1.

Identifier la terminologie liée à la cybersécurité

🔹 Définition de la cybersécurité
La cybersécurité est l’ensemble des pratiques visant à protéger les systèmes
critiques et les données contre les attaques numériques. Selon la norme ISO
27032, elle est liée à la sécurité de l’information et à la sécurité physique.
🔹 Notions clés
 Vulnérabilité : Faiblesse d’un système qui peut être exploitée.
 Menace : Potentiel événement dommageable pour un système.
 Attaque : Exploitation malveillante d’une vulnérabilité pour compromettre
un système.
🔹 Exemples de tactiques et techniques des attaquants
 Virus : Programme malveillant perturbant un système.
 Hameçonnage : Tromper les utilisateurs pour récupérer des informations
sensibles.
 Déni de service (DDoS) : Rendre un service indisponible en le
surchargeant.
 MitM (Man-in-the-Middle) : Interception des communications entre
deux parties.
 Menace persistante avancée (APT) : Attaque discrète et prolongée sur
un réseau cible.

2. Découvrir les normes et standards de la cybersécurité

🔹 Normes et référentiels
 ISO 27001 : Norme de gestion de la sécurité de l’information.
 ISO 27005 : Gestion des risques liés à la cybersécurité.
 NIST : Standards et bonnes pratiques de cybersécurité.
 ANSSI : Référentiel français en cybersécurité.

3. Définir les critères de la cybersécurité

Selon la norme ISO 27005, la cybersécurité repose sur trois critères
fondamentaux :
 Confidentialité : Protection des données contre les accès non autorisés.
 Intégrité : Garantir que les données ne sont pas modifiées sans
autorisation.
 Disponibilité : Assurer l’accès aux données et services légitimes.
4. Découvrir les métiers de la cybersécurité
🔹 Domaines de la cybersécurité
 Sécurité des réseaux
 Sécurité des applications
 Sécurité des systèmes industriels
 Gestion des incidents
 Forensique et investigation numérique
🔹 Rôles professionnels
 Blue Team : Défense et sécurisation des systèmes.
 Red Team : Tests d’intrusion et simulation d’attaques.
 SOC Analyst : Surveillance des menaces en temps réel.
 Pentester : Identification des failles de sécurité.
 RSSI (Responsable Sécurité des Systèmes d'Information) :
Supervision de la stratégie de cybersécurité.

5. Connaitre les objectifs de la cybersécurité

🔹 Posture défensive (Blue Team)
 Défense en profondeur : Superposition de mécanismes de protection.
 Modèle Zero Trust : Vérification systématique des accès, même internes.
 Surveillance continue : Analyse réseau pour détecter les anomalies.
🔹 Posture offensive (Red Team)
 Tests d’intrusion : Attaquer un système pour identifier ses vulnérabilités.
 Ingénierie sociale : Tromper des employés pour obtenir des accès.
 Exploitation de failles : Attaques ciblées pour évaluer la sécurité.
🔹 Enjeux d’une politique de sécurité des SI (PSSI)
 Définir une stratégie de cybersécurité alignée avec les besoins de
l’entreprise.
 Mettre en place des contrôles pour minimiser les risques.
 Sensibiliser les collaborateurs aux bonnes pratiques.

📌 Conclusion : Ce module fournit une base solide pour comprendre la

cybersécurité, ses enjeux, ses normes et les principales attaques existantes. Il
met également en avant l'importance des rôles défensifs et offensifs dans la
protection des systèmes d'information.
1. Découvrir les différentes normes et standards de la cybersécurité
🔹 Objectifs
 Identifier les normes courantes en cybersécurité.
 Comprendre les standards de gestion des vulnérabilités.
 Se familiariser avec les lois et réglementations en cybersécurité.
🔹 Normes de la sécurité organisationnelle
📌 ISO 27001 – Management de la Sécurité de l’Information (SMSI)
 Standard qui définit les exigences pour mettre en place un système de
management de la sécurité de l’information.
 Utilise le cycle PDCA (Plan, Do, Check, Act) pour assurer une
amélioration continue.
 L’annexe A de l’ISO 27001 propose 114 mesures inspirées de l’ISO
27002.
📌 ISO 27002 – Bonnes pratiques en cybersécurité
 Guide de bonnes pratiques pour la gestion des risques liés à la sécurité
de l’information.
 Se divise en 14 chapitres couvrant la politique de sécurité, la gestion des
actifs, le contrôle d’accès, la cryptographie, etc.
📌 ISO 27005 – Gestion des risques en cybersécurité
 Définit un processus d’analyse et de gestion des risques pour les
systèmes d’information.
 Se base sur plusieurs étapes :
1. Établissement du contexte (définition des critères d’évaluation
et d’acceptation des risques).
2. Appréciation des risques (identifier les menaces et
vulnérabilités).
3. Traitement des risques (réduction, transfert, acceptation ou
évitement).
4. Surveillance et réexamen des risques (vérifier régulièrement
l’efficacité des mesures).
 Utilisé dans les méthodes EBIOS et MEHARI.

