Domaines connexes (technique, gestion, stratégie)

On souhaite n'autoriser, par le pare-feu, que la communication depuis l'interne vers un site Web externe en HTTPS. Quel numéro de port de destination faut-il autoriser ?

1. 80
2. 443
3. 23
4. 25

Le réseau interne a été découpé en sous-réseaux par service, avec un contrôle des communications entre sous-réseaux assuré par un routeur. Quel est l'objectif principal de cette mesure ?

1. Chiffrer l'intégralité du contenu des communications traversant les sous-réseaux, de sorte qu'il ne puisse être lu même intercepté sur le trajet
2. Attribuer en bloc la même adresse IP à tous les terminaux internes, pour réduire considérablement la charge de gestion des adresses
3. Bloquer entièrement, à la frontière, tout accès non autorisé venu d'Internet extérieur, pour qu'aucun terminal interne ne puisse être pénétré
4. Même si un terminal est infecté par un logiciel malveillant, contenir l'étendue des dégâts à l'intérieur de sa zone, et pouvoir bloquer la communication à la frontière

Les terminaux internes reçoivent une adresse IP privée, convertie en adresse IP publique par NAPT pour se connecter à Internet. Quelle est la description la plus appropriée de cette configuration ?

1. L'objectif principal du NAPT est d'économiser les adresses IP publiques, et le contrôle des communications venant de l'extérieur doit être assuré séparément par un pare-feu.
2. L'usage du NAPT chiffre automatiquement le contenu des communications, rendant un VPN inutile.
3. Le NAPT étant un mécanisme qui masque l'adresse source, toute communication illégitime de l'interne vers l'extérieur est automatiquement bloquée intégralement.
4. Comme les terminaux internes utilisent une adresse IP privée et ne peuvent être atteints directement depuis l'extérieur, ils ne peuvent pas être infectés par un logiciel malveillant.

Un télétravailleur se connecte depuis son domicile au système interne de l'entreprise par VPN. Quelle est la description la plus appropriée concernant le VPN ?

1. Le VPN chiffre et protège le trajet de la communication, mais ne garantit pas pour autant la sécurité du terminal qui s'y connecte ; des mesures côté terminal sont donc également nécessaires.
2. L'usage du VPN chiffre automatiquement les fichiers enregistrés sur le terminal source.
3. Se connecter en chiffrant le trajet par VPN empêche que l'influence d'une infection du terminal source par un logiciel malveillant n'atteigne le système interne.
4. Le VPN est une ligne dédiée physique n'utilisant pas Internet, et ne passe pas par les équipements d'un opérateur de télécommunications.

Concernant les mesures de sécurité du réseau local sans fil d'un établissement, laquelle des propositions suivantes est la plus appropriée ?

1. Utiliser WPA2 ou WPA3 pour le chiffrement et l'authentification, et considérer le SSID furtif ou le filtrage par adresse MAC comme des mesures d'appoint.
2. Si un filtrage par adresse MAC est configuré, aucune autre mesure, y compris le chiffrement, n'est nécessaire.
3. Connecter le réseau sans fil destiné aux visiteurs et celui destiné au travail interne au même réseau, et gérer de façon centralisée les équipements et la configuration des points d'accès.
4. Activer la fonction furtive du SSID pour le rendre invisible de l'extérieur suffit à garantir la sécurité même en conservant WEP comme méthode de chiffrement.

Pour réduire les dommages causés par des courriels d'usurpation utilisant frauduleusement le domaine de l'entreprise, celle-ci introduit une authentification du domaine d'envoi. Quelle est la description la plus appropriée de SPF, DKIM et DMARC ?

