Chapitre 1117 minDébutant
Exemples de veille technologique SLAM et SISR
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- suivre deux veilles complètes, du sujet à l'application en stage ;
- choisir un sujet dans une liste d'idées classées par option ;
- adapter un exemple à ton propre parcours.
3 exercices corrigés
Un exemple de veille technologique complète réunit une fiche de cadrage (sujet, problématique, questions, mots-clés), une liste de sources justifiée, des notes régulières, des synthèses et au moins une application concrète. Ce chapitre déroule deux veilles complètes, l'une en option SLAM, l'autre en option SISR, du premier jour à l'oral, puis propose 24 idées de sujets pour 2026 à 2028, classées par option, avec une problématique et des sources pour démarrer.
Exemple SLAM : l'authentification sans mot de passe
Camille prépare l'option SLAM. Elle a découvert les clés d'accès dans le cours sur l'authentification et veut devenir développeuse d'applications métier.
La fiche de cadrage (septembre de 1re année).
Sujet : l'authentification sans mot de passe dans les
applications Web (clés d'accès, WebAuthn)
Problématique : les clés d'accès peuvent-elles remplacer le mot de
passe dans une application Web d'entreprise, et à
quelles conditions ?
Questions : 1. prise en charge par les navigateurs, systèmes et
gestionnaires de mots de passe
2. bibliothèques pour PHP et JavaScript
3. déploiements et retours d'expérience
4. limites : perte d'appareil, récupération de compte,
synchronisation
5. recommandations de l'ANSSI et de la CNIL
Mots-clés : clé d'accès, passkey, passwordless, WebAuthn, FIDO2
Exclusions : fuites de bases de mots de passe en général,
portefeuilles de cryptomonnaies
Ses sources.
| Source | Famille | Pourquoi |
|---|---|---|
| Spécification WebAuthn du W3C et documentation de l'alliance FIDO | Organismes de référence | Le standard lui-même |
| MDN Web Docs, page de l'API Web Authentication | Documentation de référence | La prise en charge par les navigateurs, à jour |
| Releases GitHub de la bibliothèque WebAuthn choisie pour son projet | Projet, primaire | Chaque nouvelle version, avec ses notes |
| Recommandations de l'ANSSI et de la CNIL sur l'authentification | Officielles | Le cadre de sécurité et les bonnes pratiques |
| Blogs techniques des éditeurs de navigateurs et de gestionnaires de mots de passe | Éditeurs | Les annonces, à vérifier dans les notes de version |
| Un titre de presse spécialisée en anglais | Presse | Les déploiements et les incidents |
Ses outils. Inoreader, avec trois dossiers (« Standards », « Éditeurs », « Presse ») ; une alerte Google livrée en flux RSS sur (passkey OR passkeys OR "clé d'accès") -wallet ; ses notes en fichiers Markdown dans un dépôt Git publié avec son portfolio.
Quelques jalons de sa veille.
| Période | Ce qui se passe | Effet |
|---|---|---|
| Octobre – décembre de 1re année | Premières notes sur la prise en charge par les navigateurs ; première synthèse en janvier | Elle comprend le vocabulaire : authentificateur, clé synchronisée, clé liée à un appareil |
| Printemps de 1re année | Notes sur des utilisateurs bloqués après la perte de leur téléphone | Elle ajoute à sa problématique la question de la récupération de compte |
| Stage de 1re année | Le cabinet comptable gère ses mots de passe dans un tableur ; elle en parle à son tuteur | Une note « Pour moi » : recommander un gestionnaire de mots de passe |
| Automne de 2e année | Une nouvelle version de sa bibliothèque simplifie l'enregistrement des clés | Elle l'intègre dans une maquette de connexion |
| Stage de 2e année | Les agents de la collectivité oublient souvent leur mot de passe | Elle propose la connexion par clé d'accès dans l'application de prêt, avec une procédure de récupération ; le tuteur l'inscrit dans la feuille de route |
Extrait de sa synthèse finale. « Ma réponse à la problématique : oui, les clés d'accès peuvent remplacer le mot de passe dans une application d'entreprise, à trois conditions. Prévoir une procédure de récupération de compte aussi sûre que la connexion elle-même ; garder un second moyen d'authentification pour les appareils qui ne les prennent pas en charge ; former les utilisateurs, pour qui le geste est nouveau. Pour l'application de prêt, j'ai proposé un déploiement progressif : clé d'accès proposée après la connexion habituelle, puis rendue prioritaire. »
Ce qui fait la force de cette veille. Un sujet précis et vivant, des sources primaires, une problématique qui évolue avec ce qu'elle apprend, et deux applications concrètes, l'une en maquette, l'autre en stage, avec une preuve (la feuille de route du service).
