wikinotes

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
{{tag>cours informatique sécurité cybersécurité}}

Notes et transcriptions du cours "[[000_start|Défis et enjeux de la cybersécurité]]" proposé par l' **UBS**((Université Bretagne Sud)) sur la plateforme [[https://lms.fun-mooc.fr/|FUN MOOC]].


====== Quizz séquence 3 ======


**Parmi les trois propositions suivantes, laquelle correspond à un tiercé gagnant de la cybersécurité ?**
  - Confidentialité – Intégrité – Disponibilité
  - Identité numérique – Confidentialité numérique – Souveraineté numérique
  - Droit privé – Droit pénal – Droit public

++++ Réponse |

Choix 1. C’est par la confidentialité, l’intégrité et la disponibilité des systèmes, des données et des réseaux que l’on peut mettre en place une bonne cybersécurité : d’où l’idée de tiercé gagnant de la cybersécurité.

++++

**L’attaque par rançongiciel est-elle contre ou via un système de traitement automatisé des données (STAD) ?**
  - Contre
  - Via
  - Les deux

++++ Réponse |
Choix 3. L’attaque par rançongiciel comporte au moins deux temps : le premier est de chiffrer les données de l’organisation victime, ce qui constitue une attaque contre un STAD ; le second est l’utilisation de cette contrainte pour extorquer à la victime le versement d’une rançon, ce qui correspond à une infraction via un STAD.
++++

**La cyberdéfense est :**
  - La cybersécurité du ministère de la défense
  - La cybersécurité des intérêts vitaux de la Nation sur le cyberespace
  - La possibilité pour une entreprise de se défendre numériquement par une Politique de Sécurité des Systèmes d’Information (PSSI)

++++ Réponse |
Choix 2. Dans la définition que l’ANSSI donne de la cybersécurité, la cyberdéfense est le troisième volet de la cybersécurité, après la sécurité des systèmes d’information et la lutte contre la cybercriminalité
++++


**En cas d’attaque par rançongiciel, sur quel fondement juridique faut-il porter plainte ?**
  - L’extorsion
  - Le chantage
  - L'atteinte à un STAD

++++ Réponse|
Choix 1.C’est l’extorsion qui constitue la finalité de l’attaque par rançongiciel : cette attaque a pour but de soutirer de l’argent sous la contrainte, ce qui est la définition de l’extorsion. Le chantage ne correspond pas, car il vise à soutirer de l’argent sous la menace d’une atteinte à l’honneur et à la réputation. L’atteinte à un STAD n’est que le moyen qui permet de commettre une extorsion, dans le cas de l’attaque par rançongiciel.
++++


**En cas d’attaque par rançongiciel, est-il recommandé de payer la rançon ?**
  - Non
  - Oui
  - Ça dépend du montant de la rançon

++++ Réponse |
Choix 1. L’ANSSI recommande de ne jamais payer la rançon, afin de ne pas encourager le déploiement de rançongiciels ; en outre, elle souligne que le paiement de la rançon ne garantit aucunement la récupération des données chiffrées ni la remise en marche des systèmes.
++++


**À propos des Opérateurs de Services Essentiels (OSE), l’on peut dire :**
  - Que leur importance vitale pour protéger la Nation impose une réglementation pointilleuse, et notamment leur classement sur une liste « confidentiel – défense »
  - Qu’ils fournissent un service dont l'interruption aurait un impact significatif sur l'économie ou la marche de la société Q
  - Que leur création par le droit français a inspiré le droit européen pour créer le statut des Fournisseurs de Services Numériques (FSN)

++++ Réponse|
Choix 2. Selon la directive SRI (ou NIS en anglais) de 2016, un OSE est un opérateur tributaire des réseaux ou systèmes d’information, qui fournit un service essentiel dont l’interruption aurait un impact significatif sur le fonctionnement de l’économie ou de la société. Les OSE sont créés par le droit européen ; ce sont les OIV, création française, qui ont inspiré le droit européen pour créer les OSE et les FSN.
++++


**L’idée selon laquelle la conformité juridique garantit la cybersécurité…**
  - se vérifie en pratique, les règles juridiques ayant précisément pour but de garantir la cybersécurité
  - ne se vérifie pas en pratique, mais l’avantage de se mettre en conformité sur le plan juridique est, pour l’organisation victime, de limiter sa responsabilité en cas de cyberattaque 
  - se vérifie en pratique, même si les attaquants ont toujours un temps d’avance sur les législateurs