1. DMARC est un mécanisme qui chiffre le corps du courriel, pour empêcher qu'un tiers n'en lise le contenu sur le trajet de la communication.
2. SPF est un mécanisme qui vérifie une signature électronique, DKIM publie sur le DNS l'adresse IP des serveurs autorisés à envoyer pour la comparer, et DMARC est un mécanisme par lequel l'expéditeur publie la politique de traitement des courriels ayant échoué à l'authentification.
3. SPF publie sur le DNS l'adresse IP des serveurs autorisés à envoyer pour la comparer, DKIM vérifie une signature électronique, et DMARC publie la politique de traitement des courriels ayant échoué à l'authentification.
4. Les trois se configurent uniquement côté serveur de messagerie du destinataire, sans qu'aucune configuration ne soit nécessaire côté domaine de l'expéditeur.

Les serveurs et équipements réseau internes sont synchronisés sur un serveur NTP pour régler leur horloge. Pour quelle raison cela est-il important en matière de sécurité de l'information ?

1. Parce que cela permet de recouper dans le temps les journaux de plusieurs équipements, de retracer avec précision le déroulement d'un incident, et de préserver la valeur de ces journaux en tant que traces d'audit
2. Parce qu'un réglage correct de l'horloge chiffre automatiquement les communications, empêchant leur interception
3. Parce qu'un réglage correct de l'horloge permet de prévoir à l'avance l'heure à laquelle un logiciel malveillant commencera à agir, et de bloquer à l'avance la communication à cette heure
4. Parce qu'un réglage correct de l'horloge réduit le volume des fichiers journaux produits par chaque équipement, ce qui permet d'allonger la durée de conservation possible des journaux sur un même appareil

L'entreprise a construit son serveur métier en utilisant un IaaS. Au regard du modèle de responsabilité partagée, que doit faire l'utilisateur ?

1. Appliquer de façon planifiée, sous sa propre responsabilité d'utilisateur, les correctifs du système d'exploitation invité et des intergiciels qu'il a lui-même installés
2. Appliquer de façon planifiée, sous sa propre responsabilité d'utilisateur, les mesures de sécurité et les correctifs de la plateforme de virtualisation (l'hyperviseur) elle-même
3. Se rendre lui-même sur place pour assurer la gestion des entrées et sorties et la surveillance des installations du centre de données, et en conserver les registres
4. Se rendre lui-même au centre de données pour effectuer le remplacement de pièces en cas de panne matérielle du serveur physique

En utilisant pour le travail un service de partage de fichiers en SaaS, un responsable a configuré la portée de partage sur « toute personne disposant du lien », ce qui a rendu des fichiers confidentiels consultables depuis l'extérieur de l'entreprise. Quelle est la description la plus appropriée au regard du modèle de responsabilité partagée ?

1. En SaaS, l'opérateur du service est censé tout protéger, si bien que cet événement relève également de sa responsabilité.
2. En SaaS, la configuration de la portée de partage est automatiquement optimisée par l'opérateur du service en cours d'utilisation, si bien qu'aucune responsabilité n'incombe ni à l'utilisateur ni à l'opérateur.
3. La configuration des droits d'accès et de la portée de partage, ainsi que la gestion des données qui y sont placées, relèvent du périmètre de responsabilité de l'utilisateur, dont la responsabilité est engagée.
4. En SaaS, l'utilisateur ne disposant d'aucun pouvoir de configuration du partage, une telle situation ne peut pas se produire.

Une application métier développée en interne est exploitée sur un PaaS. Une vulnérabilité d'injection SQL a été découverte dans cette application. Quelle est la réponse la plus appropriée ?

1. S'agissant d'une vulnérabilité du système d'exploitation lui-même, y remédier en appliquant, en tant qu'utilisateur, un correctif au système d'exploitation invité
2. L'application développée en interne relevant du périmètre de responsabilité de l'utilisateur, corriger le programme en interne
3. En PaaS, l'utilisateur ne pouvant pas développer d'application, cette vulnérabilité ne saurait se produire
4. S'agissant d'un problème de l'environnement d'exécution fourni par l'opérateur du PaaS, attendre tel quel que l'opérateur fournisse une correction

Un équipement A de disponibilité 0,95 et un équipement B de disponibilité 0,90 sont connectés en série, de sorte que le système global ne fonctionne que si A et B fonctionnent tous les deux. Quelle est la disponibilité du système global ? On suppose que les pannes de A et de B sont indépendantes l'une de l'autre.

