TP1re année4 livrables
Ce qui tombe C · I · D
Un documentaire, puis on apprend à reconnaître ce qu'une menace fait tomber.
Par Josselyn C., prof de BTS SIO. Publié le , mis à jour le .
- Objectif
- nommer les 3 promesses (Confidentialité · Intégrité · Disponibilité) et les repérer sur des cas réels
- On regarde
- The Great Hack (Netflix, VF, 1 h 54) · On produit : une fiche + 3 flags
- Durée
- la matinée (~3 h 30) · en binômes pour l'activité
- Pour qui
- SLAM et SISR, 1re année
- Prérequis
- Aucun : c'est une première séance de cybersécurité.
- Matériel
- Un accès au documentaire The Great Hack (Netflix, 1 h 54) et un binôme pour l'activité.
- Outils
- The Great Hack, Netflix
Compétences : C3.1 Protéger les données à caractère personnel, C3.4 Garantir la disponibilité, l'intégrité et la confidentialité
Garde cette fiche sous les yeux dès le début du film. On s'en sert tout de suite après.
Avant de commencer
Ce qu'on fait aujourd'hui
C'est ton premier cours de cybersécurité. On ne va pas commencer par une définition dans un livre — on va commencer par regarder. Le documentaire raconte une histoire vraie : l'affaire Cambridge Analytica. Une entreprise récupère les données de dizaines de millions de comptes Facebook — au départ via un simple quiz — pour dresser le portrait psychologique des gens et leur envoyer des messages politiques taillés sur mesure, jusqu'à peser sur des élections. Tu remplis ta fiche pendant le film. Ensuite, en classe, on donne un nom à ce qu'on a vu tomber : la triade C · I · D. Puis tu t'entraînes à la reconnaître sur dix incidents réels.
Le mot « donnée », d'abord
Une donnée personnelle, c'est toute information qui parle de toi : ton nom, mais aussi tes likes, tes clics, les pages que tu suis, l'heure à laquelle tu postes. Prises une par une, elles semblent anodines. Assemblées, elles dessinent ta personnalité — tes peurs, tes opinions, ce qui te fera réagir. Retiens-le : dans le film, c'est exactement ce que l'entreprise fabrique à partir de ces miettes.
Partie A — Pendant le documentaire
Tu chasses trois choses. Note dans les cases, en style télégramme (mots-clés, pas de phrases).
1 · La récolte — d'où viennent les données
Comment Cambridge Analytica a-t-elle mis la main sur les données ? Le point de départ (le quiz), les « amis » des amis, l'ampleur (combien de comptes ?).
Tes notes…
2 · L'usage — ce qu'ils en font
À quoi servent ces profils ? Sur qui ciblent-ils (les « indécis / persuadables ») ? Pour quel résultat ?
Tes notes…
3 · La riposte + ton déclic
Qui résiste (David Carroll qui réclame ses données, les lanceurs d'alerte) ? Et le moment précis où tu t'es dit « je ne pensais pas que c'était possible ».
🚩 FLAG-A1
le compteur
Le film annonce un chiffre marquant : le nombre de points de données que l'entreprise prétend détenir sur chaque électeur américain. Note ce chiffre : FLAG-A1-<le nombre>.
Rate-le et tu peux mettre à la place le nombre de comptes touchés — l'important, c'est d'avoir capté l'échelle.
🚩 FLAG-D1
investigation
Tout le film tourne autour de la donnée personnelle. Cherche ce qu'est une donnée personnelle (et le mot RGPD, la loi qui la protège en Europe) et réécris une définition en une phrase, avec tes mots. Recopie-la après FLAG-D1-.
Partie B — La triade C · I · D
Après le débrief, la classe a mis un nom sur ce qui « tombe ». Ce sont trois promesses qu'on fait à une donnée. Complète chaque case avec tes mots (une phrase suffit) — c'est ta trace écrite.
| Lettre | La promesse | Ce qui la fait « tomber » (avec tes mots) |
|---|---|---|
| C Confidentialité | Seuls les bons yeux voient la donnée. Personne d'autre. | … |
| I Intégrité | La donnée n'a pas été modifiée en douce : ce qui est écrit est bien ce qui devait l'être. | … |
| D Disponibilité | Le service répond quand on en a besoin : la donnée est atteignable au bon moment. | … |
Partie C — Reconnaître ce qui tombe
En binôme. Pour chaque incident : coche la ou les lettres qui tombent (souvent plusieurs), puis justifie en une ligne. Utilise le test des trois questions de la Partie B.