++++ Réponse|
Choix 2. La conformité juridique ne garantit pas la sécurité numérique. Elle permet toutefois de limiter le risque d’engager la responsabilité de l’organisation victime en cas de cyberattaque.
++++



**Où se situe le risque financier par rapport aux risques opérationnel, juridique et réputationnel ?**
  - Il est commun aux trois autres risques 
  - Il ne concerne que certains de ces risques
  - Il est le quatrième risque que fait courir une cyberattaque

++++ Réponse |
Choix 1. Le risque financier est commun aux risques opérationnel, juridique et réputationnel. Chacun des trois risques se traduit par une perte d’argent. Le préjudice opérationnel est financier (blocage des machines) ; le préjudice juridique est financier (poursuites des actionnaires, des clients et condamnations judiciaires à des amendes pour non-respect de la réglementation) ; le préjudice réputationnel est financier (fuite des investisseurs et des clients).
++++


**Le droit français de la cybersécurité est-il codifié ?**
  -Oui, il existe un code de la cybersécurité, mais il n’est pas à la hauteur des enjeux
  - Non, il n’existe pas de code de la cybersécurité et il faut en créer un qui crée de nouvelles règles qui font actuellement défaut
  - Non, il n’existe pas de code de la cybersécurité et il faut en créer un qui rassemble en un seul ouvrage les règles existant notamment dans de nombreux codes

++++ Réponse |
Choix 3. Il n’existe pas encore de code de la cybersécurité, mais il est temps de créer une « code de codes » pour rendre commodément accessibles toutes les dispositions législatives, réglementaires, internes et internationales existantes, qui forment le droit de la cybersécurité.
++++


**En cas de cyberattaque, quel est le risque dont les conséquences sont les plus imprévisibles ?**
  - Le risque opérationnel
  - Le risque d’image
  - Le risque juridique

++++ Réponse |
Choix 2. Le risque d’image – également appelé risque réputationnel – emporte les conséquences les plus imprévisibles, comme le montre l’affaire Yahoo où Verizon a obtenu un rabais de 350 millions d’euros pour racheter Yahoo qui venait de subir plusieurs cyberattaques dont elle avait mal géré la gestion.
++++



**Comment protéger la confidentialité numérique ?**
  - Par le chiffrement des échanges
  - Par la biométrie
  - Par un code de la cybersécurité

++++ Réponse |
Choix 1. Le chiffrement des échanges est une garantie de confidentialité numérique, car la personne qui intercepte un échange chiffré ne peut pas en lire le contenu sans avoir la clé de déchiffrement.
++++

**À propos de la Politique de Sécurité des Systèmes d’Information (PSSI), l’on peut dire que :**
  - C’est un document qui fixe des objectifs de cybersécurité standardisés pour toute organisation connectée
  - C’est un document bien codifié, mais qu’il faut adapter à chaque entreprise pour que les objectifs et les moyens de la cybersécurité soient sur-mesure
  - C’est un document qui cartographie les données de l’entreprise 

++++ Réponse |
La PSSI fixe les objectifs et les moyens de la cybersécurité, deux éléments qui doivent être définis in concreto, en fonction des moyens de l’organisation.
++++



**À propos de la cartographie des données, l’on peut dire :**
  - Qu’elle est un outil de lutte contre la cybercriminalité
  - Qu’elle permet de hiérarchiser les données d’une entreprise
  - Qu’elle traite identiquement le numéro de série d’un bon de commande et une donnée de santé

++++ Réponse |
Choix 2.La cartographie des données est une exigence qui permet de montrer qu’une organisation connectée est capable de distinguer le niveau de criticité de ses données.
++++



**Au sens du RGPD, un outil informatique qui offre une protection par défaut signifie :**
  - Que la protection existe dès la conception de l’outil informatique
  - Que la protection doit être déjà active quand on acquiert l’outil informatique
  - Que la protection agit contre les défauts de conception du produit

++++ Réponse |
Choix 2. La protection par défaut, au sens du RGPD, est ainsi appelée par ce qu’elle doit être déjà active au moment de l’acquisition du produit informatique.
++++



