un développeur : « le système d'authentification est conforme aux règles de sécurité », « l'accès aux données respecte les règles de sécurité », « les échanges de données entre applications sont protégés », « les composants utilisés sont certifiés, sécurisés et actualisés », « des tests de sécurité sont prévus et mis en œuvre », « les contre-mesures sont documentées de manière à en assurer le suivi ».
Les savoirs associés à connaître
Le référentiel liste les savoirs mobilisés par le bloc 3. Les voici regroupés par famille, avec le chapitre de ce cours qui les traite.
| Famille | Savoirs du référentiel | Chapitre |
|---|---|---|
| Principes | typologie des risques et leurs impacts ; principes de la sécurité : disponibilité, intégrité, confidentialité, preuve | Analyse de risques et RGPD |
| Droit | données à caractère personnel, rôle de la CNIL ; droit de la preuve électronique ; obligations de notification en cas de faille ; lutte contre la fraude informatique : infractions, sanctions | Analyse de risques et RGPD |
| Accès | authentification, privilèges et habilitations ; gestion des droits d'accès aux données | Habilitations et SQL |
| Code | sécurité des applications Web : risques, menaces et protocoles ; vulnérabilités et contre-mesures sur les problèmes courants de développement | Sécuriser du code |
| Échanges | chiffrement, authentification et preuve ; confidentialité des échanges ; rôle des protocoles | API et authentification |
| Contrôle | outils de contrôle de la sécurité : plans de secours, traçabilité et audit technique ; tests de sécurité | Journalisation et tests |
Ce que chaque sujet récent a évalué
Les compétences ne sont pas évaluées à parts égales. Ce tableau classe les dossiers des deux derniers sujets de métropole selon leur compétence dominante (une question en mobilise souvent plusieurs).
| Dossier | Compétence dominante | Points |
|---|---|---|
| 2025 Casterman, A – atelier d'analyse des risques | garantir la DIC face aux cyberattaques ; données personnelles | 15 |
| 2025 Casterman, B – sécurisation du progiciel | solution applicative ; identité numérique (signature) | 26 |
| 2025 Casterman, C – droits et accès à la base | équipements et usages (habilitations) ; solution applicative (tests, logs) | 23 |
| 2025 Casterman, D – mise en ligne de la base | solution applicative (API) | 16 |
| 2026 NDV, A – évolutions de l'intranet | équipements et usages (droits) ; données personnelles (chiffrement) | 42 |
| 2026 NDV, B – reprise d'un site client | solution applicative (injection, contrôle d'accès, hachage) | 38 |
Conclusion pratique : la compétence propre à SLAM et la gestion des accès font la majorité des points. Les questions de droit et d'analyse de risques sont moins nombreuses, mais rapides à traiter si tu connais les notions : ce sont des points que tu ne peux pas te permettre de laisser.
Pour aller plus loin. Les quatre compétences communes ont chacune leur cours, partagé avec l'option SISR : Cybersécurité : les fondamentaux pour les bases, Droit du numérique et RGPD pour les données personnelles et l'identité numérique, Analyse de risques pour la disponibilité, l'intégrité et la confidentialité ; la compétence propre à SLAM est le sujet du cours Sécurité applicative.
Exercices
Exercice 1 sur 2 Classer des questions par compétence Réussi À revoir
Voici six questions tirées des sujets officiels. Donne, pour chacune, la compétence du bloc 3 la plus mobilisée.
- « Rappeler les critères qui caractérisent une donnée à caractère personnel et une donnée sensible au sens de la CNIL. » (2026)
- « Expliquer l'intérêt d'enregistrer la signature électronique du fichier PDF final, pour Casterman et pour l'imprimeur. » (2025)
- « Écrire les requêtes permettant de modifier les droits pour que l'utilisateur ait seulement les bonnes habilitations. » (2026)
- « Citer deux impacts, sur le système d'information, d'une attaque réussie par rançongiciel. » (2025)
- « Modifier le code exécuté pour empêcher les injections SQL. » (2026)
- « Donner un moyen pour invalider, au niveau d'un réseau, une adresse IP externe ayant un comportement anormal. » (2025, Kirassur)
Voir la réponseMasquer la réponse de l'exercice 1
- Protéger les données à caractère personnel.
- Préserver l'identité numérique de l'organisation (déployer les moyens de preuve électronique).
- Sécuriser les équipements et les usages des utilisateurs (gérer les accès et les privilèges).
- Garantir la disponibilité, l'intégrité et la confidentialité face à des cyberattaques (recenser les conséquences d'une perte de DIC).
- Assurer la cybersécurité d'une solution applicative et de son développement (prévenir les attaques).
- Garantir la DIC face aux cyberattaques, avec une réponse d'infrastructure : une règle de blocage sur le pare-feu. Un sujet SLAM peut contenir une question réseau simple ; la réponse attendue reste courte.
Tu avais trouvé ?
Exercice 2 sur 2 Les quatre indicateurs des accès Réussi À revoir
Une application de gestion de rendez-vous se connecte à sa base avec le compte root. Tous les salariés partagent l'identifiant accueil. N'importe quel salarié connecté peut ouvrir la fiche de n'importe quel patient en changeant l'identifiant dans l'URL. Les droits n'ont jamais été paramétrés : tout le monde voit le menu d'administration.
Pour chacun des quatre indicateurs de gestion des accès du référentiel, dis s'il est respecté et justifie en une phrase.
Voir la réponseMasquer la réponse de l'exercice 2
- Les utilisateurs sont authentifiés : non, au sens individuel. Un identifiant partagé ne permet pas de savoir qui a agi ; il empêche toute traçabilité.
- Les habilitations sont configurées : non. Aucun profil ne distingue l'accueil, les praticiens et l'administrateur.
- L'accès aux données est contrôlé : non. Changer l'identifiant dans l'URL donne accès à une autre fiche : c'est un contrôle d'accès défaillant (A01 de l'OWASP).
- Les privilèges sont restreints : non. Le compte
rootdonne à l'application tous les droits sur le serveur, y compris supprimer des bases ; une injection SQL aurait des effets maximaux.
Tu avais trouvé ?