Exemple SISR : la protection des sauvegardes contre les rançongiciels
Yanis prépare l'option SISR. Il veut devenir administrateur systèmes et réseaux. Il a choisi son sujet après le cours sur les rançongiciels.
La fiche de cadrage (septembre de 1re année).
Sujet : la protection des sauvegardes contre les
rançongiciels dans les PME
Problématique : comment une PME peut-elle garantir qu'au moins une
copie de ses données survivra à une attaque par
rançongiciel ?
Questions : 1. comment les attaquants visent les sauvegardes
2. failles des logiciels et des équipements de
sauvegarde
3. solutions : copie hors ligne, immuabilité,
cloisonnement des comptes
4. recommandations de l'ANSSI et du CERT-FR
5. tests de restauration et retours d'expérience
Mots-clés : sauvegarde, rançongiciel, backup, ransomware,
immutable backup, air gap, offline backup, 3-2-1
Exclusions : négociation et paiement de rançons, sauvegardes
personnelles
Ses sources : celles du chapitre 4 (CERT-FR, ANSSI, éditeur de son logiciel de sauvegarde, IT-Connect, BleepingComputer, NoLimitSecu).
Ses outils. Un FreshRSS qu'il héberge lui-même dans un conteneur sur son laboratoire, ce qui fait partie de son environnement d'apprentissage personnel ; une notification immédiate sur les alertes du CERT-FR ; ses notes en Markdown dans un dépôt Git.
Quelques jalons de sa veille.
| Période | Ce qui se passe | Effet |
|---|---|---|
| Automne de 1re année | Notes sur des attaques où les sauvegardes ont été détruites en premier | Il comprend que la règle 3-2-1 ne suffit pas si toutes les copies sont joignables depuis le réseau |
| Hiver de 1re année | Notes sur les fonctions d'immuabilité des éditeurs | Il les teste sur son laboratoire et en fait une procédure |
| Stage de 1re année | Le NAS de la PME est copié sur un disque branché en permanence | Il propose une rotation de disques déconnectés ; c'est devenu sa réalisation « Plan de sauvegarde du NAS » |
| Stage de 2e année | Le CERT-FR publie un avis sur le logiciel de sauvegarde de l'entreprise | Il prévient son tuteur le jour même ; la mise à jour est faite et vérifiée par une restauration ; ticket et compte rendu dans son portfolio |
| Printemps de 2e année | Synthèse finale | Il répond à sa problématique avec quatre mesures hiérarchisées |
Extrait de sa synthèse finale. « Une PME peut garantir la survie d'une copie avec quatre mesures, par ordre de priorité : une copie hors ligne ou immuable ; des comptes d'administration de la sauvegarde séparés de l'annuaire de l'entreprise ; des mises à jour rapides du logiciel de sauvegarde, suivies grâce aux avis de l'éditeur et du CERT-FR ; des restaurations testées au moins chaque trimestre. Les deux premières coûtent peu et bloquent la majorité des attaques que j'ai étudiées. »
Ce qui fait la force de cette veille. Elle est directement reliée à deux réalisations du portfolio (le plan de sauvegarde du NAS et la mise à jour d'urgence), elle s'appuie sur des sources officielles, et l'outil lui-même (le FreshRSS auto-hébergé) prouve des compétences d'administration.
24 idées de sujets pour 2026 à 2028
Chaque idée a été choisie pour passer les six critères du chapitre 3 : elle est vivante, durable jusqu'en 2028 et exploitable en TP ou en stage. Resserre-la encore selon ton terrain.