1. 0,990
2. 0,855
3. 0,900
4. 0,925

Deux équipements de disponibilité 0,90 sont installés en configuration redondante, le système global fonctionnant dès que l'un des deux fonctionne. Quelle est la disponibilité du système global ? On suppose que les pannes des deux équipements sont indépendantes l'une de l'autre.

1. 0,90
2. 0,95
3. 0,81
4. 0,99

Le disque d'un serveur de fichiers est configuré en RAID 1 (mise en miroir). Quelle est l'évaluation la plus appropriée de cette configuration en tant que mesure contre les rançongiciels ?

1. Le RAID 1 est efficace contre une panne de disque, mais le chiffrement se répercute sur les deux disques ; il faut donc aussi conserver, hors ligne ou dans un lieu distant, des sauvegardes gérées par génération.
2. Passer à une configuration à 5 disques en RAID 1 permet de se protéger des dommages causés par un rançongiciel.
3. Le RAID 1 étant un mécanisme qui interdit en permanence l'écriture sur le disque, un rançongiciel ne peut pas modifier les fichiers pour les chiffrer, et aucun dommage ne peut se produire.
4. Avec le RAID 1, même un fichier chiffré peut être automatiquement restauré à partir du contenu de l'autre disque, si bien qu'aucune mesure supplémentaire, comme une sauvegarde, n'est particulièrement nécessaire.

La table des employés d'une base de données RH comporte les colonnes numéro d'employé, nom, service, poste, salaire et numéro personnel. On souhaite permettre aux employés ordinaires de consulter, comme annuaire des employés, seulement le nom, le service et le poste. Quelle est la méthode la plus appropriée ?

1. Définir une vue ne reprenant que les colonnes nom, service et poste, et n'accorder aux employés ordinaires qu'un droit de consultation sur cette seule vue.
2. Accorder à tous les employés un droit de consultation sur la table des employés elle-même, tout en diffusant en interne la consigne de ne pas regarder les colonnes salaire et numéro personnel.
3. Modifier la table des employés pour que tous les employés disposent d'un droit de mise à jour, tout en laissant vides en permanence les valeurs des colonnes salaire et numéro personnel.
4. Placer une sauvegarde de la table des employés dans un dossier partagé, pour que chacun y cherche l'information dont il a besoin.

Le disque d'un serveur de base de données est devenu inutilisable à la suite d'une panne, et a été remplacé par un autre disque. La sauvegarde de la veille au soir et le journal des mises à jour effectuées depuis sont conservés. Quelle méthode permet de restaurer l'état juste avant la panne ?

1. Restaurer uniquement la sauvegarde, et reprendre l'exploitation dans l'état où elle se trouvait la veille au soir
2. Restaurer la sauvegarde, puis effectuer un rejeu en avant (roll-forward) en appliquant le journal des mises à jour effectuées
3. Exécuter uniquement un retour en arrière (rollback) annulant la transaction interrompue en cours de traitement, pour restaurer le système
4. Utiliser uniquement le journal des mises à jour avant écriture, pour revenir à un état antérieur à la prise de la sauvegarde

Dans le développement d'un nouveau système métier, quelle démarche correspond à l'approche de la sécurité dès la conception (security by design) ?

1. Ne revenir à la phase de conception que si une vulnérabilité est découverte lors de la phase de test, et examiner et ajouter au cas par cas la mesure de sécurité nécessaire
2. La sécurité relevant du travail des équipes d'exploitation, ne la prendre en compte ni comme exigence ni comme élément de conception à aucun stade du développement
3. Définir dès la phase de planification et de définition des exigences les exigences de sécurité, comme la répartition des droits d'accès, le périmètre de collecte des journaux, le chiffrement ou la méthode d'authentification
4. Donner d'abord la priorité à la mise en œuvre des fonctions, puis ajouter successivement, après la mise en production, les fonctions de sécurité qui s'avèrent nécessaires

Quelle est la description la plus appropriée d'un test d'intrusion (pentest) réalisé avant la publication d'un système Web ?

