Principes de la sécurité
Bloc B3.1. Trois critères pour qualifier un besoin de sécurité, trois briques pour prouver qui a fait quoi.
1. Le triptyque DIC
Tout besoin de sécurité combine trois critères. En épreuve, chaque mesure technique doit être reliée à l'un d'eux.
| Critère | Définition | Exemple de mesure |
|---|---|---|
| Confidentialité | Les données ne sont accessibles qu'aux seules personnes autorisées. | Authentification par identifiant / mot de passe personnel, droits d'accès, chiffrement. |
| Disponibilité | Les données restent accessibles et utilisables par les personnes autorisées, sans interruption. | Redondance des liens réseau, cluster, sauvegardes, PRA / PCA. |
| Intégrité | Les données ne peuvent pas être modifiées pendant leur transfert, leur traitement ou leur stockage. | Hachage, signature électronique, TLS / SSL pendant le transport. |
Moyen mnémotechnique : DIC. Une même attaque touche souvent plusieurs critères — un ransomware casse la disponibilité (fichiers chiffrés), l'intégrité (données altérées) et souvent la confidentialité (double extorsion avec exfiltration).
2. La preuve et la non-répudiation
Non-répudiation = preuve irréfutable d'un acte, que l'auteur ne peut pas nier. Elle n'existe jamais seule : c'est la combinaison de trois éléments.
| Élément | Question à laquelle il répond | Définition |
|---|---|---|
| Authentification | Es-tu bien celui que tu prétends être ? | Vérifier la légitimité de la demande d'accès et accorder les droits associés (login + mot de passe, clé, biométrie). |
| Imputabilité | À qui attribue-t-on cet acte ? | Possibilité d'attribuer la responsabilité d'un acte à une personne clairement identifiée — d'où l'interdiction des comptes génériques partagés. |
| Traçabilité | Que s'est-il passé, et quand ? | Historique de l'utilisation du SI, qui fournit la preuve des actions menées sur les données (journaux, logs). |
D'où la faute du compte partagé admin / admin : l'authentification fonctionne, l'imputabilité
disparaît, la non-répudiation avec elle.
3. Raisonner en DIC sur un incident
Méthode en étude de cas : qualifier l'impact sur D, I et C, puis proposer une contre-mesure rattachée au critère touché.
| Incident | Impact DIC | Contre-mesure |
|---|---|---|
| Fuite de la base clients | C | Chiffrement au repos, cloisonnement réseau, moindre privilège |
| Site web injoignable (DDoS) | D | Filtrage amont, anti-DDoS, répartition de charge |
| Modification d'un log par un attaquant | I | Empreinte cryptographique du fichier stockée sur un autre serveur |
| Ransomware | D + I (+ C) | Sauvegarde immuable hors-ligne, règle 3-2-1, PRA testé |
À retenir
- DIC = Disponibilité + Intégrité + Confidentialité
- Disponibilité = accessible quand il faut → redondance, sauvegarde, PRA
- Intégrité = non modifié → hachage, signature, TLS
- Confidentialité = réservé aux autorisés → authentification, droits, chiffrement
- Non-répudiation = authentification + imputabilité + traçabilité
- Authentification = qui es-tu | Imputabilité = à qui attribuer l'acte | Traçabilité = quoi, quand
- Compte partagé → imputabilité perdue → non-répudiation perdue
- Ransomware → touche D + I (+ C si exfiltration)