Option SLAM
| Sujet | Problématique de départ | Sources pour démarrer |
|---|---|---|
| 1. L'authentification sans mot de passe dans les applications Web | Les clés d'accès peuvent-elles remplacer le mot de passe, et à quelles conditions ? | W3C, MDN, FIDO, ANSSI, CNIL |
| 2. La sécurité des dépendances et de la chaîne d'approvisionnement logicielle | Comment un développeur peut-il savoir que les bibliothèques de son projet sont sûres et le rester ? | GitHub Advisory Database, OWASP, CERT-FR (cours sécurité applicative) |
| 3. Les assistants de code à base d'IA | Quels gains et quels risques pour la qualité et la sécurité du code d'une équipe ? | Documentations des éditeurs, études publiées, OWASP |
| 4. L'accessibilité numérique des applications Web | Comment rendre une application conforme sans refaire toute l'interface ? | RGAA, WCAG du W3C, acte européen sur l'accessibilité, applicable depuis le 28 juin 2025 (cours HTML et CSS) |
| 5. La sécurité des API Web | Quelles protections une API exposée sur Internet doit-elle avoir aujourd'hui ? | OWASP API Security Top 10, CERT-FR, documentations des frameworks |
| 6. L'évolution d'un langage ou d'un framework que tu utilises (PHP, C# et .NET, JavaScript et Node.js, React…) | Quand et comment faire évoluer une application vers les nouvelles versions ? | Notes de version, calendriers de support, releases GitHub |
| 7. L'écoconception des services numériques | Comment réduire l'impact environnemental d'une application sans dégrader le service ? | Référentiel général d'écoconception de services numériques (RGESN), ADEME, Arcep |
| 8. Les applications Web progressives | Une application Web peut-elle remplacer une application mobile native pour une PME ? | MDN, blogs des éditeurs de navigateurs, W3C |
| 9. L'intégration continue et la sécurité des chaînes de déploiement | Comment automatiser tests et déploiements sans ouvrir de faille ? | Documentations des plateformes, OWASP (cours tests) |
| 10. La protection des données dès la conception | Comment intégrer le RGPD dans le code d'une application dès le départ ? | CNIL (guide du développeur), EDPB (cours droit du numérique) |
Option SISR
| Sujet | Problématique de départ | Sources pour démarrer |
|---|---|---|
| 11. La protection des sauvegardes contre les rançongiciels | Comment garantir qu'au moins une copie survivra à une attaque ? | ANSSI, CERT-FR, éditeurs de solutions de sauvegarde |
| 12. La gestion de la fin de support des systèmes dans un parc | Comment anticiper et piloter les fins de support (postes, serveurs, équipements) ? | Calendriers de support des éditeurs, endoflife.date, CERT-FR |
| 13. La sécurité des réseaux Wi-Fi d'entreprise | Comment offrir un Wi-Fi aux salariés et aux visiteurs sans exposer le réseau interne ? | ANSSI, constructeurs, Wi-Fi Alliance (cours authentification) |
| 14. Le déploiement d'IPv6 en entreprise | Une PME doit-elle passer à IPv6, et comment le faire sans risque ? | RFC de l'IETF, Arcep (baromètre de la transition vers IPv6), ANSSI |
| 15. Les alternatives de virtualisation | Quelles solutions pour une PME après les changements de licences de VMware consécutifs à son rachat par Broadcom ? | Éditeurs (Proxmox VE, Microsoft Hyper-V…), presse spécialisée (cours virtualisation) |
| 16. La supervision et l'observabilité | Comment détecter une panne ou une attaque avant les utilisateurs ? | Documentations de Zabbix, Prometheus et Grafana, IT-Connect (cours supervision) |
| 17. L'accès à distance sécurisé | Comment donner accès aux ressources internes à des salariés nomades sans multiplier les risques ? | ANSSI, CERT-FR (failles des passerelles VPN), éditeurs |
| 18. La sécurité de l'annuaire Active Directory | Comment réduire les risques sur l'annuaire, cible prioritaire des attaquants ? | ANSSI, Microsoft Learn (cours Windows Server) |
| 19. L'automatisation de l'administration | Quelles tâches automatiser en priorité, et avec quels outils (PowerShell, Ansible) ? | Documentations officielles, communautés (cours scripting) |
| 20. Les vulnérabilités des équipements de bordure | Pourquoi pare-feu, VPN et passerelles sont-ils devenus des cibles prioritaires, et comment s'en protéger ? | CERT-FR (avis et alertes), catalogue KEV de la CISA, constructeurs (cours cybersécurité de l'infrastructure) |
Transverses et juridiques, pour les deux options
| Sujet | Problématique de départ | Sources pour démarrer |
|---|---|---|
| 21. La directive NIS 2 et sa transposition en France | Quelles obligations pour les organisations concernées, et quand ? Au 2 novembre 2026, le projet de loi n'était pas définitivement adopté : vérifie son état sur Légifrance et le site de l'Assemblée nationale avant ta première note ; suivre son parcours est un exercice de veille juridique idéal | ANSSI (MonEspaceNIS2), Légifrance, Assemblée nationale (cours analyse de risques) |
| 22. Le règlement européen sur la cyber-résilience (Cyber Resilience Act) | Que change, pour un éditeur de logiciels, l'obligation de signaler les vulnérabilités exploitées depuis le 11 septembre 2026, avant l'application complète en décembre 2027 ? | EUR-Lex, ENISA, ANSSI (droit du numérique, chapitre 15) |
| 23. Le règlement européen sur l'intelligence artificielle | Quelles règles pour une PME qui utilise ou intègre des outils d'IA ? | EUR-Lex, CNIL, Commission européenne |
| 24. L'hameçonnage et les arnaques qui visent les PME | Quelles techniques montent, et comment adapter la sensibilisation des utilisateurs ? | Cybermalveillance.gouv.fr, CERT-FR, ANSSI (cours cybersécurité, hameçonnage) |
Adapter un exemple à ton parcours
Tu as choisi une idée de la liste ? Rends-la tienne en quatre étapes.