1. Un test qui, après avoir examiné la structure interne du programme, vérifie que chaque branchement conditionnel est exécuté au moins une fois, et mesure la qualité par le degré de couverture
2. Un test qui tente réellement une intrusion du point de vue d'un attaquant, pour vérifier si les défenses peuvent être franchies, et dont la réalisation exige l'accord préalable de l'administrateur du système visé
3. Un test qui vérifie, de l'extérieur et sans regarder la structure interne du programme, si la sortie conforme aux spécifications est bien produite pour une entrée donnée, et qui sert aussi, en dernière vérification avant publication, à évaluer la possibilité d'intrusion
4. Un test où l'utilisateur manipule réellement le système, pour évaluer la clarté et la facilité d'usage de l'écran

En management des services, quelle est l'explication la plus appropriée de la différence entre gestion des incidents et gestion des problèmes ?

1. La gestion des incidents a pour objectif d'identifier la cause profonde pour prévenir la récidive, et la gestion des problèmes de remettre le service en état normal le plus vite possible.
2. La gestion des incidents a pour objectif de remettre le service en état normal le plus vite possible, et la gestion des problèmes d'identifier la cause profonde pour prévenir la récidive.
3. La gestion des incidents ne traite que les accidents relatifs à la sécurité de l'information, et la gestion des problèmes traite toutes les autres pannes et tous les autres accidents : c'est une distinction fondée sur le périmètre.
4. La gestion des incidents et la gestion des problèmes désignent exactement la même activité, avec le même objet, le même objectif et la même procédure ; seule diffère l'appellation utilisée dans le rapport.

En confiant à l'extérieur l'exploitation d'un système métier, on conclut un SLA. Concernant le SLA, laquelle des propositions suivantes est la plus appropriée ?

1. Le SLA est un document par lequel le prestataire et l'utilisateur conviennent numériquement du niveau de qualité du service ; outre le taux de disponibilité et le délai de rétablissement objectif, il définit aussi des éléments de sécurité comme le délai de rapport en cas d'incident ou la durée de conservation des journaux.
2. Le SLA est un règlement interne au prestataire, qui n'est pas censé être divulgué à l'utilisateur.
3. Le SLA ne doit consigner que les objectifs relatifs à la disponibilité, comme le taux de disponibilité ou le délai de rétablissement objectif, et ne doit en aucun cas y inscrire d'éléments relatifs à la sécurité, comme le délai de rapport en cas d'incident ou la durée de conservation des journaux.
4. Une fois le SLA convenu, il ne doit plus être révisé, et son état de réalisation ne fait l'objet d'aucune mesure pendant la durée du contrat.

En management des services, quelle est la combinaison la plus appropriée décrivant la gestion des changements et la gestion des configurations ?

1. La gestion des changements est l'activité de guichet unique recevant les demandes de renseignements et les signalements de panne des utilisateurs, et la gestion des configurations est l'activité visant à rétablir le service le plus vite possible après une panne survenue.
2. La gestion des changements est l'activité qui identifie la cause profonde d'une panne, et la gestion des configurations l'activité qui assure la capacité de traitement nécessaire à l'activité.
3. La gestion des changements est l'activité qui évalue l'impact d'un changement apporté au système, en obtient l'approbation, puis le met en œuvre et l'enregistre ; la gestion des configurations est l'activité qui suit en permanence, avec exactitude, les éléments de configuration tels que les équipements, les logiciels et les paramètres, ainsi que leurs relations.
4. La gestion des changements est l'activité par laquelle l'auditeur donne au service audité des instructions d'amélioration, et la gestion des configurations l'activité par laquelle la direction décide de l'opportunité d'un investissement.

Un audit système va être réalisé en interne. Au regard de l'indépendance de l'auditeur système, laquelle des propositions suivantes est la plus appropriée ?

