Page 17 - DCG - La sécurité - 2025

SÉCURITÉ

Définitions
- Critères de sécurité d’une information :
▪ Confidentialité (rester inaccessible, cf RGPD)
▪ Intégrité (ne doit pas être altérée)
▪ Disponibilité (même en cas de crash)
- Vulnérabilité (ou faille) : faiblesse susceptible d’être utilisée par une menace dans le but de compromettre
une ressource
- Menace : évènement interne ou externe pouvant porter atteinte à une ressource en exploitant une
vulnérabilité
- Risque : combinaison de la probabilité d’un incident et de ses consequences

Les failles
Les informations ci-dessous sont issues du site de l’ANSSI, Agence Nationale de la Sécurité des Systèmes
d’Information. Les principales lacunes de sécurité constatées par le Centre de cyberdéfense sont :
- Systèmes et applications non mis à jour de leurs correctifs de sécurité
- Politique de gestion des mots de passe insuffisante (mots de passe par défaut ou trop simples et non

renouvelés régulièrement…)
- Laxisme dans la gestion des droits d’accès (trop de monde à trop de droits…)
- Cloisonnement insuffisant des systèmes qui permet à une attaque de se propager au sein des réseaux
- Absence de restrictions d’accès aux périphériques (supports USB…)
- Ouverture excessive d’accès externes incontrôlés au système d’information (nomadisme, télétravail
ou télé administration des systèmes, réseau Wifi…).
- Sensibilisation et maturité insuffisantes des utilisateurs et des dirigeants face à la menace dont ils
ne perçoivent pas les risques.

Les menaces

Les informations ci-dessous sont issues du site de l’ANSSI, Agence Nationale de la Sécurité des Systèmes
d’Information.

Déstabilisation
• Déni de service (saturation d’un service ce qui le rend indisponible)
• Défiguration : ajout d’informations dans une page Web ou remplacement par une autre
• Exfiltration et divulgation de données confidentielles pour les publier. L’objectif est de montrer que
le site de leur victime est peu sécurisé, et de porter ainsi atteinte à son image.

Espionnage

• Utilisées pour l’espionnage à des fins économiques ou scientifiques.
• Nécessite une infiltration initiale : attaque du point d’eau (consiste à piéger un site Internet légitime
afin d’infecter les machines des visiteurs). et attaque par hameçonnage ciblé (repose généralement
sur une usurpation de l’identité de l’expéditeur d’un dans le but de duper le destinataire qu’il invite à
ouvrir une pièce jointe malveillante ou à suivre un lien vers un site Web malveillant).

Page 13 sur 42