- Croise-la avec ton terrain : le logiciel, le matériel, le secteur de ton entreprise de stage ou d'alternance. « La sécurité des API » devient « La sécurité de l'API de réservation que je développe en projet ».
- Réécris la problématique avec tes mots et ton contexte.
- Choisis tes sources en partant de celles proposées, et ajoute la source primaire de ton terrain (l'éditeur du logiciel de ton entreprise, la bibliothèque de ton projet).
- Écris ta fiche de cadrage et ta première note dans la semaine. Une veille qui commence vaut mieux qu'un sujet parfait qui attend.
Exercices
Exercice 1 sur 3 Ta fiche de cadrage Réussi À revoir
Choisis un sujet dans la liste (ou le tien) et rédige ta fiche de cadrage complète : sujet, problématique, trois à cinq questions de veille, mots-clés en français et en anglais, exclusions.
Voir la réponseMasquer la réponse de l'exercice 1
Exemple à partir de l'idée 12, pour un étudiant SISR en alternance dans une collectivité :
Sujet : la gestion de la fin de support des systèmes dans
le parc d'une collectivité
Problématique : comment une collectivité peut-elle anticiper les
fins de support de ses postes, serveurs et
équipements, et migrer à temps avec un budget
contraint ?
Questions : 1. quelles fins de support approchent pour les
produits du parc ?
2. quelles solutions existent après la fin de
support (migration, support étendu payant) ?
3. quels risques représentent les systèmes non
maintenus (avis du CERT-FR) ?
4. comment les autres collectivités s'organisent ?
Mots-clés : fin de support, cycle de vie, obsolescence,
end of life, end of support, lifecycle
Exclusions : smartphones personnels des agents, logiciels
métier hors du périmètre du service
Une fiche est réussie si un camarade peut, en la lisant, savoir exactement ce que tu gardes et ce que tu ignores dans ton lecteur.
Tu avais trouvé ?
Exercice 2 sur 3 Améliorer une liste d'idées Réussi À revoir
Un groupe d'étudiants propose ces sujets. Pour chacun, dis ce qui ne va pas et propose une version tenable.
- « Le cloud » (SISR).
- « ChatGPT » (SLAM).
- « La faille Log4Shell » (SLAM).
- « Les nouveaux smartphones » (SISR).
Voir la réponseMasquer la réponse de l'exercice 2
- Trop large. Version tenable : « La sauvegarde des données d'une PME dans le cloud : solutions, sécurité et réversibilité », ou « Le cloud de confiance pour les données sensibles d'une collectivité ».
- Un produit, sans angle. Version tenable : « Les assistants de code à base d'IA : gains et risques pour la sécurité du code » (idée 3).
- Trop étroit : la faille est de 2021 et corrigée. Version tenable : « La sécurité des dépendances et de la chaîne d'approvisionnement logicielle » (idée 2), où Log4Shell sert d'exemple fondateur dans ta première note.
- Produit grand public, sans lien professionnel. Version tenable : « La gestion de la flotte mobile d'une entreprise : MDM, mises à jour et sécurité », en lien avec le cours poste de travail.
Tu avais trouvé ?
Exercice 3 sur 3 Ce qui manque à cette veille Réussi À revoir
Voici le résumé de la veille de Léo (SISR) : sujet « La supervision des réseaux » ; sources : deux chaînes vidéo et un forum ; 30 notes, toutes rédigées entre le 1er et le 20 mars de 2e année ; une synthèse finale de trois pages ; aucun lien avec ses stages. Liste ce qui manque par rapport aux deux exemples du chapitre, et propose trois actions pour les huit semaines qui lui restent avant le dépôt.
Voir la réponseMasquer la réponse de l'exercice 3
Ce qui manque :
- un sujet resserré et une problématique (« la supervision des réseaux » reste large) ;
- des sources primaires et officielles (documentation de l'outil de supervision, éditeurs, CERT-FR) ;
- la régularité : 30 notes en trois semaines prouvent un rattrapage ;
- l'exploitation : aucun lien avec ses stages ou ses réalisations.
Trois actions réalistes :
- Resserrer le sujet (par exemple « Superviser un petit parc avec un outil libre : ce qui doit déclencher une alerte ») et écrire la problématique.
- Ajouter deux ou trois sources primaires dans un lecteur de flux, puis tenir une note par semaine jusqu'au dépôt, sans antidater les précédentes, et expliquer honnêtement à l'oral que sa veille a démarré tard.
- Relier sa veille à une réalisation : mettre en place une supervision sur sa maquette de TP ou sur un service de son stage, et garder la preuve (captures, configuration, procédure).
Tu avais trouvé ?