1. Un membre du service d'audit interne, organiquement indépendant du service audité, ou un auditeur externe, effectue l'audit.
2. Le responsable du service faisant l'objet de l'audit audite lui-même les activités de son propre service, et rédige et remet le rapport d'audit.
3. Un responsable d'exploitation du service informatique audite lui-même le système métier qu'il exploite au quotidien.
4. Le chef de projet ayant assuré le développement du système visé par l'audit audite lui-même ce système.

Concernant les traces d'audit et le suivi dans un audit système, laquelle des propositions suivantes est la plus appropriée ?

1. La trace d'audit désigne le rapport d'audit lui-même rédigé par l'auditeur, qui n'est pas divulgué au service audité pour préserver l'indépendance, et lors du suivi, c'est le service audité qui évalue lui-même l'état de ses améliorations pour clore le dossier.
2. La trace d'audit désigne un dispositif ou des enregistrements permettant de retracer, a posteriori, quand, par qui et comment un traitement a été effectué, et lors du suivi, l'auditeur vérifie l'état de mise en œuvre des améliorations relevées.
3. La trace d'audit n'est recueillie que pendant la durée de l'audit, sa collecte pouvant être omise en exploitation normale.
4. Lors du suivi, c'est l'auditeur lui-même qui élabore et met en œuvre les mesures d'amélioration, pour résoudre le problème.

Quelle est la description la plus appropriée du rôle du CISO dans une entreprise ?

1. Élaborer la stratégie de vente et de tarification des produits de l'entreprise, et être responsable de l'atteinte des objectifs de chiffre d'affaires
2. Établir les états financiers et rendre compte des questions comptables lors de l'assemblée générale des actionnaires
3. Être responsable de l'élaboration de la politique de sécurité de l'information, de la décision de la politique de traitement des risques, du commandement en cas d'incident, et du rapport à la direction
4. Effectuer lui-même l'installation et le câblage des PC et équipements réseau internes, et assurer la maintenance quotidienne des équipements ainsi que la réponse en cas de panne

Au regard du contrôle interne, quelle mise en œuvre correspond au principe de séparation des tâches ?

1. Séparer la personne qui passe une commande d'achat de celle qui procède à la réception et à la vérification de la livraison
2. Donner la priorité à l'efficacité du travail en accordant au développeur du système un droit de modification de l'environnement de production
3. Accorder à tous les employés des droits d'administrateur, pour que chacun puisse effectuer les tâches nécessaires
4. Laisser un seul responsable assurer d'un bout à l'autre la demande, l'approbation, l'exécution et l'enregistrement, pour clarifier où se situe la responsabilité

Quel est l'enchaînement le plus approprié pour l'acquisition d'un système métier confié à l'extérieur ?

1. Demande d'information (RFI) → appel d'offres (RFP) → réception et évaluation des offres → contrat
2. Contrat → appel d'offres (RFP) → réception et évaluation des offres → demande d'information (RFI)
3. Appel d'offres (RFP) → demande d'information (RFI) → contrat → réception et évaluation des offres
4. Réception et évaluation des offres → demande d'information (RFI) → contrat → appel d'offres (RFP)

Une tâche impliquant des données personnelles de clients est confiée à l'extérieur. Concernant la sélection et la gestion du prestataire, laquelle des propositions suivantes est la plus appropriée ?

1. Même lorsque le prestataire confie une tâche à un autre opérateur en sous-traitance ultérieure, il n'est pas nécessaire d'en informer le commettant.
2. Il suffit de sélectionner le fournisseur offrant le meilleur prix et le meilleur délai ; l'obtention de certifications, les éléments de sécurité et les dispositions en cas d'incident se discutent après la conclusion du contrat.
3. Une fois la sous-traitance confiée, la responsabilité de la gestion des données personnelles passe entièrement au prestataire, et le commettant se retire entièrement de toute gestion et supervision après la sélection.
4. Préciser dans les critères de sélection et le contrat l'état d'obtention des certifications, le traitement de la sous-traitance ultérieure, l'obligation de rapport en cas d'incident, l'acceptation d'un audit et l'effacement des données à la fin du contrat, et exercer, après la sous-traitance, une supervision en recevant des rapports réguliers.

