TP1re année4 livrables
Ce qui tombe C · I · D
Un documentaire, puis on apprend à reconnaître ce qu'une menace fait tomber.
Par Josselyn C., prof de BTS SIO. Publié le , mis à jour le .
- Objectif
- nommer les 3 promesses (Confidentialité · Intégrité · Disponibilité) et les repérer sur des cas réels
- On regarde
- Zero Days — Stuxnet (VOSTFR, 1 h 56) · On produit : une fiche + 3 flags
- Durée
- la matinée (~3 h 30) · en binômes pour l'activité
- Pour qui
- SLAM et SISR, 1re année
- Prérequis
- Aucun : c'est la première séance de cybersécurité.
- Matériel
- Le documentaire Zero Days (Alex Gibney, 2016, VOSTFR, 1 h 56) et la fiche pour prendre tes notes.
- Outils
- Zero Days (documentaire), Triade C·I·D
Compétences : C3.4 Garantir la disponibilité, l'intégrité et la confidentialité, C3.1 Protéger les données à caractère personnel
Garde cette fiche sous les yeux dès le début du film. On s'en sert tout de suite après.
Avant de commencer
Ce qu'on fait aujourd'hui
C'est ton premier cours de cybersécurité. On ne va pas commencer par une définition dans un livre — on va commencer par regarder. Le documentaire raconte une histoire vraie : Stuxnet, un logiciel conçu par des États pour saboter en secret une usine nucléaire. Il détruit de vraies machines… tout en affichant « tout va bien » sur les écrans de contrôle. Tu remplis ta fiche pendant le film. Ensuite, en classe, on donne un nom à ce qu'on a vu tomber : la triade C · I · D. Puis tu t'entraînes à la reconnaître sur dix incidents réels.
Le mot « donnée », d'abord
Une donnée, c'est une information enregistrée quelque part : ton nom, une note, un montant, un message. Mais une donnée, c'est aussi une mesure ou une commande qui pilote une machine : « la centrifugeuse tourne à 1 000 tours/min », « ouvre cette vanne ». Retiens-le : dans le film, c'est exactement ces données-là que l'attaque va falsifier pour tromper les opérateurs.
Partie A — Pendant le documentaire
Tu chasses trois choses. Note dans les cases, en style télégramme (mots-clés, pas de phrases).
1 · L'arme — ce que fait Stuxnet
Que fait exactement ce logiciel ? Comment se propage-t-il d'une machine à l'autre ? Qui l'aurait fabriqué ?
Tes notes…
2 · La ruse — comment il trompe
Le plus fort : comment fait-il croire aux opérateurs que « tout va bien » pendant qu'il sabote ? Note le mécanisme du mensonge.
Tes notes…
3 · Les dégâts + ton déclic
Quelles conséquences réelles (machines, pays, risques) ? Et le moment précis où tu t'es dit « je ne pensais pas que c'était possible ».
🚩 FLAG-A1
le compteur
Compte le nombre d'acteurs différents que le film met en scène autour de l'attaque (pays, agences, entreprises, experts…). Écris : FLAG-A1-<ton nombre>.
Il n'y a pas de valeur exacte : c'est ta récolte. On comparera les chiffres de la classe.
🚩 FLAG-D1
investigation
Le titre du film, c'est « Zero Days ». Cherche ce qu'est une faille « zero-day » (ton cours, une source fiable) et réécris-la en une phrase, avec tes mots. Recopie ta phrase après FLAG-D1-.
Partie B — La triade C · I · D
Après le débrief, la classe a mis un nom sur ce qui « tombe ». Ce sont trois promesses qu'on fait à une donnée. Complète chaque case avec tes mots (une phrase suffit) — c'est ta trace écrite.
| Lettre | La promesse | Ce qui la fait « tomber » (avec tes mots) |
|---|---|---|
| C Confidentialité | Seuls les bons yeux voient la donnée. Personne d'autre. | … |
| I Intégrité | La donnée n'a pas été modifiée en douce : ce qui est écrit est bien ce qui devait l'être. | … |
| D Disponibilité | Le service répond quand on en a besoin : la donnée est atteignable au bon moment. | … |
Partie C — Reconnaître ce qui tombe
En binôme. Pour chaque incident : coche la ou les lettres qui tombent (souvent plusieurs), puis justifie en une ligne. Utilise le test des trois questions de la Partie B.