**À propos d’une mesure technique comme la pseudonymisation des données personnelles, l'on peut dire :**
  - Qu’elle s’applique de manière indistincte à toutes les organisations, ce qui garantit son efficacité
  - Qu’elle s’applique à toutes les organisation d’une certaine taille, ce qui garantit sa pertinence
  - Qu’elle s’applique selon le niveau de risque et de criticité des données personnelles en question

++++ Réponse |
Choix 3. Les mesures techniques doivent être adaptées aux risques : notification, pseudonymisation et chiffrement doivent être appliqués si jamais le risque est important et que les données personnelles sont d'un niveau de criticité qui le justifie.
++++

**En cas de cyberattaque sur les données personnelles confiées à un sous-traitant, il faut que ce dernier :**
  - Émette des notifications aux usagers concernés par la fuite des données
  - Porte plainte auprès des autorités de justice (police, gendarmerie, douanes)
  - Notifie la fuite au responsable de traitement afin de lui permettre de prendre les mesures qui s’imposent

++++ Réponse |
Choix 3. Selon le RGPD, « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ».
++++



**Il est important de distinguer les trois branches du droit de la cybersécurité (droit privé, droit pénal et droit public)…**
  - car ces trois branches sont étrangères les unes aux autres
  - mais ces trois branches se conjuguent
  - car ces trois branches entretiennent des logiques d’opposition les unes aux autres

++++ Réponse |
Choix 2. Les trois branches interagissent entre elles. Par exemple, en matière de cyberdéfense nationale si un dirigeant d'un Opérateur d'Importance Vitale ne respecte pas les règles de cybersécurité qui s'imposent à lui, il peut être sanctionné par le droit pénal par une amende de 150 000 euros : les règles de la cyberdéfense nationale étant parfois sanctionnées par le droit pénal, il y a bien une conjugaison des différents ensembles de règles.
++++



**Si un OIV ne respecte pas les règles de cybersécurité qui s’appliquent à lui, les sanctions peuvent être :**
  - De 150 000 euros d’amende pour l’entreprise
  - De 150 000 euros d’amende pour le dirigeant et le quintuple pour l’entreprise
  - De 150 000 euros pour le dirigeant, mais l’entreprise ne peut pas être incriminée (non bis in idem)

++++ Réponse |
Choix 2. Les OIV étant vitaux pour la Nation, les peines sont particulièrement dissuasives : 150 000 euros d’amende pour le dirigeant à titre personnel, et le quintuple pour la société personne morale. Non bis in idem n’empêche pas cette sanction, puisque ce ne sont pas les mêmes personnes qui sont condamnées : d’un côté il y a la personne physique (le dirigeant), et de l’autre la personne morale (la société).
++++



**Quand une entreprise est victime d’une cyberattaque**
  - Elle peut également être coupable d’avoir été négligente
  - Elle peut être condamnée deux fois, conformément au principe non bis in idem
  - Elle ne peut être condamnée que par la plus haute des peines encourues

++++ Réponse |
Choix 1. L’entreprise victime court un risque juridique d’être poursuivie pour non-respect des règles applicables à la prévention des cyberattaques ou pour négligence dans sa préparation contre les cyberattaques. Elle peut donc être coupable d’avoir été victime.
++++



**L’attaque par rançongiciel est-elle punissable en tant que « demande de fonds sous contrainte » ?**
  - Non, car la demande de fonds sous contrainte, au sens du Code pénal, doit se faire sur la voie publique
  - Oui, c’est d’ailleurs l’élément de contrainte qui caractérise le rançongiciel
  - Oui, car elle doit se faire sur la voie publique mais internet est considéré comme une voie publique au sens du Code pénal

++++ Réponse |
Choix 1.Le Code pénal précise que l’infraction de « demande de fonds sous contrainte » doit se faire sur la voie publique (art. 312-12-1 Code pén.) ; or, internet n’est pas considéré comme une voie publique au sens du Code pénal.
++++

[[350_cyberdefense_nationale|◁ Précédent]] | [[000_start|⌂ Sommaire]] | [[410_introduction_sequence_4|Suivant ▷]]
wikinotes

Outils pour utilisateurs

Outils du site

Outils de la page