| # | L'incident | C | I | D | Pourquoi (1 ligne) |
|---|---|---|---|---|---|
| 1 | Un rançongiciel chiffre tous les dossiers d'un hôpital : les soignants n'accèdent plus aux dossiers patients. | C | I | D | |
| 2 | Un pirate publie sur un forum la liste des élèves du lycée avec leurs adresses. | C | I | D | |
| 3 | Quelqu'un modifie ta note de contrôle dans le logiciel de l'école. | C | I | D | |
| 4 | Une attaque sature le site de réservation de billets : plus personne ne peut acheter. | C | I | D | |
| 5 | Ton compte Instagram est piraté ; l'attaquant lit tes messages privés. | C | I | D | |
| 6 | Un virus remplace en douce des montants dans un fichier de comptabilité. | C | I | D | |
| 7 | Une entreprise aspire les données de dizaines de millions de comptes via un quiz, sans consentement clair, pour cibler des pubs politiques. | C | I | D | |
| 8 | Un employé supprime par erreur la base clients, et il n'existe aucune sauvegarde. | C | I | D | |
| 9 | Un faux mail « de ta banque » te pousse à taper ton mot de passe sur un site copié. | C | I | D | |
| 10 | Un pirate change les prix affichés sur un site marchand (des articles à 1 €). | C | I | D |
Partie D — Ton incident
🚩 FLAG-B1
production
Invente (ou raconte) un incident tiré de ton quotidien numérique : jeu en ligne, réseau social, ENT, téléphone… Il doit être réaliste. Puis :
- décris-le en 2-3 phrases ;\
- dis quelles lettres de C · I · D tombent et pourquoi ;\
- propose une protection simple par lettre tombée (ex. : pour C → un mot de passe unique ; pour D → une sauvegarde).
Rends le tout, en terminant par FLAG-B1-OK.
1 · L'incident
…
2 · Ce qui tombe (C / I / D) et pourquoi
…
3 · Une protection par lettre tombée
…
Défis bonus (si tu as fini avant les autres)
Pour t'y retrouver
Glossaire
| Mot | Ce que ça veut dire |
|---|---|
| Cybersécurité | Tenir trois promesses sur des données : qu'elles restent secrètes, exactes et accessibles. |
| Donnée personnelle | Toute information qui parle de toi : nom, likes, clics, position… Protégée par le RGPD en Europe. |
| RGPD | Règlement européen qui encadre la collecte et l'usage des données personnelles. |
| Profilage | Assembler tes données éparses pour deviner ta personnalité, tes opinions, tes réactions. |
| Micro-ciblage | Envoyer à chaque personne un message taillé sur mesure pour la faire réagir. |
| Confidentialité (C) | Seules les personnes autorisées voient la donnée. |
| Intégrité (I) | La donnée (ou l'information) n'est pas modifiée / falsifiée sans autorisation. |
| Disponibilité (D) | Le service et la donnée sont accessibles quand on en a besoin. |
| Preuve (P) | Les traces (journaux) qui disent qui a fait quoi, et quand. On dit alors DICP. |
| Lanceur d'alerte | Quelqu'un de l'intérieur qui révèle au public une pratique cachée et dangereuse. |
| Rançongiciel | Logiciel malveillant qui bloque/chiffre les fichiers et réclame une rançon pour les rendre. |
Tu es bloqué ?
Ce que tu sais faire maintenant
| Notion | Ce que tu sais faire |
|---|---|
| La triade | Nommer Confidentialité, Intégrité, Disponibilité — et dire ce que chacune promet. |
| Reconnaître | Devant un incident réel, repérer ce qui tombe, souvent plusieurs lettres à la fois. |
| La valeur des données | Expliquer pourquoi tes données personnelles ont de la valeur — au point de devenir une arme. |
| Le cadre | Savoir qu'analyser une attaque pour se défendre ≠ la commettre (art. 323-1, RGPD). |
Compétences mobilisées (référentiel BTS SIO SLAM)
Livrable
Bloc 3 · Cybersécurité des services informatiques
→ Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données
• Caractériser les risques liés à l'utilisation malveillante d'un service
• Recenser les conséquences d'une perte de DIC
Bloc 3 · Cybersécurité des services informatiques
→ Protéger les données à caractère personnel
• Identifier les risques liés à la collecte, au traitement, au stockage et à la diffusion des données
Séance 1 de cybersécurité · appui documentaire : The Great Hack (J. Noujaim & K. Amer, 2019, Netflix). Aucune attaque réalisée : analyse défensive uniquement.