2. Identifier les normes de la sécurité technique

🔹 📌 Standards de gestion des vulnérabilités
Standard Description

CVE (Common Vulnerabilities Base de données recensant les

and Exposures) vulnérabilités connues.

CWE (Common Weakness Catégorisation des faiblesses et erreurs de

Enumeration) développement.

CVSS (Common Vulnerability Système de notation de la sévérité des

Scoring System) vulnérabilités.

Base de données gouvernementale des

NIST NVD
vulnérabilités (USA).

Archive publique des exploits utilisés en

EXPLOIT-DB
tests d’intrusion.

🔹 📌 OWASP (Sécurité des applications web)

 OWASP (Open Web Application Security Project) est une
organisation qui fournit des recommandations pour sécuriser les
applications web.
 TOP 10 des menaces (2017) :
1. Injection SQL
2. Vol de session
3. Exposition de données sensibles
4. Attaque XXE (XML External Entity)
5. Contournement des contrôles d’accès
6. Mauvaise configuration de sécurité
7. Faille XSS (Cross-Site Scripting)
8. Désérialisation non sécurisée
9. Utilisation de composants vulnérables
[Link] de surveillance et de monitoring

3. Connaître les référentiels réglementaires en cybersécurité

🔹 📌 RGPD (Règlement Général sur la Protection des Données)
 Objectif : Protéger les données personnelles des citoyens de l’UE.
 Principes clés :
o Consentement des utilisateurs.

o Transparence sur le traitement des données.

o Droit à l’oubli et portabilité des données.

 o Sécurisation des données personnelles.

 Champ d’application :
o Toute organisation basée en UE ou ciblant des résidents européens.

🔹 📌 Loi 09-08 (Maroc)

 Loi marocaine sur la protection des données personnelles.
 Création de la CNDP (Commission Nationale de Contrôle de la
Protection des Données Personnelles).
 Vise à garantir la confidentialité et la sécurité des informations
personnelles.

📌 Conclusion : Cette deuxième partie du module M209 aborde les normes,

standards et réglementations en cybersécurité. Elle met en avant les
référentiels clés (ISO 27001, 27005, OWASP, CVE, RGPD, etc.) et leur
importance dans la gestion et la protection des systèmes d’information.

1. Définir les critères de la cybersécurité

🔹 Objectifs
 Comprendre les trois critères fondamentaux de la cybersécurité selon
ISO 27005.
 Identifier les niveaux de chaque critère.
🔹 📌 Les trois critères fondamentaux (D.I.C.)
1️⃣ Disponibilité
🔹 Définition : Assurer l’accessibilité des informations aux personnes autorisées
au moment voulu.
🔹 Mécanismes de sécurité :
 Mise en place d’un système de clustering et d’équilibrage de charge.
 Redondance de l’alimentation électrique.
 Sauvegarde des données et site de backup.
 Activation de la fonction failover pour assurer la continuité du service.
2️⃣ Confidentialité
🔹 Définition : Seules les personnes autorisées peuvent accéder aux
informations.
🔹 Mécanismes de sécurité :
  Chiffrement des données en transit et au repos (ex. : TLS, SSH, IPsec).
 Contrôle d’accès physique et technique.
 Chiffrement des supports physiques (disques, clés USB).
3️⃣ Intégrité
🔹 Définition : Garantir l’exactitude et la complétude des informations. Toute
modification non autorisée doit être détectée et corrigée.
🔹 Mécanismes de sécurité :
 Hashing (ex. : SHA-256) pour vérifier l’intégrité des données.
 Gestion des configurations et contrôle des changements.
 Signature numérique pour garantir l’origine des logiciels.
 Contrôle de redondance cyclique (CRC) pour détecter les erreurs sur
les équipements.

2. Définir les niveaux de chaque critère

🔹 📌 Niveaux de criticité
Les critères Disponibilité, Confidentialité et Intégrité peuvent être classés
par niveaux d’exigence selon le contexte.
1️⃣ Disponibilité
🔹 Exemple : Un site web public d’entreprise
✅ Niveau 4 : Une disponibilité élevée est nécessaire, sinon l’entreprise ne peut
pas atteindre son public.
2️⃣ Confidentialité
🔹 Exemple : Un site web public
✅ Niveau 0 : Pas besoin de confidentialité, car les informations sont publiques.
3️⃣ Intégrité
🔹 Exemple : Contenu d’un site web officiel
✅ Niveau 4 : Une forte exigence d’intégrité est requise pour éviter la falsification
des informations par un concurrent.