| # | L'incident | C | I | D | Pourquoi (1 ligne) |
|---|---|---|---|---|---|
| 1 | Un rançongiciel chiffre tous les dossiers d'un hôpital : les soignants n'accèdent plus aux dossiers patients. | C | I | D | |
| 2 | Un pirate publie sur un forum la liste des élèves du lycée avec leurs adresses. | C | I | D | |
| 3 | Quelqu'un modifie ta note de contrôle dans le logiciel de l'école. | C | I | D | |
| 4 | Une attaque sature le site de réservation de billets : plus personne ne peut acheter. | C | I | D | |
| 5 | Ton compte Instagram est piraté ; l'attaquant lit tes messages privés. | C | I | D | |
| 6 | Un virus remplace en douce des montants dans un fichier de comptabilité. | C | I | D | |
| 7 | Stuxnet affiche des mesures « normales » aux opérateurs pendant qu'il pousse les centrifugeuses à s'autodétruire. | C | I | D | |
| 8 | Un employé supprime par erreur la base clients, et il n'existe aucune sauvegarde. | C | I | D | |
| 9 | Un faux mail « de ta banque » te pousse à taper ton mot de passe sur un site copié. | C | I | D | |
| 10 | Un pirate change les prix affichés sur un site marchand (des articles à 1 €). | C | I | D |
Partie D — Ton incident
🚩 FLAG-B1
production
Invente (ou raconte) un incident tiré de ton quotidien numérique : jeu en ligne, réseau social, ENT, téléphone… Il doit être réaliste. Puis :
- décris-le en 2-3 phrases ;\
- dis quelles lettres de C · I · D tombent et pourquoi ;\
- propose une protection simple par lettre tombée (ex. : pour C → un mot de passe unique ; pour D → une sauvegarde).
Rends le tout, en terminant par FLAG-B1-OK.
1 · L'incident
…
2 · Ce qui tombe (C / I / D) et pourquoi
…
3 · Une protection par lettre tombée
…
Défis bonus (si tu as fini avant les autres)
Pour t'y retrouver
Glossaire
| Mot | Ce que ça veut dire |
|---|---|
| Cybersécurité | Tenir trois promesses sur des données : qu'elles restent secrètes, exactes et accessibles. |
| Donnée | Une information enregistrée : nom, position, message, note, montant… |
| Ver (worm) | Logiciel malveillant qui se recopie tout seul d'une machine à l'autre, sans qu'on clique. Stuxnet en est un. |
| Faille zero-day | Un trou de sécurité inconnu de l'éditeur : aucun correctif n'existe encore, donc rien ne l'arrête. |
| Stuxnet | La première cyber-arme connue (2010), qui a saboté des centrifugeuses nucléaires iraniennes. |
| Confidentialité (C) | Seules les personnes autorisées voient la donnée. |
| Intégrité (I) | La donnée n'est pas modifiée sans autorisation. |
| Disponibilité (D) | Le service et la donnée sont accessibles quand on en a besoin. |
| Preuve (P) | Les traces (journaux) qui disent qui a fait quoi, et quand. On dit alors DICP. |
| Rançongiciel | Logiciel malveillant qui bloque/chiffre les fichiers et réclame une rançon pour les rendre. |
| Phishing (hameçonnage) | Faux message qui imite un tiers de confiance pour te voler tes identifiants. |
| Incident | Un événement qui fait tomber au moins une des lettres C · I · D. |
Tu es bloqué ?
Ce que tu sais faire maintenant
| Notion | Ce que tu sais faire |
|---|---|
| La triade | Nommer Confidentialité, Intégrité, Disponibilité — et dire ce que chacune promet. |
| Reconnaître | Devant un incident réel, repérer ce qui tombe, souvent plusieurs lettres à la fois. |
| La valeur des données | Expliquer pourquoi « je n'ai rien à cacher » ne tient pas. |
| Le cadre | Savoir qu'analyser une attaque pour se défendre ≠ la commettre (art. 323-1). |
Compétences mobilisées (référentiel BTS SIO SLAM)
Livrable
Bloc 3 · Cybersécurité des services informatiques
→ Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données
• Caractériser les risques liés à l'utilisation malveillante d'un service
• Recenser les conséquences d'une perte de DIC
Bloc 3 · Cybersécurité des services informatiques
→ Protéger les données à caractère personnel
• Identifier les risques liés à la collecte, au traitement, au stockage et à la diffusion des données
Séance 1 de cybersécurité · appui documentaire : Zero Days (A. Gibney, 2016, VOSTFR). Aucune attaque réalisée : analyse défensive uniquement.