Un employé demande à pouvoir utiliser un service d'IA générative dans le cadre de son travail. Du point de vue de la prévention des fuites d'information, quelle règle l'organisation doit-elle définir ?

1. Le contenu saisi étant toujours supprimé côté fournisseur, autoriser la saisie libre même d'informations confidentielles.
2. Interdire uniformément l'usage de l'IA générative sur les terminaux internes, jugée dangereuse, tout en laissant au jugement de chacun l'usage d'un terminal ou d'un compte personnel.
3. Laisser chaque employé choisir librement, selon son propre jugement, le service d'IA générative qu'il préfère, et lui permettre de saisir librement, sans restriction, les données traitées dans le cadre du travail.
4. Limiter les services utilisables à ceux approuvés par l'organisation, et préciser explicitement dans la règle qu'il est interdit de saisir des informations personnelles de clients ou des informations de gestion non publiées.

Une IA générative a été utilisée pour produire un projet de document explicatif destiné à l'extérieur. Quel est le traitement le plus approprié de ce projet ?

1. L'IA générative pouvant produire un contenu inexact de façon plausible, et le texte produit pouvant ressembler à une œuvre existante, faire vérifier par une personne l'exactitude des faits et la situation des droits avant toute publication
2. Il suffit d'ajouter la mention de la source pour pouvoir publier le texte tel quel, sans vérification factuelle
3. La sortie d'une IA générative étant fondée sur une grande quantité de données d'apprentissage, son contenu est toujours exact et ne ressemble jamais à une œuvre existante ; on peut donc la publier telle quelle sans vérification
4. Un texte produit par une IA générative ne pouvant jamais poser de problème de droit d'auteur, aucune vérification de la situation des droits n'est nécessaire

Pour un actif informationnel donné, la perte en cas d'incident est estimée à 20 000 000 yens par occurrence, et la probabilité d'occurrence à 10 % par an. Quelle est l'approche appropriée, du point de vue d'une décision de gestion, quant au coût d'une mesure destinée à prévenir cet incident ?

1. La perte annuelle prévisible étant estimée à 2 000 000 yens, on juge de l'opportunité de l'investissement en la comparant au coût annuel de la mesure, sauf lorsque des vies humaines ou le respect de la réglementation sont en jeu, auquel cas la décision ne se limite pas au seul rapport coût-efficacité
2. La perte annuelle prévisible est estimée à 2 000 000 yens, mais, quel que soit son montant, il faudrait toujours consacrer à la mesure une somme égale à la totalité de la perte par occurrence, soit 20 000 000 yens, sans considérer le rapport coût-efficacité
3. Tant que la probabilité d'occurrence n'atteint pas 100 %, on considère que l'incident ne se produira pas, et qu'aucune mesure n'est nécessaire
4. La sécurité de l'information étant une dépense qui ne génère pas de chiffre d'affaires, il convient de n'y consacrer aucun coût

Pour rendre compte numériquement à la direction de l'état d'avancement des actions de sécurité de l'information, on définit un KGI, un CSF et des KPI. Quelle est la combinaison la plus appropriée ?

1. Considérer le KPI comme un indicateur secret réservé à la seule direction, à ne pas communiquer au service concerné
2. Définir le KGI comme « zéro incident grave », le CSF comme « l'amélioration de la sensibilisation à la sécurité de l'ensemble des employés », et les KPI comme « le taux d'ouverture lors des entraînements » ou « le délai moyen de correction des vulnérabilités »
3. Considérer que KGI, CSF et KPI sont tous trois des indicateurs de résultat final, et présenter trois fois le même contenu
4. Définir le KGI comme « un taux d'ouverture de 5 % ou moins lors de l'entraînement aux courriels d'attaque ciblée », le CSF comme « répéter l'entraînement chaque année », et le KPI comme « ramener à zéro le nombre d'incidents graves »