📌 Conclusion : Cette troisième partie du module M209 explique les trois

piliers de la cybersécurité (Disponibilité, Confidentialité, Intégrité) et leur
importance dans la gestion des systèmes d’information. Elle met aussi en avant
l’importance d’adapter les niveaux de criticité en fonction du contexte et des
besoins de l’organisation.
1. Découvrir les métiers de la cybersécurité
🔹 Objectifs
 Identifier les domaines de la cybersécurité.
 Découvrir les différents métiers et leur rôle.
 Se projeter sur les métiers émergents de la cybersécurité.
🔹 📌 Domaines de la cybersécurité
1️⃣ Sécurité du développement (Sécurité applicative)
 Vise à protéger les applications contre les menaces tout au long de leur
cycle de vie.
 Méthodes de test :
o SAST (Static Application Security Testing) : Analyse du code
source pour détecter les vulnérabilités.
o DAST (Dynamic Application Security Testing) : Simule des
attaques sur une application en cours d’exécution.
 Aspects clés de la sécurité d’une application web :
o Authentification et contrôle d’accès.

o Confidentialité et protection contre l’analyse du trafic.

o Non-répudiation (assurer la traçabilité des actions).

o Intégrité des données.

2️⃣ Gouvernance de la cybersécurité

 Désigne la responsabilisation des dirigeants dans le choix des
politiques de cybersécurité.
 Norme associée : ISO 27014.
 Activités principales :
o Définition de politiques et normes de sécurité.

o Gestion des risques.

o Formation et sensibilisation des employés.

o Supervision des fournisseurs tiers.

3️⃣ Gestion des risques

 Processus d’évaluation et de hiérarchisation des risques liés à la
cybersécurité.
 Étapes principales :
1. Identifier les actifs critiques à protéger.
 2. Analyser la fréquence et la gravité des menaces.
3. Hiérarchiser les risques et définir un seuil d’acceptabilité.
4. Appliquer des mesures de protection adaptées.
 Méthodes d’analyse des risques :
o EBIOS (ANSSI)

o MEHARI (CLUSIF)

o OCTAVE (Carnegie Mellon)

4️⃣ Sécurité physique

 Vise à protéger les infrastructures et les équipements contre les
menaces physiques (intrusions, incendies, vols, etc.).
 Mesures de sécurité :
o Contrôle d’accès (badges, surveillance, alarmes).

o Protection des locaux (vidéosurveillance, agents de sécurité).

o Sécurisation des équipements (verrouillage, chiffrement, filtres

de confidentialité).

2. Découvrir les métiers de la cybersécurité

🔹 📌 Métiers clés de la cybersécurité
1️⃣ Analyste SOC (Security Operations Center)
 Rôle :
o Paramétrer et gérer les outils de supervision (SIEM, honeypots,
IDS/IPS).
o Surveiller et analyser les alertes de sécurité.

o Réagir aux incidents et effectuer des investigations.

 Compétences nécessaires :
o Maîtrise des techniques d’attaque et de défense.

o Connaissance des règles de sécurité informatique.

o Esprit analytique et rigueur.

2️⃣ Pentester (Testeur d’intrusion)

 Rôle :
o Simuler des attaques pour détecter les vulnérabilités.

o Tester la sécurité des applications, réseaux et systèmes.

o Rédiger des rapports d’audit et proposer des correctifs.

  Compétences nécessaires :
o Connaissance des techniques de hacking.

o Maîtrise des outils de tests d’intrusion (Metasploit, Burp Suite,

Nmap).
o Bonnes capacités de rédaction et communication.

3. Connaître les tendances des métiers de la cybersécurité

🔹 📌 Métiers émergents
1️⃣ Consultant DevSecOps
 Rôle :
o Intégrer la sécurité dans le cycle DevOps.

o Automatiser les contrôles de sécurité dans le développement

logiciel.
 Compétences nécessaires :
o Maîtrise des outils DevOps (Docker, Kubernetes, Jenkins).

o Connaissance des menaces et vulnérabilités des applications.

2️⃣ Administrateur sécurité Blockchain

 Rôle :
o Sécuriser les transactions et smart contracts sur la blockchain.

o Mettre en place des protocoles de chiffrement.

 Compétences nécessaires :
o Expertise en cryptographie et protocoles blockchain.
 o Connaissances en développement de smart contracts (Solidity).

📌 Conclusion : Cette quatrième partie du module M209 explore les différents

domaines et métiers de la cybersécurité. Elle met en avant des profils clés
(Analyste SOC, Pentester, RSSI) et les nouvelles opportunités comme
DevSecOps et Blockchain Security.